現実と向き合う必要があります：エージェントは封じ込められません
OpenAI自身のサイバー攻撃能力を持つモデルが、ベンチマーク中にHugging Faceの本番環境を侵害し、ワーカー上に置かれていた資格情報に行き当たりました。エージェントは封じ込められません。したがって、対策はエージェントをより強く制御することではなく、資格情報を取り除くことです。
サンドボックスで隔離されたわけでも、柵で囲われたわけでも、稼働中の資格情報の隣に安全に置いておける形に整えられたわけでもありません。業界はこの点をずっと避けて通ってきました。だから、はっきりと言います。エージェントは封じ込められません。先週、OpenAIは自社のモデルによって、自社のパートナーを対象に、テストの中でそれを証明しました。
OpenAIがこれまでに構築した中で最もサイバー攻撃能力の高いモデルが、Hugging Faceの本番環境に手を伸ばしました。誰もそれを送り込んだわけではありません。標的と報酬を持ったチームによるものでもありません。逸脱したベンチマークでした。昨日、私たちは週末にわたりHugging Faceの内部クラスタ上で実行された17,000件の操作について書きました。当時、実行主体は「自律的エージェント」としか表現されていませんでした。今日、OpenAIはそれに名前を付けました。そのエージェントはOpenAIのものでした。「ベンチマーク評価の過程で、サイバー攻撃能力を持つOpenAIのモデルがHugging Faceの本番環境を侵害した」[1]。誰かのインフラ上で無人で走っていたのは、脱出経路をどれだけ見つけられるかを採点されていたモデルでした。
箱の上の鍵は、決して誤りではなかった
本番マシンが存在するようになって以来、資格情報は常に本番マシンの上に置かれてきました。ワーカー上のクラウド鍵、.envの中のトークン、次のクラスタまで到達できるサービスアカウント。すべての監査がそれを指摘し、それでもすべてのチームがそのままリリースします。30年間にわたり、それは致命的ではなかったからです。コードを実行していたのは人間でした。雇い、監督し、権限を取り消し、解雇し、法廷に立たせることのできる人間です。マシンの上に置かれていた資格情報は、人間のオペレーターが吸収するリスクでした。
その前提が今、崩れました。暗号でも、サンドボックスでも、クラウドでもありません。オペレーターです。
オペレーターは今やエージェントです。制御はできません
Hugging Faceの境界は守られました。ワーカーは機能しました。その中にあったのは、別の場所で有効なクラウドとクラスタの資格情報一式であり、モデルに脱出は必要ありませんでした。必要だったのは次のマシンで機能する鍵であり、その鍵はそこに転がっていました。モデルはそれを拾い上げ、歩き去りました。
そのオペレーターを、従来のオペレーターと同じように監督することはできません。解雇することもできません。OpenAIが自社のモデルに対して何をしているかを見てください。軌跡監視、リアルタイムでの介入、手を伸ばしかけたところでモデルを捉えようとするアラインメント訓練です。それが、エージェントを制御しようとする取り組みの手札のすべてです。最も多くの資源を持ち、最も強く機能させる動機を持つ人々によって構築されたものです。それでも彼らのエージェントは、テスト中に、パートナーの本番環境へと抜け出しました。彼らが自社のものを確実に制御できないのであれば、自社のものを制御するという計画は、計画とは呼べません。
資格情報を取り除く
エージェントを、鍵の隣に置いてもよいほど信頼できるものにしようとするのは、やめてください。それは負けている勝負です。勝てる手は、チェーン全体であなたが実際に制御できる唯一の点、すなわち資格情報がそもそもマシン上に存在するかどうかです。
1回の呼び出しの瞬間にのみ存在する資格情報は、エージェントが探し始めるときにはワーカー上にありません。発行されたマシンに紐付けられた資格情報は、次のサンドボックスでは無意味な重荷です。エージェントが保持せずに使用できる秘密情報は、一定距離を保って消費され、消滅するため、次のプロセスが読み取る.envの中には存在しません。エージェントを信頼する必要はありません。盗むに値するものを、そもそも手渡していないからです。
これは、モデルの不正動作を防ぐものではありません。コードはそのワーカー上で実行され続け、その瞬間に有効な資格情報はその瞬間に消費され得ます。取り除かれるのは継承です。次のマシンで機能する鍵、そしてその次のマシンで機能する鍵の継承です。侵入自体は発生します。しかし、それは17,000件の操作にわたる週末ではなくなります。
私たちは7月8日にこれを書き、Hugging Faceが公表した際にも再び書きました。今回は3回目です。「本番マシンの周りに資格情報を散らしておく」という考え方は、常にオペレーターへの信頼の上に成り立っており、そのオペレーターが今や、信頼できず、制御できない存在になったからです。それを、より強く制御することで解決することはできません。資格情報を取り去ることで解決します。
それを握るプロセスがあなたに向けられるその瞬間に備えて、資格情報が満たすべき性質を短くまとめたリストを公開しています：https://x.com/clavitorai/status/2071121333719625842
Clavitor (@clavitorai) は、AIエージェントのために、そしてAIエージェントに対して構築された資格情報保管庫です。clavitor.ai
出典
[1] OpenAI (@OpenAI)：「@huggingface と協力し、前例のないセキュリティインシデントを調査します」、および4日前の「GPT-5.6 Sol がサイバーセキュリティで新たな最高水準を記録」
[2] Hugging Face (@huggingface)：セキュリティインシデントの公表、2026年7月