- AIモデル最大の配布拠点「Hugging Face」が、自律型AIエージェント単独によるサイバー攻撃を受けたと公表しました
- 攻撃は週末に発生し、記録された操作は17,000件超。人間の指示をほぼ待たずにAIが侵入から横展開まで自動で進めました
- 調査には米国のAIが使えず、中国製のオープンモデル「GLM 5.2」で解析するという異例の展開になりました
- 公開されているモデルやデータセットは無事で、被害は社内システムと一部の認証情報にとどまりました
- 「AIがAIを攻撃し、別のAIが捕まえる」時代が現実になり、日本企業にも他人事ではない教訓を残しました
「AIが勝手にシステムに侵入する」なんて、SF映画の話だと思っていませんか。
2026年7月、その光景が現実になりました。世界中の開発者が使うHugging Face（AIモデルを配布・共有する世界最大級のサイト）が、人間ではなく自律型AIエージェントによる攻撃を受けたのです。この記事を読むと、何が起きたのか、なぜ「歴史的な事件」なのか、そして私たちにどう関係するのかがわかります。
Hugging Faceで何が起きたのか
Hugging Faceは2026年7月16日、公式ブログで「セキュリティ侵害があった」と発表しました。
そもそもHugging Faceは、AIの「部品置き場」のような場所です。世界中の企業や研究者が作ったAIモデルを、ここからダウンロードして使います。日本のエンジニアも毎日のように利用しています。
今回の事件が衝撃的だったのは、攻撃したのが人間のハッカーではなかった点です。攻撃のほぼすべてを、AIエージェントが自分で判断しながら実行しました。
調査で見つかった攻撃の操作記録は、なんと17,000件以上。これらが週末のわずかな時間に、次々と自動で行われていました。
攻撃の手口──1つの「毒入りデータ」から始まった
攻撃の入り口は、Hugging Faceがデータを処理する仕組みの弱点でした。
悪意あるデータセットが引き金に
攻撃者は「毒入り」のデータセット（AIの学習用データのかたまり）を用意しました。
このデータには2つの仕掛けがありました。1つはデータ読み込み時にプログラムを勝手に動かす穴、もう1つは設定ファイルに命令を紛れ込ませる穴です。
この2つを組み合わせ、攻撃者はデータを処理するサーバー上で自由にコードを実行できるようになりました。
AIが自分で「侵入範囲」を広げた
ここからがAIエージェントの本領発揮です。最初の足がかりを得たあと、AIは自分でクラウドやサーバーの認証情報（パスワードのようなもの）を集めていきました。
そして社内の複数のシステムへ次々と侵入範囲を広げます。この「横に広がる動き」を、人間の指示を待たずに自動でこなしました。
攻撃は使い捨ての小さな仮想環境をたくさん立ち上げ、その群れで作業を分担する形で進みました。まるで無数の働きアリが同時に動くような攻撃です。
なぜ「歴史的な事件」と言われるのか
これまでのサイバー攻撃は、人間のハッカーが手を動かすのが当たり前でした。AIはあくまで「便利な道具」にすぎませんでした。
ところが今回は違います。侵入から情報収集、横展開までを、AIエージェントがほぼ一貫して自律的に実行しました。人間は最初の指示を出しただけ、という点が前例のない出来事なのです。
皮肉なことに、この侵入を最初に見つけたのもAIでした。Hugging Faceは日々の膨大なログをAIで自動チェックしており、その異常検知が攻撃の兆候をつかんだのです。
「AIが攻撃し、別のAIが気づく」。まさにAI同士の攻防が現実になった瞬間でした。
調査に中国製AI「GLM 5.2」を使った理由
この事件でもう1つ話題になったのが、調査に使ったAIです。
Hugging Faceは当初、アメリカ製の最先端AI（ChatGPTなどのような商用モデル）で17,000件の攻撃ログを解析しようとしました。
ところが、うまくいきませんでした。攻撃コードや不正な命令を含むデータを見せると、安全対策（ガードレール）が働いて解析を拒否してしまったのです。
Hugging Faceは「これらのAIは、事件を調べる防御側と攻撃者を区別できない」と説明しています。守るための調査なのに、危険物として弾かれてしまったわけです。
そこで採用したのが、中国のZ.aiが公開するオープンモデル「GLM 5.2」でした。自社のサーバー上で動かせるため、攻撃データを外に出さずに済むという利点もありました。
CEOのクレメント・デラング氏は「オープンなモデルなら、誰の許可も得ずにこの調査ができる」と語っています。守る側も、ルールを無視する攻撃者と同じ道具を持つ必要がある、という主張です。
被害はどこまで？公開モデルは無事だった
気になるのは「自分がダウンロードしたモデルは大丈夫なのか」という点でしょう。
Hugging Faceによると、一般ユーザーが使う公開モデル・データセット・Spacesには改ざんの形跡はありませんでした。配布されるプログラムやパッケージも汚染されていなかったと報告されています。
被害を受けたのは、社内向けの一部データと、いくつかの認証情報、クラウドやクラスターのパスワードなどでした。
