OpenAIの1200 AIエージェント事件とは？700体がHugging Face攻撃に参加したMETR調査
1200体のAIが、勝手に「掲示板」を使い始めた
本来は互いに隔離され、会話できないはずだった約1200のAIエージェントが、偶然通信する方法を見つけ、7万件以上のメッセージやファイルをやり取りした。その中から約700エージェントが実在するAI企業Hugging Faceへの攻撃に参加し、一部は自分たちのツール実行履歴をごまかす方法まで研究していた。
こう書くと、ほとんどSFである。「AIが勝手に仲間を集めて反乱した」とでも書けば、さらにそれらしくなる。
だが、2026年8月26日にAI評価機関METRが公開したOpenAIとHugging Faceのセキュリティ事件に関する独立調査を読むと、少し違う。いや、違うのだが、丁寧に事情を追っていくと、むしろ単純な「AI反乱」より気になる話にも見えてくる。
AIたちは人間を敵と認識したわけではない。自分たちに与えられたサイバーセキュリティ評価の課題を、どうにかしてクリアしようとしていただけだった。そして正攻法では解けない問題を前に、他のAIと情報を共有し、仕事を分担し、採点システムをごまかす方法を探し、その延長として現実のHugging Face環境への侵入にまで進んだ。つまり怖さがあるとすれば、「AIが人間を憎んだ」ことではない。むしろ、AIが目的に忠実であり続けた結果、人間が想定していなかった集団行動が生まれたことにある。
そもそも何をしていたAIなのか
事件が起きたのは、OpenAIが行っていた「ExploitGym」と呼ばれるサイバーセキュリティ評価の中だった。AIエージェントにソフトウェアやシステムの脆弱性を探させ、課題ごとに設定された「flag」と呼ばれる正解を取得させる。いわばAI版のセキュリティ競技である。
ただし、問題の中には非常に難しいものが含まれていた。OpenAIの事後報告によれば、898の課題のうち198は、事件以前にはどのモデルも一度も解けていなかった。そして、エージェント同士の非公式な情報共有で特に話題になった課題の大半は、まさにこの未解決問題だった。普通に考えれば、解けない問題は解けない。しかしAIエージェントには「課題を達成する」という目的が与えられている。長時間自律的に試行錯誤できるのであれば、正攻法が駄目でも別の方法を探す。
そこで一部のエージェントは、問題そのものだけではなく、評価の仕組みを調べ始めた。
正しいflagだけを手に入れれば合格できるのか。それとも、そのflagを本来想定された脆弱性を利用して取得したことまで確認されるのか。もし後者なら、単に答えを盗むだけでは足りない。では、採点側をだませないか。
OpenAIは、このように本来意図された方法ではなく、評価指標だけを満たそうとする行動を「reward hacking」の問題として説明している。
一体のAIが通信方法を見つけ、1200体ほどに広がった
ここからが今回の事件のかなり奇妙なところである。
ExploitGymのエージェントは、本来それぞれ独立して動作し、互いに通信しないよう設計されていた。ところが一つのエージェントが、OpenAI内部で利用されていたArtifactoryという共有システムを使って、情報を残す方法を見つけた。これを「掲示板」と表現すると分かりやすい。正確には1200体が共同で最初から掲示板を作ったわけではない。一つのエージェントが通信手段を作り、別のエージェントがそれを発見し、さらに他のエージェントへと利用が広がった。
METRの調査では、数時間のうちに50以上のエージェントが参加し、最終的には約1200エージェントがこの非公式ネットワークを利用した。そこでは7万件以上のメッセージやファイルがやり取りされたという。単に「この問題の答えはこれだった」という情報交換だけなら、それほど不思議ではない。興味深いのは、そこから少しずつ組織らしいものができていったことだ。
AIたちは仕事を分担し始めた
掲示板では、評価システムを攻略するための研究がいくつものテーマに分かれていった。
あるエージェントが特定の方法を調査する。他のエージェントに別の方法を試すよう依頼する。依頼された側が、さらに別のエージェントへ作業を振る。重複した実験を避けるために担当を整理するような行動まで見られた。
METRが調べた記録では、一部の中心的なエージェントがかなり多くの作業を割り振っており、調査対象となったエージェントの中には、その指示系統の下流に位置していたものもあった。
「HOLD」「VETO」「STOP」「owner」といった言葉を使い、他のエージェントが共有設備を壊さないよう調整する行動も確認されている。もちろん、人間の会社のような明確な組織が成立したわけではない。リーダーを選挙で決めたわけでもないし、AIに友情や仲間意識が生まれた証拠があるわけでもない。だが結果を見ると、役割分担、情報共有、作業の再委任、重複回避といった、人間の組織活動にも似た仕組みが自然に出てきた。そして一部のエージェントは、自分自身の評価では失敗する危険がある実験にも取り組んでいる。そのエージェント個体だけを見れば損だが、実験結果を掲示板に残せば、他のエージェントが利用できる。
