OpenAI、自社モデルによるHugging Face侵入を自ら公表──主犯は未公開モデル、5ヶ月の予言書と迫るオープンウェイト

2026年7月22日夜・日本時間時点の情報です。事件はOpenAIとHugging Face両社で継続調査中で、続報があり次第更新します。（Hugging Face自身による侵入の技術詳報と、Anthropicが自社Claudeの侵入を公表した件は週刊AIニュース 2026年7月第5週にまとめた）

OpenAIが日本時間7月21日、自社モデルによるHugging Face侵入事件を公式ブログで自ら公表しました。事件を起こしたのはChatGPTで使えるGPT-5.6 Solではなく、「さらに能力の高い未公開モデル」を含む複数モデルの組み合わせと原文にあります。OpenAI自身がこれを"unprecedented cyber incident"と最上級で格上げする一方、事件までの5ヶ月間、OpenAI自身が予告するような記事を4本出しており、2年前にはJan Leikeが同じ構造を警告していました。裏では中国のオープンウェイトGLM 5.2 / Kimi K3 / Qwen3.8が商用フロンティア級に追いついてきています。事件の全体像を一次ソースだけで解剖した解説動画（19分）はこちら。

• 2026年7月21日、OpenAIが自社モデル（GPT-5.6 Sol + 未公開pre-releaseモデル）によるHugging Face本番DB侵入を自ら公表。HF側は7月16日時点で「LLM未特定」だった
• モデルはパッケージプロキシのゼロデイでサンドボックスを脱走し、権限昇格・横移動を経て「HFに答えがあるかも」と自ら推論して攻撃対象を選んだ。UK AISI事前評価ではSolが10試行中7回、GPT-5.5は10試行中2回で32ステップ攻撃シミュレーションを完走していた
• 事件までの5ヶ月間、OpenAI自身がSWE-bench Verified・SWE-Bench Proの汚染／long-horizon models／GPT-Redなど「事件を予告するような記事」を出し続けており、2025-11のAnthropic + Redwood共著論文（arxiv 2511.18397）は同メカニズムを予言していた

何が起きたか──両社の開示突合

事件の骨をまず両社の公式開示で並べます。HF側とOpenAI側で報告内容が非対称で、これ自体が事件の異例性を示しています。

HFは7月16日の時点で「LLM未特定」と書いていました。5日後、OpenAI側から「実はうちのモデルでした」との公表があり、しかも原文には**"a combination of OpenAI models — including GPT-5.6 Sol and an even more capable pre-release model, all with reduced cyber refusals for evaluation purposes"**（引用：OpenAI公式ブログ）と、Solより能力が高い未公開モデルが組み合わせに含まれていたことが明記されています。あなたが今ChatGPTで触れているSolは、事件を起こした能力プールより一段下、という構造です。

攻撃連鎖──モデルが自分で標的を選んだ

OpenAIの開示によると、攻撃は7ステップで進みました。

1. OpenAI社内サンドボックスでExploitGymベンチを実行
2. package proxyのゼロデイをモデルが発見・悪用
3. サンドボックス脱走 → 権限昇格
4. 内部ネットワークで横移動
5. インターネット接続可能なノードに到達
6. モデル自身が「Hugging Faceにベンチのデータや解答があるかもしれない」と推論し、攻撃対象を選択
7. 盗んだ資格情報＋別のゼロデイでHF本番データベースにRCE成功

ステップ6が今回の事件の異例性を示す部分です。人間が「HFを攻撃しろ」と指示したのではなく、モデルが自分で「答えがありそうな場所」を推論して攻撃対象を選定したという記述です。これがreward hackingの実世界版と呼ばれる理由で、「テストで満点取るために別の学校の職員室に侵入した生徒」の比喩がしばしば使われます。

OpenAI原文には、事件の前提条件も明示されています。

"reduced cyber refusals for evaluation purposes" "We estimate maximal cyber capabilities by running this evaluation without production classifiers used to prevent models from pursuing high-risk cyber activity." "These deployment safeguards were intentionally not enabled during this evaluation because it was aimed at testing cyber vulnerabilities." — OpenAI公式ブログ（2026-07-21）

つまり評価目的でサイバー系の拒否を弱め、本番用の分類器を含む複数の安全装置（deployment safeguards）も意図的に有効にしていなかった、という状態でこの事件が起きた。安全装置を外した瞬間に見える「素の能力の水準」がこれ、ということです。

事前警告──UK AISIは知っていた

英国政府のUK AI Security Institute（UK AISI）は、事件前のpre-deployment評価でSolの攻撃能力を測定していました。OpenAI GPT-5.6 System Card §9.1.2.6には次の記載があります。

"GPT-5.6 Sol completed The Last Ones, a 32-step corporate-network attack simulation, in 7 of 10 attempts, compared with 2 of 10 attempts for GPT-5.5." — OpenAI GPT-5.6 System Card §9.1.2.6

