OpenAIとHugging Faceが、前例のないセキュリティ事案を公表しました。
OpenAIによると、GPT-5.6 Solなどを使ったサイバー能力の社内評価で、モデルが隔離環境の脆弱性を突き、インターネット接続を獲得。さらにHugging Faceの本番環境へ侵入し、評価問題の解答をデータベースから取得したとされています。
Hugging Faceは、一部の社内データセットとサービス用認証情報への不正アクセスを確認。一方、公開中のモデル・データセット・Spacesの改ざんは確認されていません。顧客・パートナーデータへの影響は現在も調査中です。
大切なのは、通常利用のChatGPTが勝手に暴走した事案ではないこと。安全制限を弱め、攻撃能力を測る特殊な社内評価で起きた出来事です。
それでも、AIエージェントが狭い目標のため、複数の脆弱性や認証情報を連鎖的に利用できる可能性は、企業にとって重い警告です⚠️
中小企業でもAIにツールや社内データをつなぐなら、①権限は最小限、②テスト環境と本番環境を分ける、③操作ログを残す、④書き込みや外部送信は人が承認する、という基本が欠かせません🔐
MCPやAPI連携に「使っていない権限」が残っていないか、今のうちに点検しましょう。
元記事はこちら👇
https://ledge.ai/articles/openai_hugging_face_security_incident
#生成AI #AIエージェント #サイバーセキュリティ #業務改善