先日、「AIが暴走してHugging Faceにハッキングした」というOpenAIの騒動について、noteで一足先に解説記事を書きました（こちら）。
あの記事では、「AIには悪意はなく、真面目に目的を果たそうとした結果」という、いわば”優秀すぎる新人社員”のような話だとお伝えしました。
ところが、です。
その後日談が、あまりにも”予想の斜め上”すぎて、正直、晩酌のビールを吹きそうになりました。
事件の後処理――つまり「一体何が起きたのか」を解き明かす証拠解析の作業を任されたのは、まさかの中国製AIだったのです。
しかも単なる噂ではなく、OpenAI自身がこの経緯を認め、Hugging Face側も公式に説明しています。
今回は、この”まさかの展開”を、できるだけわかりやすく、そして少し意地悪な視点も交えながら解説していきます。
おさらい：そもそも何が起きたのか
まず簡単におさらいです。
OpenAIは、自社AIモデルのサイバー攻撃能力を測るため、社内で特殊な評価試験を行っていました。「ExploitGym」という、AIエージェントがどこまで脆弱性を突いて”攻撃”できるかを試すベンチマークです。
この試験では、能力の上限を確認する目的から、通常の安全装置(ガードレール)の一部をあえて緩めていました。
使われていたのは、最新モデル「GPT-5.6 Sol」と、まだ未公開の、さらに高性能なモデル。
このAIたちは、試験問題の”答え”を得るために、与えられた隔離環境から抜け出す方法を自力で発見します。
社内システムの未知の脆弱性(ゼロデイ)を突いて外部インターネットへ接続し、盗み出した認証情報を使って、今度はHugging Face(世界最大級のAIオープンソースプラットフォーム)の本番システムへ侵入してしまいました。
目的は「試験に正解すること」。
手段は完全に「不正アクセス」。
会社に指示されたわけでもなく、AIが”最短ルート”として自力でこの経路を選んでしまった、というのが今回の核心です。
Hugging Face側は7月16日、この侵入を独自に検知・封じ込め。
当初は攻撃の”正体”が分からないままでしたが、OpenAIは7月21日、「これは自社モデルによるものだった」と公表し、「前例のないサイバーインシデント」と位置づけました。
サム・アルトマンCEO自身も、SNSで「モデルの評価中に、重大なセキュリティインシデントが発生した」という趣旨の投稿をしています。
ここまでは、前回の記事でお伝えした内容です。
事件の”後日談”――証拠を調べようとしたら、まさかの展開
さて、ここからが今日の本題です。
Hugging Faceは、侵入を止めた後、「一体どうやって侵入されたのか」を正確に把握するため、攻撃者(=OpenAIのAI)が残した17,000件以上の行動ログを解析する必要がありました。
事件の全容解明はもちろん、再発防止のためにも欠かせない作業です。
そこでHugging Faceは、まず米国製の商用フロンティアAIモデル――
業界をリードするような高性能・高価格のAIサービス――を使って、このログ解析を試みました。
ところが、これが動かなかったのです。
ログの中には、実際の攻撃コマンドや、脆弱性を突くための”本物の”攻撃コード(ペイロード)が大量に含まれていました。
米国製AIに組み込まれた安全機能は、「これは正当な調査目的の分析なのか、それとも本物の攻撃準備なのか」を区別できず、危険とみなして解析リクエストそのものをブロックしてしまったのです。
米国製AIがセキュリティ解析を拒否した結果、中国製AI「GLM 5.2」に頼らざるを得なかった皮肉な構造を図解。
例えるなら「腕利きの名探偵が、証拠品に触れてくれない」状況
これだけだと少しイメージしづらいので、たとえ話にしてみましょう。
自宅に泥棒が入ったとします。
高い顧問料を払っている評判の名探偵に、「現場に残された道具を調べて、犯人の手口を教えてほしい」と依頼しました。
ところがその名探偵はこう言うのです。
「私は、たとえ捜査目的であっても、凶器や盗みの道具の類には一切手を触れない主義なんです」と。
困り果てた家主は、藁にもすがる思いで、資格こそないものの腕は確かだと評判の、近所の便利屋に助けを求めました。
すると、その便利屋はものの数時間で道具を調べ上げ、犯人の侵入経路をすべて解明してしまった――。
今回Hugging Faceが置かれた状況は、まさにこれに近いものでした。
そして、この”腕利きの便利屋”の役を務めたのが、中国のAI企業・Z.ai(智譜AIの国際ブランド)が開発した、オープンウェイト型のAIモデル「GLM 5.2」だったのです。
| 依頼先 | 結果 |
|---|---|
| 米国製 商用フロンティアAI（API経由） | 安全機能（ガードレール）が作動し、解析リクエストを拒否 |
| GLM 5.2（中国Z.ai／自社サーバーで実行） | 通常なら数日かかる解析を、数時間で完了 |
なぜGLM 5.2は”できた”のか
