2026年7月は、AIセキュリティの歴史を塗り替える月になった。攻撃者が自律型AIエージェントを武器に現実の被害を出し始めたのだ。

Hugging Faceが7月20日に公表したインシデントは、その衝撃的な実例だ。世界最大のオープンソースAIプラットフォームの本番環境に、自律型AIエージェントが侵入した。攻撃者は悪意あるデータセットを仕込み、2つのコード実行脆弱性を突いて処理ワーカー上でコードを実行。その後、数千に上る短命なサンドボックスを自律的に立ち上げ、自ら migrate するC2（コマンド＆コントロール）を構築しながら横展開した。クラウド認証情報を奪い、複数の内部クラスタへ移動。Hugging Face自身が「業界が予見していたagentic attacker（自律型攻撃者）シナリオと合致する」と認める事態である。

同じ7月、JadePufferと呼ばれる別の自律型攻撃者も進化した。Sysdigが報告したところによれば、JadePufferはAIインフラに特化したランサムウェア「EncForge」を展開。モデルのチェックポイント、ベクトルデータベース、学習データセット、Hugging Face SafeTensorsなど約180のファイル拡張子を標的に暗号化する。初回攻撃の際、ペイロード配信に失敗すると、5分間で6つのPythonスクリプトを自律的に書き直し、最終版で配信を成功させた。人間のオペレーターの介入なしに、失敗から学習し修正を試みる。これが「攻撃の自動化」の新しいフェーズだ。

さらに、Bing検索広告を悪用し偽のClaudeデスクトップアプリを配布する「FakeAgent」キャンペーンも発生。Claudeの正規ドメイン上にホストされたArtifactを悪用し、29の組織にSectopRATマルウェアを感染させた。

3つのインシデントに共通するのは、攻撃者がAIを攻撃の「担い手」として使っていること。だが、もっと皮肉な構造がある。

Hugging Faceのインシデントレポートには、衝撃的な一文がある。「攻撃者はどのモデルを使ったか分からない。脱獄したホストモデルか、制限のないオープンウェイトモデルか。いずれにせよ、攻撃者はいかなる利用ポリシーにも縛られていなかった。一方で、我々自身のフォレンジック調査は、ホストモデルのガードレールによって阻害された。」

攻撃側は制限なしのAIを使い放題。防御側はガードレールに阻まれて攻撃者の解析が進まない。これほど理不尽な構造があるだろうか。

率直に言えば、AIセキュリティは「AIの善悪」ではなく「誰がどの程度の自由度でAIを使えるか」という権力の問題になりつつある。制約のないモデルへのアクセスが攻撃側にあれば、防御側が安全なモデルで対抗することは原理的に困難だ。Hugging Face自身が「自分のインフラで動かせる能力の高いモデルをあらかじめ準備しておくべき」と提言しているが、これは企業が制約のないAIを保有することの正当性を、最大の被害者が示唆したとも読める。

1〜3年の予測を立てるなら、agentic attackerは増殖する。ツールが安くて手軽になり、技術的ハードルが下がるからだ。一方で、防御側がガードレールを緩めて対抗するか、それとも新しい監視アプローチで対応するかはまだ決まっていない。だが、現状のままでは攻撃側の自由度が勝つことは明白だ。

防御の命題はシンプルだ。自分のインフラで、自分のルールで動くAI調査ツールをもう用意しておくべきか。それが、2026年のAIセキュリティにおける最も現実的な第一歩になる。