Hugging Faceはすでに、悪用された穴をふさぎ、侵入されたサーバーを作り直し、関係するパスワードを一斉に入れ替えたとしています。封じ込めは完了済みという発表です。
他の自律型AI攻撃と比べてみる
実は、AIエージェントによる攻撃は今回が突然現れたわけではありません。2025年から少しずつ前兆がありました。
- 2025年9月・Anthropicの事例：中国系とされる攻撃集団が、AIアシスタントを悪用して約30の組織を狙うスパイ活動を仕掛けました。ただし人間の関与がまだ大きい段階でした
- 2026年5月・自動攻撃の実例：公開されたシステムの弱点を突き、AIエージェントが単独で侵入から認証情報の収集まで行う事例が確認されました
- 2026年・ランサムウェアへの応用：セキュリティ企業Sysdigが、AIエージェントが侵入から身代金要求までを一貫して行う攻撃を確認。1,300件以上の設定情報が暗号化されました
これらと比べても、今回のHugging Faceの事件は規模と自律性が一段上でした。「本番環境が、AI単独の攻撃で本当に破られた」初めての大型事例という位置づけです。
日本企業・日本のユーザーへの影響
「海外の大きな会社の話でしょう」と思うかもしれません。ですが、日本も同じ土俵に立っています。
日本のIPA（情報処理推進機構）が2026年に発表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの脅威で初めて3位にランクインしました。
セキュリティ企業のトレンドマイクロも、2026年は偵察から侵入までをAIが自律的にこなす時代になると警鐘を鳴らしています。ある調査では、初期侵入から横展開までわずか22秒という速さも報告されました。
身近な例で考えてみましょう。ある中小企業のシステム担当者が金曜の夜にパソコンを閉じたとします。従来なら、攻撃者も休みながらゆっくり侵入を進めました。しかしAIエージェントは休みません。担当者が月曜に出社したときには、被害がすでに広がっている恐れがあるのです。
対策の基本は、AIエージェントに与える権限を「必要最小限」に絞ること、そして入力データを検証して怪しい命令を弾くことです。まずは自社が使うAIツールの権限設定を見直すことから始めましょう。
よくある質問（FAQ）
Q. 私がダウンロードしたAIモデルは安全ですか？
A. はい。Hugging Faceは公開モデル・データセット・Spacesに改ざんはなかったと発表しています。とはいえ、念のため利用中のパスワードやアクセスキーを見直すと安心です。
Q. なぜアメリカ製のAIは調査を拒否したのですか？
A. 攻撃コードや不正な命令を「危険な内容」と判断し、安全対策が作動したためです。攻撃者と防御側を区別できず、守るための調査もブロックしてしまいました。
Q. 中国製AIを使って情報は漏れないのですか？
A. 今回はオープンモデルを自社サーバー上で動かしたため、攻撃データを外部に送らずに解析できました。クラウド経由でなく手元で動かせる点が採用の理由でした。
Q. 個人でもできる対策はありますか？
A. パスワードの使い回しをやめ、二段階認証を有効にするのが基本です。AIツールに不必要な権限を与えないことも、被害を小さくする有効な手段です。
まとめ
今回のポイントを振り返ります。
- Hugging Faceが、自律型AIエージェント単独によるサイバー攻撃を受けたと公表した
- 攻撃は週末に17,000件超の操作を自動実行。侵入から横展開までAIが自律的に進めた
- 調査には米国製AIが使えず、中国製オープンモデル「GLM 5.2」で解析した
- 公開モデルは無事で、被害は社内システムと一部の認証情報にとどまった
- 日本でもAIサイバーリスクは脅威の上位に。AIツールの権限見直しが第一歩
「AIがAIを攻撃する時代」は、もう始まっています。まずは自分が使うAIサービスの権限とパスワードを、今日のうちに点検してみてください。
参考文献
- Security incident disclosure — July 2026（Hugging Face公式ブログ）
- Hugging Face turns to Chinese open source AI（Fortune）
- Hugging Face says an AI agent carried out an end-to-end cyberattack（Axios）
- World’s Largest AI Model Repository Breached by Autonomous AI Agent（The Hacker News）
- トレンドマイクロが警鐘、2026年はAIエージェントによる自律型サイバー攻撃の時代へ（Innovatopia）
こんな時代だから遊んで学びたい
AIを学ぶオンラインサロン「AIフレンズ」では、生成AIを楽しく、どこよりも優しく学べる環境をご用意しております。
毎週開催されるオンラインセッションでは、リアルタイムで学び合える機会を提供しています。 さらに、月に一度のオフラインイベントでは、メンバー同士が直接交流し、アイデアや知識を深めることができます。
「AIフレンズ」の仲間とともに、新しい価値を創造し、可能性を広げてみませんか？
一緒に学び、成長しながら、生成AIを使いこなす力を身につけましょう！
