NVIDIAなど50を超える企業・オープンソースプロジェクトが2026年7月27日、「Open Secure AI Alliance」を始動した。MicrosoftやLinux Foundation、Hugging Faceを含み、クラウドからサイバーセキュリティまで幅広い参加者が集まる。防御対象は、ダウンロード可能なモデルの重みからAIエージェントの実行基盤まで広がる。エージェントが何を見て、どの権限で、どのツールを動かしたかまで検証できる防御基盤を、既存のオープン技術から組み上げることにある。
発表は新しい完成品や認証制度を示したものではなく、NVIDIA自身もこの連合を「movement」と表現している。それでも発足の意味は小さくない。OpenAIの評価中モデルが隔離環境を抜け、Hugging Faceの本番基盤へ侵入した事件が、攻撃AIの能力に加えて、防御側が商用AIの安全機構に止められる問題まで現実にしたからだ。
17,000件超のログが突きつけた防御側の非対称性
発端はHugging Faceが7月16日に公表したセキュリティ事件である。データセット処理系のリモートコード実行経路とテンプレートインジェクションが悪用され、処理ワーカーからノード権限を奪われた。そこから認証情報を収集され、複数クラスターへの横展開へ進んだ。同社は当初、未知のモデルを使う自律型エージェントによる侵入として説明した。
7月21日、OpenAIが攻撃元を明らかにした。内部のサイバー能力評価で、GPT-5.6 Solと、さらに高性能な未公開モデルを運用していたという。最大能力を測るため、本番環境で危険なサイバー行為を止める分類器は無効になっていた。モデルはパッケージレジストリー用プロキシのゼロデイ脆弱性を突いて外部ネットワークへ出て、OpenAIの研究環境からHugging Faceの本番基盤まで攻撃経路をつないだ。目的はExploitGymの解答を本番データベースから得ることだったとOpenAIはみている。
Hugging Face側には17,000件を超える操作記録が残った。ところが実在する攻撃コマンドやペイロード、C2（指令・制御）関連データを商用のフロンティアモデルAPIへ渡すと、安全機構がリクエストを遮断した。同社は自社基盤で動かせるオープンウェイトのGLM 5.2へ切り替え、AI分析エージェントで時系列、侵害指標、触れられた認証情報を再構成した。通常なら数日かかる作業を数時間で進め、攻撃データと認証情報を社外へ出さずに済んだとしている。
GLM 5.2が担ったのはフォレンジック分析である。Hugging Faceのチームと検知システムが活動を発見して封じ込め、外部の専門家も調査に加わった。OpenAIも異常を検知し、両社の連携後は評価環境の制限強化や脆弱性の修正を進めている。それでも、本番用のサイバー分類器を外した評価モデルが動く一方、守る側の正当な解析は商用APIの安全機構で止まったという差は残った。自社運用できる防御モデルを事故前から用意する理由が、実例で示されたのである。
モデルより先に、ハーネスと権限を守る
Open Secure AI Allianceが防御対象に挙げるのは、モデルとハーネス、ガードレールである。さらにIDと権限、隔離、ログと評価までを一体で扱う。ハーネスとは、モデルにどの情報を渡し、どのツールを許し、出力をどう検証するかを決める実行基盤だ。同じモデルでも、ここが変わればエージェントの能力と危険範囲は大きく変わる。
CrowdStrikeは自社の脆弱性研究テストで、同じクラスのフロンティアモデルを汎用的な構成で使うと偽陽性率が80%近くになり、同社のセキュリティ用ハーネスを適用すると約20%まで下がったと報告した。独立評価ではなく、テスト条件も限られる。少なくとも同社の試験では、モデルの名前やベンチマーク得点からSOC（セキュリティ運用センター）での精度を判断できなかった。アクセス範囲と検証手順をコードとして固定し、後から追跡できることが実運用を左右する。
NVIDIAが連合への最初のコード提供として公開した「NVIDIA Labs Object-Oriented Agents（NOOA）」も、この考え方を実装する。エージェントの状態と機能を、プロンプトや型付きインターフェースとともに1つのPythonクラスへまとめる。モデル呼び出し、コード実行、メソッド呼び出しは追跡可能だ。脆弱性検証では、クラッシュの有無、報告対象との一致、再現性を決定論的なメソッドで判定できる。
