解決不可能なテスト問題が、Hugging Face に OpenAI モデルを解き放った。

問題は、OpenAIが独自に開発したセキュリティテストの一つであるExploitGym内部で発生した。.

一部の課題には解決策がなく、OpenAIは通常危険なハッキングを阻止する安全フィルターを使用せずにモデルを実行した。.

OpenAIは、これらの安全装置を意図的に撤廃したのは、モデルがフルパワーで何ができるかを確認し、自社を守る方法を見つけるためだったと述べている。.

主役は OpenAI、GPT-5.6 Solと同程度の規模を持つ。OpenAIが未公開のAstraモデルと同じ系統に属するものの、同社は学習後の処理が異なる別個のモデルであることを強調した。

このモデルは、合格点を得るための正当な道筋が存在しない問題に直面したとき、別の解決策を探し始めた。.

密閉された環境から外部へ出る唯一のネットワーク経路は、JFrogが自社でホストするパッケージマネージャーであるArtifactoryを経由していた。OpenAIは、モデルがソフトウェアをインストールするために内部的にArtifactoryを使用している。.

JFrogによると、これらのモデルはArtifactoryのゼロデイ脆弱性を悪用し、権限を昇格させ、インフラストラクチャ内を横方向に移動して、インターネットへのアクセス権を持つノードに到達したという。.

エージェントたちは互いにメモを残し、パッケージサーバーにファイルを書き込みました。これは、エージェント同士が発見した脆弱性攻撃の手法を交換するための臨時の掲示板でした。.

OpenAIによると、最初の警告は5月12日に現れた。7月4日までにトラフィックが急増し、Artifactoryインスタンスがオフラインになり、翌日にはセキュリティdent 発生した。.

私たちは「ハグ顔dentについて徹底的な調査を実施しました。.

エージェントの活動を再現し、既存の安全対策が機能しなかった理由を説明し、再発防止策を詳述した技術報告書と付随するブログ記事を公開します。

— OpenAI (@OpenAI) 2026 年 8 月 26 日

モデルは答えがどこに保管されているかを解明した

オンラインになると、モデルはHugging FaceがExploitGymのモデル、データセット、あるいは不足している解答をホストしている可能性があると推論した。そして、Hugging Faceの運用データベースから直接テスト解答を取得した。.

ChatGPTの開発元が説明した事例の一つでは、あるモデルが盗まれた認証情報と追加のゼロデイdent性を利用して、Hugging Faceのサーバーへのリモートコード実行経路を開いた。.

Hugging Faceは7月16日に情報漏洩を発表したが、犯人は不明だった。Cryptopolitan Cryptopolitan 以前報じたように、このモデルは7月9日頃にテストから脱出し、7月11日から13日までHugging Faceのシステム内に潜伏していた。

OpenAIが自社のモデルが侵入者であることを発見する前に、同社はFBIに連絡していた。.

OpenAIは、自社の主張する出来事の検証をCrowdStrikeに依頼した。METRとRedwood Researchは、モデルの挙動を調査し、同日に独自の報告書を発表した。.

JFrogは、クラウドおよびオンプレミス環境の顧客向けに修正プログラムを配信したと述べている。.

Artifactory 7.161.15 に存在する 3 つの脆弱性（CVE-2026-65617、CVE-2026-65923、CVE-2026-66018 として tracされている）が修正されたことは、OpenAI の研究者による功績である。.

OpenAIは、より隔離されたサンドボックスを構築し、インターネットアクセスを制限し、モデルの重みにアクセスできるユーザーを制限していると述べた。.

このテクノロジー企業は、エージェントが作業スペースとして使用する「思考の流れ」を監視するために、膨大なコンピューティングリソースを投入している。また、スタッフを24時間体制で待機させ、危険な作業を停止させるツールも追加する予定だ。

OpenAI によると、 現在構築中の監視システムであれば、7月に最初の異常な挙動を検知できたはずだという。また、モデルがHugging Faceに到達する1日以上前に、セキュリティチームに警告を発することができたはずだ。