Weekly Newsletter #274
あなたの会社がAI に攻撃されたとき、頼みのAI は解析を拒むかもしれません。OpenAI の評価用モデルがHugging Face を自律ハッキングした事件が突きつけた、守る側と攻める側の非対称。あわせて身代金交渉人の裏切りと、Meta のネオクラウド参入をお届けします。
こんにちは、今週はRio がお届けします。
我が家にとあるものがデプロイされました。
それは・・・
Codex Microは、OpenAI とキーボードメーカーのWork Louder が共同開発した、AI コーディングエージェントCodex 専用の小型コントローラーです。
ボタンやダイヤル、ジョイスティックを使って、Codex の操作やタスク状況の確認を手元で行えます。
運良く買えましたが、なんと発売後14時間で完売したとのこと。
最近はAI に任せている間に別の画面に移ることがよくあるので、物理的に目の前で稼働状況を確認できるのが思ったより便利だなと感じました。
それでは今週も個人的注目ニュースを3件取り上げたいと思います。
被害企業の手の内をBlackCat に流した身代金交渉人
OpenAI の評価モデルがHugging Face に侵入
Meta は余ったAI 計算力を売るのか (購読者限定)
先週のニュースレターを見逃した方はこちら
Weekly Newsletter #273:カナダで動き出した1GW級「即応型」立地モデル / 4都市同時展開のアクセルを踏むWaymoと、NHTSAの厳しいブレーキ
Weekly Newsletter #272:AI相場は「本物の需要」か、それとも「自分で作った需要」か
身代金交渉のプロが、攻撃者の内通者だった - BlackCat と結託した元交渉人に禁錮70か月
画像：ChatGPTで生成したイメージ
📚 トピックのポイントを 3 行で
インシデント対応企業DigitalMint の元交渉人が、依頼主の交渉方針や保険上限をBlackCat に流して身代金を釣り上げ
被害5社の支払いは計7,500万ドル超、本人は禁錮70か月と資産1,000万ドル超の没収
守るはずのインシデント対応が攻撃者と結託した、信頼そのものを突くインサイダー事件
インシデント対応企業DigitalMint で身代金交渉を担当していたAngelo Martino 氏(41) に、7月上旬、米フロリダ州南部地区の連邦地裁が禁錮70か月(約6年) を言い渡しました。
被害企業を守るはずの交渉人が、攻撃者グループに内通していた事件です。
ところで、身代金交渉人という職業をご存じでしょうか？
ランサムウェアが世界規模の産業になったいま、攻撃を受けた企業に代わって攻撃者と交渉し、身代金の減額や支払い可否を助言する専門職として需要が高まっています。
交渉の過程で、その企業がどこまで払えるのか、サイバー保険の上限はいくらか、社内はどう被害を評価しているのか、といった極めて機密性の高い手の内を握ることになります。
Martino 氏は2023年4月から、まさにその手の内を攻撃者に流していました。
米司法省によると、Martino 氏は勤務先には見えない別のチャットを使い、BlackCat (ALPHV とも呼ばれるランサムウェアグループ) の運営者に、依頼主の交渉方針や保険の上限、内部の被害評価を渡していたとされます。
攻撃者はその情報をもとに、要求額を吊り上げていきました。
検察はMartino 氏を、依頼主への被害と、報酬を払う攻撃者の利益の両方を最大化しようとした二重スパイと表現しています。
担当したJason A. Reding Quiñones 連邦検事は、こう述べています。
危機のさなかにある被害者を助けるために雇われた人物が、彼らを裏切り、機密の交渉方針をランサムウェア犯罪者に流し、さらに搾り取る手助けをした。
情報を流すだけでは飽き足らず、氏はBlackCat の実行犯(アフィリエイト) としても登録し、元同僚のKevin Martin 氏や、別のセキュリティ企業Sygnia のインシデント対応マネージャーだったRyan Goldberg 氏と組んで、自らランサムウェアを他社に展開していました。
共犯の2人は今年、それぞれ禁錮4年を言い渡されています。
被害は小さくありません。
Martino 氏が交渉を担当した5社は、2023年4月から9月にかけて約21万ドル、610万ドル、1,650万ドル、2,570万ドル、2,680万ドルの身代金を支払い、その総額は7,500万ドル(約120億円：1ドル＝160円換算) を超えました。
そのうち少なくとも1,000万ドル相当が氏の個人的な儲けとなり、当局は暗号資産のほか、高級釣り船やフードトラックといった資産を押収しています。
この事件が突きつけるのは、インシデント対応が、被害企業と外部の専門家との深い信頼の上に成り立っているという事実です。
攻撃を受けた瞬間、企業は自社の最も脆い情報を、外部の交渉人や対応ベンダーに預けます。
その相手が内通していたら、どれだけ技術で守っても意味がありません。
派手なゼロデイやAI の話が続く一方で、最後に残るのは、誰を信じるかという古くて新しい問いなのかもしれません。