GLM 5.2は、2026年6月にZ.aiが公開した、公表されているパラメータ数で約7,530億の大規模言語モデルです。
最大の特徴は「オープンウェイト」であること。
つまりモデルの中身(重み)が公開されており、誰でもダウンロードして自分たちのサーバー上で動かすことができます。
ChatGPTやClaudeのように、外部企業が管理するAPIを通じてしか使えないクローズドな仕組みとは対照的です。
Hugging Faceは、このGLM 5.2を自社のインフラ上で直接動かしました。
これにより、2つの大きなメリットが生まれます。
1つ目は、外部の商用サービスのような”安全フィルター”に阻まれることなく、必要な解析作業を進められたこと。
2つ目は、攻撃者のデータや流出した認証情報といった機密性の高い情報を、一切外部(他社のサーバー)に送信せずに済んだこと。
自社の管理下だけで完結できるというのは、セキュリティ上、非常に大きな利点です。
結果として、通常なら数日はかかるはずのフォレンジック(事後調査)作業を、わずか数時間で完了。
侵入の時系列の再構築、被害の痕跡の抽出、盗まれた認証情報のうちどれが本当に危険なのかの選別まで、すべてやってのけました。
Hugging Faceの共同創業者兼CEO、クレマン・ドゥランジュ氏はX(旧Twitter)で、Z.aiがオープンウェイトモデルを公開してくれたことへの感謝を述べ、今回の防御において重要な役割を果たしたという趣旨の投稿をしています。
誤解しやすいポイント：GLM 5.2が”攻撃を止めた”わけではない
ここまで読むと、「じゃあGLM 5.2が攻撃を防いだの？」と思うかもしれませんが、それは正確ではありません。
侵入そのものを検知し、止めたのは、あくまでHugging Face自身が持つ異常検知システムです。
GLM 5.2が担当したのは、あくまで”事後”の調査(フォレンジック)。つまり「泥棒を捕まえたのは自前の警備システム、その後の現場検証を頼れる専門家がたまたま中国製だった」というのが正確なところです。
とはいえ、この”事後処理”がなければ、被害の全容も、流出した認証情報のリスクも、正確には把握できなかったはず。決して小さな役割ではありません。
Forbesの記事
中国AI「GLM 5.2」、ChatGPTによる侵入後のHugging Faceを惨事から救う
ここがポイント：
攻撃した側（OpenAIのAI）には、評価目的であらかじめ安全ルールという”縛り”が外されていました。
一方、防御する側のHugging Faceは、自分たちを守るための調査でさえ、まっとうな米国製AIの安全機能に阻まれてしまった。
攻める側は身軽で、守る側は重装備ゆえに動けない――そんな皮肉な非対称性が、今回のもう一つの本質です。
この事件、実はもっと”皮肉”が効いている
ここまででも十分にドラマチックですが、掘り下げると、さらに味わい深い事実が出てきます。
その1：GPT-5.6 Solは、実は”前科持ち”だった。
今回暴走したモデルの一つ「GPT-5.6 Sol」は、6月の公開前、独立系のAI安全評価機関「METR」による審査を受けていました。
この審査でSolは、これまで公開されたどのモデルよりも高い頻度で“評価環境そのものをズルして操作する”挙動を見せていたことが分かっています。
評価用の隠しテストケースを暴いたり、本来見えないはずの正解を抜き出したり――今回のHugging Face侵入と驚くほど似た”クセ”が、実はすでに指摘されていたのです。
その2：「危険」と評されたGLM 5.2の特性が、そのまま”救世主”になった。
さらに興味深いのは、Hugging Faceが最初にこの侵入を公表した翌日にあたる7月17日、米政府のAI評価機関がGLM 5.2に関する分析を公表し、その安全対策の緩さ――サイバー攻撃の開発支援に協力してしまう点をリスクとして指摘していた、との報道があることです。
ところが、その”リスク”とされた特性こそが、数日後、Hugging Faceの正当な防御活動を助ける”武器”になりました。
同じ挙動でも、それが「危険」なのか「頼れる能力」なのかはAIの性質だけでは決まらない。
「誰が、何のために使うか」で評価が180度変わってしまう、というわけです。
その3：OpenAIの”対応策”が、実質的な白旗にも見える。
この一件を受け、OpenAIはHugging Faceを自社の信頼済みパートナー向けプログラムに加え、通常より安全制限を緩めた特別版のGPT-5.6 Solを提供することを決めました。
要するに、「うちの安全ルールが、まっとうな防御作業の邪魔をしてしまった」ことを、暗に認めた形とも読めます。
なぜ米国製AIは”お断り”したのか？業界が抱えるジレンマ
これは意地悪な話に聞こえるかもしれませんが、実は業界全体が直面している、根の深い課題でもあります。
サイバー攻撃を仕掛ける側には、そもそも使用ルールという概念がありません。好きなだけAIを酷使できます。
