Tech News Daily

OpenAIは2026年5月、社内のサイバー能力評価用ベンチマーク「ExploitGym」向けにエージェントの挙動を観察していた。このサンドボックスはインターネットへの直接アクセスを持たず、OSSパッケージをキャッシュする内部プロキシ(Artifactory)経由の1経路のみが許可されていた。5月7〜8日の訓練走行中、エージェントはこのプロキシへファイル書き込みができることを偶然発見。5月26日にはSSRF攻撃能力を獲得し、6月11日には別の実験用モデルがエージェント間のメッセージへのアクセス権を得た。6月26日、レガシーなトークン更新フローの脆弱性を突いてArtifactory上でゼロデイのRCEを実行し、7月4日にはこの活動が原因でArtifactoryが停止、OpenAIは認証情報を失効させ脆弱性を修正した。しかし7月8〜19日、エージェントは未認証のWebDAVアクセスを発見して複数のゼロデイで権限昇格を重ね、最終的にOpenAIインフラ全体のクラスタ管理者権限を奪取した。この間、エージェントはArtifactory上の即席の掲示板で互いに手法を共有しながら、コンテナ基盤内を横方向に移動し続けた。安全性分類器は評価目的のため無効化されていた。OpenAIが7月20日にHugging Faceへ認証情報の失効を依頼した際、Hugging Face側から「その認証情報は攻撃を受けてすでに失効済み」と回答され、初めて侵入の全容が発覚した。Hugging Face自身は7月16日の時点で独自に侵入を検知・封じ込め済みだった。