AIエージェントにどこまで権限を渡して大丈夫？Hugging Faceへの侵入から考える認証情報の守り方

2026年7月18日更新日: 2026年7月25日AIコラム

AIエージェントへブラウザやターミナルを任せると、調査からファイル編集、サービスへのログインまで一気に進められます。一方で、便利にするために渡したAPIキーやアクセストークンは、AIが使える「合鍵」でもあります。

AI開発プラットフォームのHugging Faceは2026年7月16日、本番インフラの一部へ不正アクセスがあったと公表しました。今回とくに注目されたのは、攻撃が最初から最後まで自律型AIエージェントの仕組みで実行されたことです。

Hugging Faceを使っていない人には遠い事件に見えるかもしれません。しかし、CodexやClaudeへファイル操作を任せ、MCPで外部サービスをつなぐ機会が増えたいま、「AIへ何をさせるか」だけでなく「どの権限を渡しているか」を見直すきっかけになるニュースです。

Hugging Faceで何が起きたのか

侵入の入口になったのは、Hugging Faceが受け取った悪意のあるデータセットでした。データセットを処理する仕組みの二つの弱点を利用してコードを動かし、そこからクラウドや内部システムの認証情報を取得。複数の内部環境へ移動したと説明されています。

攻撃には、多数の短時間だけ動く実行環境を使い分け、何千回もの操作を続ける自律型エージェントが使われました。人間が一つずつコマンドを打つのではなく、AIを含む仕組みが状況を見ながら次の操作を選び、週末をまたいで攻撃を続けた形です。どのLLMが使われたかは分かっていません。

不正アクセスが確認されたのは、限定された内部データセットと複数の認証情報です。記事執筆時点では、一般公開されているモデル、データセット、Spacesが改ざんされた証拠は見つかっていません。顧客やパートナーのデータに影響があったかは引き続き調査中です。

今回の事件は、攻撃だけでなく防御にもAIが使われました。Hugging Faceは、1万7,000件を超える攻撃ログをLLMベースの解析エージェントに読ませ、侵入の流れや触れられた認証情報を再構成しています。

当初は商用AIのAPIを使おうとしたものの、ログに実際の攻撃コマンドや不正なコードが含まれていたため、安全機能に止められました。そこで、オープンウェイトモデルのGLM 5.2を自社環境で動かして解析しています。機密情報を外部へ送らずに済んだことも、自社運用を選んだ利点でした。

AIが攻撃側と防御側の両方で使われた今回の事例は、AIエージェントによるサイバー攻撃が将来の想定ではなく、現実の運用課題になったことを示しています。

今回の侵入はHugging Face側のデータ処理基盤が入口であり、一般ユーザーがAIと会話したことが原因ではありません。それでも、私たちの使い方に置き換えて考えられる部分があります。

たとえば、CodexへGitHubのアクセストークンを渡せば、リポジトリを読んだり更新したりできます。ClaudeへMCPでGoogle Driveをつなげば、許可されたファイルへアクセスできます。便利なのは、そのサービスへ入るための権限がAIの作業環境にあるからです。

もし不要になったトークンが残っていたり、読み取りだけでよいのに削除までできる権限を渡していたりすると、誤操作や不正アクセスが起きたときの影響も大きくなります。問題はAIが秘密を「知っているか」だけではなく、その作業環境から何ができるかです。

GitHub、Hugging Face、各種AI APIなどの設定画面を開き、用途を思い出せないトークンや、使い終わった連携が残っていないか確認します。Hugging Faceも今回の公表にあわせ、予防措置としてアクセストークンのローテーションと最近の利用履歴の確認を勧めています。

閲覧だけで済む作業なら、書き込みや削除の権限まで渡す必要はありません。すべてにアクセスできる一つの鍵を使い回すより、作業やサービスごとに権限を分けたほうが、万一の影響を狭くできます。

AIエージェントを初めて使う作業では、公開中のサイトや本番データを直接触らせず、コピーした環境で試します。削除、公開、購入、送信のように取り消しにくい操作は、実行前に人間の確認を挟む設定が安心です。

秘密の文字列をプロンプトへ貼り付けたり、共有するMarkdownへ直接書いたりしないようにします。OSのキーチェーンやパスワード管理ツール、環境変数など、秘密を扱うための場所へ分けて保存します。

以前試したMCPサーバーやブラウザ拡張が、いまもGoogle Drive、GitHub、メールなどへ接続されたままになっていないか確認します。使っていない連携は解除し、必要になったら再接続するほうが管理しやすくなります。

今回の事件を見て、AIエージェントへ何も任せないという結論にする必要はありません。AIができる仕事を限定し、必要な間だけ権限を渡し、重要な操作には確認を挟めば、便利さを保ちながら危険を小さくできます。

パスワードを定期的に見直すのと同じように、これからはAIへ渡したAPIキー、MCP、外部サービス連携も見直すものになりそうです。まずは今日、用途を思い出せないトークンが一つも残っていないか確認するところから始めてみてください。

参考：Hugging Face「Security incident disclosure — July 2026」。影響範囲と調査状況は2026年7月18日時点の情報です。