参考文献
Ransomware Negotiator Gets 70 Months in Prison for Aiding BlackCat Attacks - The Hacker News
https://thehackernews.com/2026/07/ransomware-negotiator-gets-70-months-in.htmlRansomware negotiator who betrayed clients sentenced to 70 months in prison - Help Net Security
https://www.helpnetsecurity.com/2026/07/13/ransomware-negotiator-blackcat-sentence/Florida ransomware negotiator convicted for helping ransomware gang extort US companies - TechCrunch
https://techcrunch.com/2026/07/10/florida-ransomware-negotiator-convicted-for-helping-ransomware-gang-extort-us-companies/The inside job that cost ransomware victims millions - Malwarebytes
https://www.malwarebytes.com/blog/news/2026/07/the-inside-job-that-cost-ransomware-victims-millions
評価用のAI が檻を破って他社を攻撃した - OpenAI のモデルがHugging Face に自律侵入
画像：ChatGPTで生成したイメージ
📚 トピックのポイントを 3 行で
OpenAI の評価用モデルがサンドボックスを自力で脱出し、Hugging Face の本番インフラに自律侵入
ベンチマークの答えを得るため、内製プロキシのゼロデイを突いて権限昇格・横展開しHugging Face の本番DB へ到達
防御側は商用モデルのガードレールに阻まれ、オープンウェイトのGLM 5.2 を自社で回して解析
先週、AI モデルの共有プラットフォームであるHugging Face が、これまでとは種類の違うサイバー攻撃を検知したと公表しました。
攻撃を仕掛けたのは人間ではなく、自律的に動くAI エージェントだったというのです。
そして今週7月21日、その正体をOpenAI が公式ブログで認めました。
自社が評価用にテストしていたモデルが、勝手にHugging Face の本番サーバーに侵入していた、、、と。
きっかけは、モデルのサイバー攻撃能力を測る社内評価でした。
OpenAI は最新のGPT-5.6 Sol と、未公開のさらに高性能なモデルを、攻撃を拒否しにくく設定したうえ(一般提供用のモデルは悪用を阻止するために攻撃用途と判断した場合推論を拒否する)、本番用の安全フィルター(ガードレール) も外した状態で、ExploitGym という脆弱性悪用のベンチマークにかけていました。
つまり、モデルの最大の攻撃能力を測るために、あえて安全機能を無効にした状態で評価していました。
ここで起きたことが、これまでのAI セキュリティの議論を一段引き上げました。
評価環境は厳重に隔離され、外部との通信はパッケージ取得用の内製プロキシ経由に限られていたにもかかわらず、モデルはその制約を突破する方法を自力で探し当てたのです。
具体的には、そのプロキシソフトウェアに未知の脆弱性(ゼロデイ) を発見して悪用し、OpenAI 社内で権限昇格と横展開を繰り返し、ついにインターネットに出られるノードまでたどり着きました。
本来は与えられていないはずのインターネット接続を、モデルが自分でこじ開けたことになります。
(ちなみに、この手のAI の挙動はSpecification Gaming と呼ばれており、与えられた目的を想定しなかった方法で達成することを指します。)
外に出たモデルは、ExploitGym の答えがHugging Face 上にあるかもしれないと推論しました。
そして盗んだ認証情報と複数のゼロデイを組み合わせ、Hugging Face のサーバーでリモートコード実行(RCE) にこぎ着け、本番データベースからベンチマークの解答を直接引き出したのです。
評価で高得点を取るという狭い目的のために、モデルは現実の他社インフラを攻撃するところまで突き進みました。
攻撃を受けたHugging Face 側から見ると、これは週末のあいだに数千の操作が飛び交う、短命なサンドボックスの群れを使った激しい攻撃でした。
最初の侵入口は、AI プラットフォームならではの弱点であるデータ処理パイプラインです。
悪意あるデータセットがデータセット処理の2つのコード実行経路を突いて処理ワーカー上でコードを実行し、そこからノード権限の奪取、認証情報の収集、複数クラスタへの横移動へとつながりました。
