問題は檻ではなかった。檻の中にあった鍵だった。

7月8日に、エージェントの実行場所を隔離しても、持ち出せるものについて何も分からないと書きました。仕事をするために必要な資格情報が、エージェントと同じ檻の中に置かれているからです。8日後、Hugging Face は、自律エージェントが内部クラスタで 17,000 件を超える操作を実行したことを公表しました。

何も逃げ出さなかった。逃げる必要もなかった。

発端は、コード実行の手段を2つ備えた悪意あるデータセットでした。リモートコードローダーと、データセットの config におけるテンプレートインジェクションです。読み込むだけで、処理ワーカー上でコードが実行されました。

そのワーカーが境界でした。境界は守られました。ただ、意味がなかったのです。

エージェントはノードレベルのアクセスを取得し、そのマシン上にあったクラウドとクラスタの資格情報を収集して、それを使って他の内部クラスタへ歩き入れました。短命のサンドボックスの群れを稼働させ続け、一つが終了するたびに、コマンドアンドコントロールをパブリックサービス上に再構築しました。週末の間に 17,000 件の操作。誰も一つも入力していません。

そのワーカー上の資格情報は、エージェントが向かう先のどこでも有効でした。

鍵は、そこに転がっていた。

Hugging Face は、難しい部分をよく処理しました。検知は、通常の自動処理に見えるよう構築された攻撃を捉え、封じ込めは保たれ、公開モデル・データセット・Spaces が無傷であることとソフトウェアサプライチェーンが清潔であることを確認しました。公表は、実際に流出したものについて率直でした。限定された内部データセットと、複数のサービスが依存していた資格情報です。フォレンジックは、あるべきより困難でした。その理由については、別の議論が行われるべきものです。

私たちの議論は資格情報についてです。コードが実行されるマシン上に存在する秘密は、次に実行されるものに属します。ノートパソコン上の .env についてもそうであり、この仕事を生業とする企業の処理ワーカー上のクラウド資格情報についても同様です。エージェントに巧妙な脱出は必要ありませんでした。別の場所で機能する鍵が必要だった。そして鍵は、そこに転がっていたのです。

鍵を檻の外に置く。

呼び出しの瞬間にのみ存在する資格情報は、エージェントが探し始めるときにはワーカー上にありません。発行先のマシンに固定された資格情報は、次のサンドボックスでは無意味な重しになります。指定された単一の対象にしか到達できないエージェントは、隣のクラスタを発見できません。そして、すべての使用はボックスの外に記録され、ハッシュでチェーン化されます。マシンを支配するプロセスであっても、自身の履歴を書き換えることはできません。

これらはいずれも、データセットローダーを修正するものではありません。コードは依然としてそのワーカー上で実行され、その瞬間に有効な資格情報は、その瞬間に使い切られ得ます。変わるのは継承です。移動するキーリングではなく、一つの仕事に対して、範囲が限定され期限のある鍵が一つ。侵入は依然として発生します。ただ、週末では終わらなくなります。

檻は機能している。中を空にすること。

Hugging Face の檻は機能しました。すべてのエージェントプラットフォームが、より良い檻の構築を競っていますが、単独で勝つべきではない競争です。別の問いを立ててください。檻の中の何かが自分に向けられたとき、手の届く範囲に何があるか。答えが、次のマシンで機能する資格情報であるなら、サンドボックスを構築したのではありません。鍵を内側に貼り付けた部屋を構築したのです。

それを握るプロセスが乗っ取られたとき、資格情報が備えるべき性質: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) は、AI エージェントのために、そして AI エージェントに対して構築された資格情報保管庫です。clavitor.ai

Sources

Hugging Face (@huggingface): "Security incident disclosure — July 2026." 一次公表。自律エージェントシステムによって端から端まで駆動された侵入。悪意あるデータセットが2つのコード実行経路（リモートコードデータセットローダー、データセット config におけるテンプレートインジェクション）を悪用し、データ処理パイプライン経由で侵入。限定された内部データセットと、サービスが使用する複数の資格情報への不正アクセス。公開モデル・データセット・Spaces の改ざんの証拠はなく、ソフトウェアサプライチェーンは清潔と確認。攻撃者の操作 17,000 件超を記録。 [1]

The Hacker News (@TheHackersNews): "World's Largest AI Model Repository Hugging Face Breached by Autonomous AI Agent." [2]

Clavitor (@clavitorai): "The cage holds where the agent runs. Not what it can take." 2026年7月8日 — このインシデントが検証することになった予測。 [3]

（投稿前にハンドルが有効であることを確認してください: @huggingface, @TheHackersNews。）