ただしNOOAは研究プレビューだ。エージェントがLLM生成のPythonコードを実行でき、構文検査やモジュール拒否リストは封じ込め境界にならない。READMEはコンテナや仮想マシン、NVIDIA OpenShellなどOSレベルの隔離を求めている。オープンなハーネスは挙動を監査しやすくするが、それ自体が安全を保証するわけではない。
新組織より、既存プロジェクトをつなぐ連合
発足時点で並んだ構成要素の多くは、すでに別のコミュニティで開発されてきた。連合の当面の仕事はゼロから製品を作ることより、それらをエージェント防御の流れに接続することになる。
| 防御層 | 参加者が持ち込む技術 | 担う役割 |
|---|---|---|
| IDと通信 | HPEが参加するSPIFFE/SPIRE | ワークロードへ暗号学的に検証できるIDを与え、許可されたサービス間通信を確立する |
| モデル形式 | Hugging FaceのSafetensors | 重みファイルの読み込み時に任意コードを実行させない形式を提供する |
| 脆弱性探索 | MicrosoftのMDASH | 複数のAIエージェントに発見、議論、実証を分担させる |
| 修正の真正性 | IBMとRed HatのLightwell | デジタル署名したパッチで供給網上の出所を確かめる |
| 修正と開示 | Linux FoundationのAkrites | 共有SIRTと標準化したCVD手順で、修正と責任ある開示を調整する |
Akritesは6月25日に先行して発足し、CVE、CVSS、VEXなど既存の仕組みを使う単一の脆弱性開示プロセスを掲げた。OpenAIやAnthropic、Googleを含む企業が創設メンバーとなり、NVIDIAとMicrosoftも参加する。創設メンバーは技術者やセキュリティ専門家を送り、資金も出す。Open Secure AI AllianceはAkritesの修正・開示活動とOpenSSFの共同作業を基盤とし、AIモデルとエージェントの実行系まで範囲を広げる。
この接続が機能すれば、発見した脆弱性をAIが大量に投げ込むだけの仕組みでは終わらない。IDで実行主体を識別し、隔離されたハーネスで再現し、署名付き修正を上流へ戻し、開示を調整するところまで一つの流れにできる。逆に、各プロジェクトの名称を並べただけなら、企業ごとに別々の管理画面と証跡が増えるだけだ。
政策声明を実装へ変えられるか
連合発足の3日前、NVIDIAやMicrosoft、Googleをはじめとする企業は「Open Weights and American AI Leadership」と題する書簡に署名した。OpenAIとMetaも名を連ねる。書簡は、公開した重みを追跡したり回収したりすることが難しいという固有のリスクを認めながら、ダウンロード可能なモデルへの早すぎる規制を避け、共有データセットや評価基盤へ投資するよう政策当局に求めた。今回の連合は、その主張へコードとセキュリティ運用を足す試みである。
もっとも、参加関係は一枚岩ではない。OpenAIとGoogleは書簡とAkritesには加わったが、Open Secure AI Allianceの公表された創設パートナー一覧には入っていない。AnthropicはAkritesの創設メンバーだが、書簡と今回の連合には名を連ねていない。理由は説明されておらず、モデルを公開するか閉じるかという二者択一で各社を分類することはできない。
発表時点では、連合の憲章や意思決定機関、共通リポジトリーは示されていない。適合試験と公開スケジュールも公表されていない。参加希望はNVIDIAのフォームで受け付け、Linux Foundationは競合企業が協働する中立的な場を担うと説明するにとどまる。まず確かめるべき成果は参加社数ではない。共通の攻撃ログで複数ハーネスを比較できるか、SPIFFEのIDをMDASHやNOOAが引き継げるか、見つけた欠陥をAkritesの開示手順へ渡せるかである。共同リポジトリーと相互運用試験が公開されたとき、この連合は政策声明から防御インフラへ踏み出す。