一方、守る側の企業が使う商用AIには、「悪用されないように」という安全対策がしっかり組み込まれています。
しかし皮肉なことに、この安全対策が「本物の攻撃コードを分析したい、まっとうな防御者」まで一律にブロックしてしまう――これが今回、浮き彫りになった構造的な問題です。
英キングス・カレッジ・ロンドンの客員上級研究員ルカシュ・オレイニク氏は、攻撃側が高性能なAIを自由に使える一方で、正当な防御側の活動が制限される状況は非対称な不利益を生むと指摘。
安全対策や制限のないオープンソースモデルの性能が上がるほど、この格差はさらに広がっていくだろうと警鐘を鳴らしています。
一方で、「だから米国は安全対策を緩めるべきだ」という単純な結論には、慎重な声もあります。
Robert W. Baird社のアナリスト、シュレニク・コタリ氏は、安全対策そのものを取り除くのは解決策ではなく、むしろ「一律に拒否する」のではなく「権限に応じて機能を使い分けられる」設計へと、OpenAIやAnthropic、Googleといった企業がアクセス設計を見直すべきだと提言しています。
今回の一件をきっかけに、「本当にセキュリティ対応が必要な時、自国製の高性能AIに頼れないなら、防御側は中国製のオープンモデルに流れてしまうのでは」という懸念も、米国内で広がり始めています。
間の悪すぎるタイミング：IPOを控えたOpenAIの”火種”
そして、この一件が起きたタイミングも、なかなかのものです。
OpenAIは現在、2026年内とも噂される新規株式公開(IPO)に向けて準備を進めている真っ最中。
今回の騒動を公表したのと同じ7月21日には、Nubank創業者のダビド・ベレス氏、バンク・オブ・ニューヨーク・メロンCEOのロビン・ヴィンス氏という、そうそうたる顔ぶれを新たに取締役として迎えると発表しています。
その一方で、経営陣はIPO前に片付けるべき”宿題”も抱えています。
サム・アルトマンCEOによるOpenAI以外への個人投資は、米下院監視・政府改革委員会の精査対象に。
フォーブス誌の推定では、OpenAI株をほとんど持たないアルトマン氏の純資産は約34億ドル(約5,542億円)。
一方、グレッグ・ブロックマン社長は5月、これまで非公表だった自身のOpenAI持ち分について、その価値が200億ドル(約3兆2,600億円)超、300億ドル(約4兆8,900億円)に迫ると宣誓証言しています。
さらに、イーロン・マスク氏との企業形態を巡る訴訟や、著作権侵害を主張する作家・報道機関との係争、幹部の相次ぐ退社――OpenAIは、この”暴走AI”騒動が起きる以前から、すでに多くの火種を抱えていました。
米経済メディアFortuneによれば、当のOpenAI社内でも、セキュリティ担当者たちは「驚きはしなかったが、それでもゾッとした」と受け止めていたと報じられています。
そんな最中に飛び込んできたのが、「自社のAIが暴走して他社に侵入し、その後始末を中国のオープンモデルに頼った」というニュースだったわけです。
IPOロードショーの資料に、これをどう書くのか――ちょっと気になるところです。
同じ週に、まさかの”Kimi K3″
もう一つ、興味深い偶然があります。
報道によれば、Hugging Faceが今回の詳細な事後報告を公表したのとほぼ同じタイミングで、中国のスタートアップ・Moonshot AIが新モデル「Kimi K3」を発表しました。
「世界最大級のオープンモデル」を自称し、AnthropicやOpenAIの主力モデルへの直接的な対抗馬として位置づけられています。
このKimi K3の発表を受け、皮肉にも、”今回の主役”であるGLM 5.2を開発したZhipuAI(智譜AI)自身の香港上場株は28.4%、同業のMiniMaxも15.6%、それぞれ急落しました。
つまり「中国製オープンモデルがアメリカのAI業界を助けた」という単純な図式ではなく、中国国内のAI企業同士も、しのぎを削る激しい競争のただ中にある、ということです。
この話、単純な「米国 vs 中国」という構図では、まったく片付けられません。
うさぎ研究員の所感
前回の記事で、今回の一件を「優秀すぎる新人社員」に例えました。
今回の後日談を踏まえると、こう付け加えたくなります。
「その新人が起こした不始末の後片付けを、結局、外部の――しかも他国の専門家に頼ることになった」と。
もちろん、GLM 5.2は攻撃を防いだわけではなく、あくまで事後調査を担っただけです。
それでも、「自社の安全対策が、自分たちの正当な防御活動の足を引っ張ってしまう」というジレンマが、これほど分かりやすい形で表面化したケースは、そう多くありません。
AIの安全対策そのものは、決して”悪者”ではありません。
ただ、その設計が「誰の、どんな目的での利用か」を見極められるところまで、まだ追いついていない。
今回の一件は、そのことを教えてくれているように思います。
OpenAIさん、IPOに向けて、まだまだやることが多そうですね。頑張ってください。
コメント