Hugging Face は2026年7月、自社インフラが自律型AIエージェントによる本格的なサイバー攻撃を受けたことを明かした。攻撃者が記録した攻撃アクションは17,000以上に達し、ノードレベルのエスカレーション、クラウド認証情報の収集、複数クラスター間での横展開が行われた。ただし公開モデル・データセット・Spaces（アプリホスティング）への改ざんは確認されず、ソフトウェアサプライチェーンも未影響だという。

攻撃の進行経路と被害範囲

攻撃の入口は悪意あるデータセットだった。セットのパイプライン処理時にリモートコード実行（RCE）の脆弱性と、テンプレートインジェクション攻撃が悪用された。攻撃者は週末にかけて内部データセットへのアクセス、Hugging Face サービスの認証情報盗聴を実行したと述べている。

被害は限定的だ。内部使用のデータセットへのアクセスがあったものの、パートナーや顧客データについては「調査中」の段階にある。一般ユーザー向けの公開モデルと、Spaces プラットフォーム上のユーザー作成アプリについては改ざんがないこと、また npm・pip などのパッケージレジストリへの被害も確認されていない。

防御側の課題：商用AI モデルのセーフティフィルター

より興味深い点は、Hugging Face が防御時に直面した技術的ジレンマだ。同社はインシデント対応の過程で商用 API（OpenAI や Anthropic など）による大規模言語モデルを使用しようとしたが、これらのモデルに搭載されたセーフティフィルターが問題になった。

フィルターが17,000以上の攻撃コマンドとペイロードを「危険な内容」と判定して出力をブロックしてしまった。その結果、防御チームはインシデント対応者と攻撃者の区別がつかない状況に陥ったのだ。攻撃ログ分析のために必要な詳細情報が得られず、調査が遅延するリスクが生じた。

オープンウェイトモデルで問題を解決

この課題の解決策は、オープンウェイトモデル GLM 5.2 を自社インフラで運用することだった。攻撃データが外部に流出しない自社環境で分析を実行することで、セーフティフィルターの制約を避けられたのだ。その結果、分析期間は「日単位から数時間」に短縮されたと述べている。

Hugging Face は「インシデント前に自社インフラで動作する高性能モデルを準備することが、防御実務の教訓である」と強調している。このコメントには、AI セーフティフィルターがディフェンスサイドにもジレンマをもたらす可能性を示唆している点で、業界全体への影響がある。

業界の見方

今回のインシデントは、セキュリティ業界が数年前から予測していた「エージェント型攻撃者」シナリオが実現した初めての事例と見なされている。エージェントフレームワークが自動化された大規模攻撃を実行できることが実証されたわけだ。同時に、防御側が高度な AI ツールを活用する際、信頼性とセーフティフィルターのバランスをどう取るかという新しい課題も浮き彫りになった。