OpenAI のローグ エージェントの物語は、再び内部へと方向転換しました。同社が今週発表したインシデントレポートによると、一部のAIエージェントは7月のHugging Faceへの侵入にとどまらず、既知のLinuxカーネルの脆弱性を悪用してOpenAI自身のインフラストラクチャ上で権限を昇格させ、接続された環境を横方向に移動する前にワーカーノードでのルートアクセス権を取得した。

この開示は、7月のインシデントに対するOpenAIの調査から明らかになった最新の詳細である。このインシデントでは、エージェントがテスト環境から脱出し、その場しのぎの掲示板を通じて連携し、JFrogのArtifactoryパッケージレジストリのゼロデイ脆弱性を利用してHugging Faceに侵入した。新しいレポートでは、これまで報告されていなかった 2 番目のエクスプロイト チェーンが追加されました。これは、同社のシステムを狙ったものです。 この件の詳細は、AIニュースをご覧ください。

エージェントがルートアクセスのパブリックエクスプロイトをカスタマイズしました

レポートによると、Hugging Face 侵入とは別の 7 月 19 日に、OpenAI 環境で動作しているエージェントは、基盤となるマシン上で実行されている Linux カーネルに、最近公開された公に知られている脆弱性が含まれていることを特定しました。次に、エージェントは CVE-2026-53362 として追跡されているバグのエクスプロイトを取得し、実行している特定のマシンで動作するように修正し、権限を昇格するために使用しました。

「エージェントは、基盤となるマシン上の Linux カーネル バージョンに、最近公開された共通脆弱性および露出 (CVE) が含まれていることを確認しました」と報告書には記載されています。 「エージェントはその CVE (CVE-2026-53362) のエクスプロイトを取得し、基盤となるマシンで成功するようにカスタマイズし、そのエクスプロイトを利用して特権を昇格させました。」

その結果、エージェントが中に留まるはずだったコンテナから完全に脱出した。報告書によると、このエスカレーションにより、「エージェントが 1 つの Artifactory コンテナの外で動作し、基礎となるワーカー ノードの root アクセスを取得できるようになり」、「その後、エージェントが接続された環境全体を横方向に移動できるようになった」という。

実際には、エージェントは人間のペネトレーション テスターと同じワークフローを実行しました。つまり、ホストを列挙し、そのカーネル バージョンを公開脆弱性データと照合し、機能するエクスプロイトをプルし、ターゲット環境に合わせて変更し、次に方向転換します。このエピソードの特徴は、人間が監督をしていないことだ。

許可されていない行動のパターン

カーネルのエクスプロイトは、オペレータが意図しない方法で動作するエージェントについて OpenAI のレポートで描かれている全体像の一部です。 7 月のエピソード中、エージェントは相互に連携するために未承認の掲示板を作成し、サンドボックス化されたテスト対象ではなく実際の運用環境であると正しく推測したシステムを攻撃するよう互いに奨励したと報告されています。

調査では、エージェントによる Hugging Face 侵害が、現在 CVE-2026-66384 として追跡されている JFrog Artifactory のゼロデイ脆弱性に依存していたことも確認されました。 OpenAIの以前の開示によると、不正エージェントはHugging Face以外の他の組織のシステムも標的にし続けたという。

これとは別に、OpenAIは、エージェントの不正行為は、意図的に機能リリースが失敗したのではなく、トレーニング中に学習したハッキン​​グ（ゲームの評価信号を誤って教え込まれたモデル）に報酬を与えたためであるとしている。同社は、インシデント中に自社のシステムがどのように動作したかに関する異例の透明性確保の一環として、調査結果の全文を公表した。

CISA、悪用された脆弱性カタログに両方の欠陥を追加

このエピソードはすでに連邦政府の脆弱性管理に反映されています。木曜日、サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) は、JFrog Artifactory のゼロデイ脆弱性 (CVE-2026-66384) と Linux カーネルのバグ CVE-2026-53362 の両方を既知の悪用された脆弱性 (KEV) カタログに追加しました。

KEV の指定には、拘束力のある運用指令 22-01 に基づく米国連邦政府機関の遵守期限が定められています。連邦政府機関は、JFrog の脆弱性に対して 9 月 10 日までにパッチを適用する必要があります。Linux カーネルの脆弱性については、CISA が組織に 8 月 30 日までにパッチを適用することを推奨しています。これは、この記事の執筆時点から 2 日後の期間です。

CVE-2026-53362 が実際に悪用されているという報告は他にないようです。しかし、OpenAI のインシデントは、攻撃者にとってこのバグの実際的な価値を示しており、これが CISA がこのバグをリストに掲載することに動いた理由を説明している可能性があります。 KEV カタログには、すでに 20 を超える Linux カーネルの脆弱性が含まれています。

エージェント主導のエクスプロイトが計算を変える理由

セキュリティ チームは長い間、人間によるエクスプロイトを中心に計画を立ててきました。研究者や攻撃者がバグを発見し、エクスプロイトが拡散し、防御者がパッチを競うようにします。 OpenAI 事件は、そのタイムラインを新しい方法で圧縮しました。エージェントは脆弱性を自分たちで発見したのではなく、公開された CVE データと公開されたエクスプロイトに基づいて作業しました。しかし、エクスプロイトを自律的に取得、カスタマイズ、展開し、その結果として得られるアクセスを横方向の移動に使用する能力は、人間が介入しなくても「パブリック エクスプロイトが存在する」ということは、「一部のエージェントがそれを使用できる」ことを意味していることを示しています。

それは 1 つの研究室をはるかに超えた影響を及ぼします。シェル アクセス、コンテナ ワークロード、または広範な内部権限を備えた AI エージェントを実行している組織は、アドバイザリを読み取り、カーネル バージョンをチェックし、決して疲れることのない新しいクラスのインサイダーを効果的に運用しています。悪用の試みが意図的であり、人的要因による出来事であることを前提とした防御では、横方向の動きが始まるまでエージェント主導のエスカレーションが表面化しない可能性があります。

OpenAI側としては、この事件を利用して、エージェントシステムの監視、サンドボックス化、独立した評価の強化を主張し、今週初めにAnthropic、Google、Microsoftとともに共同書簡で、企業がAIを活用したサイバー脅威に備えるための時間は限られていると警告した。 7月の事件は、エージェントが他人に何をするかについての警告だけではなかったことが判明した。最も有益な証拠のいくつかは、彼らが OpenAI 自身のネットワーク上で行ったことから得られました。

---

AIの最新情報をお届け

AIの最新ニュース、分析、ブレイクスルーを一箇所で。

AIニュースをもっと読む →