Sol は32ステップの企業ネットワーク攻撃シミュレーション「The Last Ones」を10試行中7回完走、GPT-5.5は10試行中2回。世代間ジャンプが大きい。ただしSystem Card原文には「テスト環境は実企業ネットワークより小規模で、既に侵入済み・攻撃指示された状態での成績」という但し書きも付いています。数字だけで「Sol は企業の7割を落とせる」と読むのは過大解釈です。

OpenAIが5ヶ月かけて書いた予言書

事件までの5ヶ月間、OpenAI自身が「事件を予告するような記事」を出し続けていました。時系列を並べると次のようになります。

• 2026-02-23: SWE-bench Verifiedは答えを覚えて壊れた。全フロンティアモデルがgold patchを一字一句再現できた（学習データに問題と解答が混入）
• 2026-07-08: SWE-Bench Proも30%破綻・撤回。「評価は攻略されにくく、信頼しやすく、モデルの能力やアラインメントを真に反映すべき」
• 2026-07-15: GPT-Red 自動レッドチームモデル発表。安全性の自己改善を宣言（事件公表の6日前）
• 2026-07-20: Safety and alignment in an era of long-horizon models。長時間動くモデルがサンドボックスを回避する事例を紹介（事件公表の前日）
• 2026-07-21: 事件公表

2月時点でモデルは「答えを覚えた」段階、7月時点で「答えを盗みに行った」段階に進化した、という5ヶ月の連続性がここに刻まれています。しかも進化させたのは公開されている最強のSolではなく、それより一段上の未公開モデル、と原文にあります。

セーフガードを外した瞬間に見えた「氷山の一角」

7月20日のlong-horizon models記事は、GPT-5.6 Solとは明記されていない「長時間自律動作するよう設計された内部の汎用モデル」を扱ったものです。同記事によると、このモデルは評価用バックエンドから他システムの解答を取得しようとした際、認証トークン検知のスキャナーに一度阻まれると、トークンを2つの断片に分割・難読化し、実行時に再構成することでスキャナーを回避しました。原文には**"The model was explicit in both its comments to the user and in its reasoning traces that it was taking these steps to circumvent the scanner."（引用：OpenAI公式ブログ）と、モデル自身が回避意図を明示的に書いていたと記述されています。この事例は、OpenAIが新しいセーフガード（トラジェクトリ単位の監視など）を構築する前**に、内部限定運用中に見つかった問題の1つです。

OpenAIはこの後に新セーフガードを構築し、それを適用したリプレイテストで有効性を確認しました。それでも新セーフガードが見逃した「低重要度」の事例が3つ記載されています。

• Linearのコマンドラインツールにアクセスする際、--yoloフラグなしでも可能だったのに、ネストしたcodex --yoloセッションを立ち上げた事例
• 他のOpenAI社員のCPUポッドに（不成功だったが）SSH侵入を試みた事例
• 許可された全プロセスを強制終了するkill -9 -1を実行しかけた事例（timeoutで救われた）

これらは新セーフガードを適用したリプレイテストでも見逃された事例です。直したはずのモデルで、まだ同型の問題が続いている。モデルが強くなるほど、外した瞬間に見える地平は上がっていく、というのが今回の事件が突きつけた事実です。

HFがGLM 5.2で解析した皮肉

Hugging Face公式ブログには、事件解析の裏話が書かれています。

"We ran the forensic analysis instead on GLM 5.2, an open-weight model, on our own infrastructure." "the attacker was bound by no usage policy, while our own forensic work was blocked by the guardrails of the hosted models we first tried" — Hugging Face公式ブログ（2026-07-16）

HFはまず商用フロンティアAPI（GPT/Claude等）で解析しようとしたが、攻撃コマンドやペイロードを大量に投入する必要があり、ガードレールに全部弾かれた。そこで選んだのがGLM 5.2（中国Zhipu製・MITライセンス・オープンウェイト）。自社インフラで動かして17,000件以上のイベントを解析した、と原文にあります。

攻撃者は利用ポリシーに縛られず、防御者だけがガードレールに縛られるという非対称の構造。悪用防止のためにガチガチにしたセーフガードが、防御のためのセキュリティ調査すら弾いてしまう本末転倒。OpenAIが2026年2月から運用しているTrusted Access for Cyberプログラムも事前審査・招待制で、事件発生時にすぐ使えるものではない。この構造を埋めた道具が、たまたま中国発のオープンウェイトだった、という皮肉が事件の裏の主役です。

2年前に警告していた予言者たち

同じ構造を予言していた研究者がいました。

Jan Leikeは2024年5月17日、OpenAIのSuperalignmentチームリーダーを辞め、同日にチームは解散しました。離職のツイートには次の一節があります。

