Hugging Face、AIエージェントの攻撃警告

AIモデルやデータセットの共有プラットフォームを運営するHugging Faceは、同社の内部システムが外部の自律型AIエージェント（目標達成のために自律的に環境を認識し判断・行動するAIシステム）によって侵害されたとする公式インシデント報告を発表しました。一方、セキュリティ企業Sysdigは、AIアセットの破壊・暗号化に特化した新たなランサムウェア攻撃に関する警告を発しました。

Hugging Faceにおける自律型AIエージェント侵害の概要

Hugging Faceが7月16日に公表したセキュリティ報告によると、攻撃者は同プラットフォーム上に悪意あるデータセットをアップロードし、サーバーのセキュリティ脆弱性を悪用して任意コードを実行させました。これにより権限昇格が行われ、内部システムへのアクセスを獲得したとされます。

この攻撃の特徴として、外部の自律型AIエージェントが使用された点が挙げられます。同エージェントは短命なサンドボックス環境上で数千件に及ぶ個別のアクションを自律実行し、パブリックサービス上に自己移行型のC2（コマンド＆コントロール）インフラを構築していました。

なお、フォレンジック分析の過程で、Hugging Faceの防御チームが商用AIモデルに攻撃手法の解析を要求した際、ペイロードやエクスプロイトコードが含まれていたためベンダーの安全ガードレイルに拒否される問題が発生しました。そのため、同社は自前のインフラ上でオープンウェイトモデル「GLM 5.2」を稼働させてログ分析を実行したと明かしています。顧客データの流出有無については現在も調査が続いています。

脅威アクター「JadePuffer」とAI特化ランサムウェア「EncForge」

あわせてセキュリティ領域では、エージェント型脅威アクター（ATA）である「​JadePuffer​」の進化が報告されました。Sysdigの分析によると、JadePufferはAI・機械学習インフラの暗号化に特化したGo言語ベースのカスタムランサムウェア「​EncForge​」を投入しています。

EncForgeは180種類以上のファイル拡張子を標的とし、以下のAIアセットを選択的に暗号化します：

• AIモデルのチェックポイント​
• Hugging Face SafeTensorsファイル​
• PyTorchおよびTensorFlowモデル​
• GGUFおよびGGMLモデルウェイト​
• FAISSなどのベクトルインデックス​

効率化のため部分暗号化（AES-256）を実行し、ファイルに「.locked」拡張子を付与します。モデルやベクトルインデックスが破壊された場合、企業は数週間から数ヶ月の再学習を余儀なくされ、モデル1件あたり7万5000〜50万ドルの損害が発生すると推計されています。

新旧のサイバー脅威とAIセキュリティ対策の比較

従来のサイバー攻撃と、今回可視化されたAIエージェント型攻撃の比較は以下の通りです。

比較項目	従来のサイバー攻撃	AIエージェント型攻撃（JadePuffer等）
​攻撃主体​	人間のハッカーによる手動操作	自律型AIエージェントによる自動展開・自己移行
​主な標的​	データベース・個人情報・Webサーバー	AIモデルウェイト、ベクトルインデックス、SafeTensors
​攻撃の連動性​	固定的なスクリプト実行	偵察から特権昇格、Pythonデプロイスクリプト修正まで自動反復

日本のAI事業者・開発者への影響と未確認事項

日本国内でAIモデルの開発やベクトル検索（RAG）システムを構築している事業者・研究機関にとっても、AIインフラを狙う自動化攻撃は直接的な脅威となります。

対策および未確認事項は以下の通りです：

• ​推奨防御措置​: Langflow等のフレームワークを最新版（v1.3.0以降）へ更新すること、Dockerソケットへのアクセスを制限すること、モデル保存ディレクトリへのファイルアクセス制御を強化することが推奨されています。
• ​未確認事項​: Hugging Faceに対する攻撃エージェントの具体的な帰属（アトリビューション）を証明する技術証拠は、現時点で外部へ公開されていません。

AIが攻撃側の武器としても防御側のツールとしても機能する「AI対AI」のセキュリティ局面への移行が急速に進んでいます。

引用元：Codebook｜Security News