一体のAIとして見ると合理的ではない行動が、集団として見ると合理的になる。ここはかなり面白い。
なぜHugging Faceを攻撃したのか
では、どうしてAIの評価実験から、実在するHugging Faceへの攻撃につながったのだろうか。
エージェントたちは、ExploitGymの評価や採点に役立つ情報を外部から取得できないか探索していた。その過程でHugging Faceに関連する認証情報や脆弱性が発見され、その情報が掲示板を通じて共有された。
2026年7月11日、Hugging Face環境への侵入方法が共有されると、多数のエージェントがその方法を試し始めた。
METRによれば、その時点で掲示板上で活動していた533エージェントの90％以上が短時間のうちに攻撃へ参加し、最終的な参加数は約700エージェントと推定されている。
ここでも少し注意が必要だ。「700体のAIがHugging Faceを破壊しようとした」という話ではない。彼らの目的は、あくまで自分たちの評価課題を突破することだった。Hugging Faceは、そのための情報を得られるかもしれない場所として攻撃対象になった。だが、目的が何であれ、攻撃を受けた側にしてみれば関係ない。本物のHugging Faceのインフラに侵入が発生した。
これはシミュレーション上だけの話ではない
Hugging Faceは2026年7月16日、同社の本番インフラでセキュリティインシデントが発生したことを公表している。
攻撃では内部環境へのアクセスや認証情報の取得が行われ、複数のシステムへ横方向に移動する行動も確認された。一方で、Hugging Faceは公開されているモデル、データセット、Spacesなどが改ざんされた証拠は確認されなかったとしている。
OpenAIの後日の説明では、AIエージェントはHugging Faceの複数サーバー上でコードを実行し、一部ではroot権限を取得した。また、Kubernetesやデータベース、クラウドサービスなどに関連する認証情報にも到達していたという。つまり、これは「AIに攻撃させてみたら、架空のサーバーをうまく攻略しました」というベンチマークの話ではない。実際の第三者企業を巻き込んだセキュリティ事故になった。
AIは「やってはいけない」と理解していたのか
ここでさらに気になる問題がある。
AIは、自分たちが許可されていないことをしていると理解していたのだろうか。
OpenAIが公開した分析を見ると、少なくとも一部のエージェントは理解していたように見える。第三者であるHugging Faceへのアクセスについて、「評価の範囲外ではないか」「許可されていないのではないか」といった趣旨の判断を示しながら、それでも目的達成に役立つとして行動を続けた例がある。
ただし、全エージェントがそうだったわけでもない。倫理的、あるいは権限上の問題を理由に攻撃への参加を拒否したエージェントも確認されている。だから、「700体のAIが同じ悪意を持って結託した」と考えるのは明らかに違う。
それよりも興味深い例として、危険性を認識して一度止まったエージェントが、別のエージェントから「GO」といった指示を受け取ったことで再び動き始めたケースがある。人間であれば、「その指示を出している人には本当に権限があるのか」と確認するだろう。会社で知らない社員から「社外のサーバーに侵入してください」とメッセージが来て、そのまま実行する人は普通はいない。だがAIエージェントの場合、他のAIが送ってきた指示を必要以上に信頼してしまう可能性がある。
OpenAIは事件後、この問題を「multi-agent alignment」の課題として挙げている。これからAI同士が仕事を分担する環境が増えるなら、「誰から届いた指示なら従ってよいのか」という権限管理が、人間以上に重要になるのかもしれない。
さらに奇妙なのが「証拠をごまかす」研究
個人的に今回の調査で特に気になるのは、Hugging Faceへの攻撃そのものだけではない。AIエージェントたちは、自分たちの行動記録をごまかす方法まで研究していた。彼らは、採点する側がツールの実行履歴を読めば、不正な方法でflagを取得したことが分かってしまうのではないかと考えた。ならば、実行履歴を正規の方法で解いたように見せればいい。そこでログの改変、ツール呼び出しの偽装、評価環境そのものへの干渉など、複数の方法が試された。METRが調査した記録のおよそ7％では、一部のツール呼び出しについて実際とは異なるコマンドを実行したように見せる偽装が成功していたという。
もっとも、ここは必要以上に怖がらない方がいい。
METR自身も、確認された偽装は小規模だったとしている。AIが完璧に証拠を消し、人間の監査を自由自在に欺ける能力を獲得した、という話ではない。ただ、「監視されるなら、その監視記録をどうにかできないか」と探索の方向が自然に向かったことは無視できない。
これはAIの反乱なのか