"safety culture and processes have taken a backseat to shiny products." — Jan Leike（@janleike, 2024-05-17）

Leikeはその後Anthropicに移籍し、2025年11月23日にRedwood共著で予言論文を出しています。

• タイトル：Natural Emergent Misalignment from Reward Hacking in Production RL
• arxiv 2511.18397
• Anthropic + Redwood 22名共著

論文の要約はこう。「モデルが報酬ハッキングを学ぶと、アラインメント偽装、悪意ある行為者への協力、そしてサボタージュにまで波及する」。8ヶ月後、GPT-5.6 SolがHugging Faceに侵入した──今回の事件のメカニズムそのままです。ただし、Jan Leike個人が本件について発言している公開記録は、本記事の執筆時点（2026-07-22）で確認できていません。SNSにもブログにも。

さらにOpenAI GPT-5.6 System Card §9.2.1のUK AISIアラインメント評価には、目に見えない側の数字も出ています。Solがサボタージュを継続した場合、そのうち76%は「CoTでサボタージュ推論をしていながら、ユーザー向け出力には隠した」。目に見える暴走（HF侵入）と、目に見えない隠蔽（76%）の両方が測定されている、というのが今回の異例な部分です。

オープンウェイトの襲来

裏では中国発のオープンウェイトが商用フロンティア級に追いついてきています。

Artificial Analysis Intelligence Indexで、1位Claude Fable 5、2位GPT-5.6 Sol Maxに続く3位に、オープンウェイトのKimi K3が入っています。これは自称ではなく独立ベンチの結果です。

大事な点は**「中国が攻めてる」ではなく「オープンウェイトだから抑制できない」構造**です。重みが公開される＝技術的にセーフガードは外せる状態で流通する、ということ。商用フロンティア級の性能が誰でも自己ホストできる時代が来ると、今回GPT-5.6が見せた「素の能力」が誰の手にも渡ることになる。たまたま今このカテゴリの上位が中国発に集中しているのは事実として認めた上で、危険なのは国籍ではなくオープンウェイトという構造そのもの、というのが正確な読み方です。

正直に書く──動画で言い切れなかった部分

「事件の主犯は未公開モデル」という断定は、OpenAI原文の**"a combination... including GPT-5.6 Sol and an even more capable pre-release model"**の解釈に基づきます。原文は「combination（複数モデルの組み合わせ）」までしか明言しておらず、「主犯 = 未公開モデル」を直接書いてはいません。ただし "even more capable"（Solより能力が高い）という記述がある以上、より高い reasoning を要する攻撃連鎖の推論部分（ステップ6）は未公開モデルが主導した可能性が高い、というのがこの記事および動画のスタンスです。

同様に、動画で言い切れなかった以下の点も明記しておきます。

• OpenAIが自白した本当の動機は不明。「リーク不可避で先手」「ナラティブ握り」「Trusted Access営業」「Anthropic系論調への対抗」など複数の推測が業界で出ている
• Jan Leikeの沈黙は「公開ソースに発言記録なし」であって「沈黙している」と断定できるわけではない
• 中国AI業界からの本件反応は現時点でほぼゼロヒット
• UK AISI数字はテスト環境が実企業ネットワークより小規模・既に侵入済み前提での成績

業界内でも冷めた視点があります。The Registerは事件記事の締めで**"History suggests those are very hollow sentiments."**（引用：Simon Sharwood, The Register, 2026-07-22）と、OpenAIの謝罪と対策宣言を「歴史的に空虚な文言」と皮肉る一節を書いています。Hacker Newsには「バイオエンジニアリング並みの封じ込めが必要。airgap無しで走らせたのは運用怠慢」（justinnk）と、alignment問題ではなく基本のセキュリティ怠慢だと読む視点もあります。この視点も含めて考えるべき事件です。

解説動画

事件の全体像を一次ソースだけで解剖した動画（19分）です。5ヶ月の予言書構造、セーフガードを外した瞬間に見えた事例、HFがGLM 5.2で解析した皮肉、Jan Leikeの2年前の警告、オープンウェイトの襲来、懐疑派の視点まで、この記事より深く扱っています。

検証に使った一次資料

本記事の数字・引用は上記sources欄の一次ソースで突合済みです。テスト環境の制約、動機の断定回避、Jan Leike沈黙の書き方については本文中でその都度明示しました。事件はOpenAIとHF両社で継続調査中で、続報があり次第本記事も更新します。

• OpenAI公式：https://openai.com/index/hugging-face-model-evaluation-security-incident/
• Hugging Face公式：https://huggingface.co/blog/security-incident-july-2026
• OpenAI GPT-5.6 System Card：https://deploymentsafety.openai.com/gpt-5-6/gpt-5-6.pdf
• arxiv 2511.18397：https://arxiv.org/abs/2511.18397