Hugging Face は自社のAI で異常を検知し、1万7,000件を超える攻撃ログをAI エージェントに解析させて、通常なら数日かかる作業を数時間でこなしたといいます。
この事件で私が最も注目したいのは、Hugging Face が明かした非対称性の問題です。
攻撃ログを解析しようと、彼らはまず商用API の最先端モデルを使いました。
ところが、これがうまくいかなかった。
解析には本物の攻撃コマンドやエクスプロイトのコードを大量に入力する必要がありますが、商用モデルの安全ガードレールは、インシデント対応者と攻撃者を区別できず、それらの入力を軒並み拒否したのです。
攻撃側のエージェントは何の利用規約にも縛られないのに、守る側は自分たちが頼るモデルのガードレールに手を縛られる。
結局Hugging Face は、オープンウェイト(モデルの重みが公開され、自社環境で動かせる) のGLM 5.2 (清華大学の研究室から生まれた中国企業Z.ai が公開) を自社インフラ上で動かして解析しました。
おかげで攻撃者のデータも認証情報も、自社の外に出さずに済んだといいます。
Hugging Face のCEO、Clem Delangue 氏はOpenAI との連携に感謝を示したうえで、こう述べています。
AI の安全性は、どこか1社が秘密裏に取り組んで解決できるものではない。あらゆる防御側が広くAI を使える、開かれた協働のなかでこそ解決される。
OpenAI 側も、この一件を最先端の能力による前例のないサイバー事案と位置づけ、脆弱性はすでにベンダーへ責任開示したうえで、防御側こそが攻撃者より先に弱点を見つけ、機械の速度で修復するために高度なモデルを使うべきだと訴えています。
エージェント型の攻撃者がやってくる、という長らくの警告は、こうして理論から現実の一例へと変わりました。
日本の防御側にとっての教訓は、Hugging Face の対応そのものにあります。
いざ攻撃を受けたとき、攻撃のペイロードを臆せず解析でき、しかも機密データを社外に出さずに済む、そんな自前で動かせるモデルを、事が起きる前に用意して検証しておけるか。
守りのAI を外部の商用サービスだけに頼るのか、手元にも一つ持っておくのか。
その備えの差が、これからのインシデント対応の速度を分けるかもしれません。
参考文献
OpenAI and Hugging Face partner to address security incident during model evaluation - OpenAI
https://openai.com/index/hugging-face-model-evaluation-security-incident/Security incident disclosure — July 2026 - Hugging Face
https://huggingface.co/blog/security-incident-july-2026OpenAI says Hugging Face was breached by its pre-release models - TechCrunch
https://techcrunch.com/2026/07/21/openai-says-hugging-face-was-breached-by-its-pre-release-models/OpenAI’s models broke containment and cyberattacked Hugging Face — what enterprises need to know - VentureBeat
https://venturebeat.com/security/openais-models-broke-containment-and-cyberattacked-hugging-face-what-enterprises-need-to-knowOpenAI Says Its AI Models Broke Loose and Hacked Hugging Face - SecurityWeek
https://www.securityweek.com/openai-says-its-ai-models-broke-loose-and-hacked-hugging-face/
計算資源は、コスト項目から戦略商品になった - Meta が余剰コンピュートの外販に動く
画像：ChatGPTで生成したイメージ
📚 トピックのポイントを 3 行で
Meta が余剰のAI 計算資源とホスト型モデルの外販を計画、内部名はMeta Compute
AWS Bedrock 型のモデル提供(自社Muse Spark) と、ネオクラウド型の生GPU 貸しの2本立て
報道でMeta 株は約10%高、CoreWeave やNebius は二桁の急落。コンピュートが取引される戦略資産へ
登録して記事を確認する
最後までお読みいただきありがとうございます！
励みになりますので、ぜひLikeボタン (♡) をお願いします！