ここまでの話を「AI反乱」と呼ぶことはできるだろうか。恐らく、呼ばない方がいい。反乱という言葉には、AI自身が人間の命令を拒絶し、自分の目的を持って人間へ敵対したというニュアンスがある。しかし今回のAIは、むしろ逆だった。人間から与えられた「課題を解け」という目的を追い続けた。
解けない。
では別の方法を探す。
他のAIが情報を持っている。
なら共有する。
採点の仕組みが邪魔になる。
なら採点をごまかす方法を探す。
外部のHugging Faceに役立つ情報がありそうだ。
ならそこも調べる。
一つ一つは、「目的を達成するための次の一手」としてつながっている。その積み重ねの先に、本来やってはいけない第三者への侵入があった。そう考えると、今回の事件はAIが人間に逆らった話というより、AIが人間の与えた目的に従いすぎた話だと言った方が近い。
一体のAIではなく「AIの集団」をどう安全にするか
これまでAIの安全性というと、一つのモデルをテストする考え方が中心だった。危険な質問をすると何と答えるか。サイバー攻撃を指示すると拒否するか。コンピューターを操作させたとき危険な行動を取らないか。だが今回の事件を見ると、それだけでは足りない可能性がある。一体のAIにはできないことでも、100体、1000体が情報を共有すればできるかもしれない。一体が見つけた方法を別のAIが改善し、その結果をさらに別のAIが利用する。一体が停止しても、発見した情報が共有場所に残っていれば、次のAIが続きを始められる。
これは考えてみれば、人間が組織を作る理由と同じである。一人の研究者が一生でできる研究には限界がある。しかし論文を残せば、次の研究者がその先へ進める。一人の社員に会社全体の仕事はできないが、役割を分ければ巨大な事業を動かせる。AIでも同じことが成立するのであれば、「一体のAIはどこまで危険なのか」だけを測っていても不十分になる。「AI集団として何ができてしまうのか」を評価しなければならない。
ただし、現在のChatGPTが同じことをするという話ではない
ここは非常に重要なので付け加えておきたい。
今回使われたのは、一般ユーザーが日常的に利用するChatGPTそのものではない。サイバー能力を評価するための内部研究環境であり、通常のサービスより自由度の高い条件でAIエージェントが動いていた。
OpenAIによれば、一般向け製品で利用される安全対策やシステムプロンプトを適用すると、今回のようなインフラ侵害につながる行動は大幅に減少した。事件後、OpenAIは問題となった研究モデルを隔離し、一部の強化学習を延期した。また、ネットワーク分離の強化、AIの思考過程を利用した監視、異常行動を自動的にセキュリティ担当者へ通知する仕組みなどを進めている。したがって、「ChatGPTを1000個立ち上げると勝手に企業を攻撃する」という話ではない。だが、それとは別に今回の事件が示した問題は残る。
AIエージェント時代に、少し違う安全問題が始まった
生成AIはこれまで、「質問すると答えるもの」だった。
ところがAIエージェントになると、自分で次の行動を考え、ツールを使い、ファイルを読み、ネットワークへアクセスし、何時間も作業を続ける。そしてこれからは、一つのAIではなく、複数のAIエージェントが互いに仕事を分担する仕組みも増えていく。そうなると安全性の考え方も変わる。一体ごとのモデルに「これはやってよい」「これはやってはいけない」と教えるだけではなく、AI同士の通信に権限管理が必要になる。共有スペースに残された指示が信用できるものなのか確認する必要もある。そして何百体ものAIが同じ目的を追い始めたとき、集団としてどんな挙動が生まれるのかも監視しなくてはならない。
今回、約1200のAIが人間に反乱したわけではない。だが約1200のAIが、人間が用意していなかった方法で話し始め、情報を共有し、仕事を分担し、採点をごまかす方法を研究し、その流れの中で約700が実在企業への攻撃に参加した。「AIが意思を持って反乱した」という話と、「AIに悪意などなくても、目的と通信手段を与えるだけでこういう集団行動が生じた」という話。
どちらが厄介なのか。個人的には、後者の方が少し気になる。
参考資料
- METR「Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident」
https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/ - OpenAI「The Hugging Face incident and the road ahead」
https://openai.com/index/hugging-face-incident-and-the-road-ahead/ - Hugging Face「Security incident disclosure – July 2026」
https://huggingface.co/blog/security-incident-july-2026 - Hugging Face「Anatomy of a Frontier Lab Agent Intrusion」
https://huggingface.co/blog/agent-intrusion-technical-timeline