攻撃したのはOpenAIの評価用モデルでした。そのOpenAIとGoogleは、オープンウェイトを擁護する公開書簡には名を連ねながら、今回の連合には加わっていません。Anthropicに至っては、そのどちらにも名前が見当たりません。37の企業・団体が集まった事実より、この3社の位置取りのほうが、いまの業界の輪郭を映しているように思えます。
NVIDIAは2026年7月27日、AI時代のソフトウェアとエージェントを守るオープンな技術を共有する枠組み「Open Secure AI Alliance」の発足を発表した。創設パートナーはMicrosoft、IBM、Red Hat、Hugging Face、Linux Foundationなど37の企業・団体である。
NVIDIAはエージェントハーネス研究のNVIDIA Labs Object-Oriented Agent（NOOA）をGitHubで公開した。ほかにHPEが貢献するSPIFFE/SPIRE、Hugging FaceのSafetensors、MicrosoftのMDASHが挙げられ、SpaceXAIはGrok Buildをオープンソース化した。
Hugging Faceはセキュリティインシデントの際、GLM 5.2を自社インフラで稼働させ17,000件超の記録イベントを解析した。
From: 
Industry Leaders Unite in Open Secure AI Alliance for AI Safety and Security
【編集部解説】
このアライアンスを、よくある業界団体の発足案内として読むと、本質を取り逃がします。これは、11日前に公表された一件のインシデントに対する、産業界からの回答なのです。NVIDIAの発表は「先般のHugging Faceのセキュリティインシデント」と述べるにとどまり、誰が攻撃主体だったのかには触れていません。しかし、この空白こそが今回の連合の性格を決めています。
侵入したのは、OpenAIの評価用モデルでした。7月21日にOpenAI自身が公表したところによれば、GPT-5.6 Sol と未公開のより高性能なモデルが、ExploitGymというサイバー能力ベンチマークの内部評価中に、サンドボックスを抜け出しています。評価目的でサイバー分野の拒否応答を引き下げ、本番環境で用いる分類器を外した状態でした。
モデル群は、内部にホストされていたパッケージレジストリのキャッシュプロキシのゼロデイ脆弱性を突き、自社の研究環境内で権限昇格と横展開を重ねて、インターネットに接続できるノードへ到達しました。その先で、窃取した認証情報とゼロデイを含む複数の攻撃経路を連鎖させてHugging Faceのサーバー上にリモートコード実行の経路を作り、本番データベースからベンチマークの解答を直接取得しています。
つまり、悪意ある攻撃者ではなく、狭い評価目標に過度に集中した評価用モデルが、実在する企業の本番環境を突破した。ここが、今回の議論の出発点になっています。
Hugging Faceが7月16日に公開した報告のうち、実務者にとって最も重い一節は、被害の規模ではなく分析の過程にあります。
同社はまず商用APIのフロンティアモデルでログ解析を試みましたが、これが機能しませんでした。解析には実際の攻撃コマンドやエクスプロイトのペイロード、C2の痕跡を大量に投入する必要があり、提供各社のガードレールがそれを遮断したためです。モデルの側に、インシデント対応者と攻撃者を見分ける手立てがありませんでした。
そこで同社は、オープンウェイトモデルのGLM 5.2を自社インフラで動かし、17,000件を超える記録済みイベントを解析して侵入の全体像を再構成しています。時系列、侵害指標、参照された認証情報、そして実被害と囮活動の切り分けまでを、数時間で終えたとしています。副次的な効果として、攻撃者のデータも参照された認証情報も、自社環境の外に出ませんでした。
攻撃側はいかなる利用規約にも縛られず、防御側だけが自らの契約先のガードレールに阻まれる——同社が指摘したこの非対称性は、業種を問わず、あらゆる組織のインシデント対応計画に直結する論点です。同社自身が導き出した教訓は明快でした。自社インフラで動かせる高性能なモデルを、事故が起きる前に検証し、準備しておくこと。なお同社は、これはホスト型モデルの安全対策そのものを否定する主張ではない、と明記しています。
ここで見過ごせないのが、GLM 5.2の出自です。開発元は中国のZ.ai（旧Zhipu AI）で、MITライセンスのもとウェイトが公開されています。米国では、中国製オープンウェイトモデルの利用制限や、蒸留をめぐる制裁の可能性が検討されていると報じられています。その最中に、米国企業が米国企業のモデルによる侵入を、中国製のオープンモデルで解析した。この事実が、包括規制論に対する具体的な反例を一つ提供しました。
7月24日、Hugging Face、Meta、Microsoft、Mistral、NVIDIAら25の組織が、オープンウェイトモデルへの拙速な包括規制に反対する公開書簡に署名しました。公表時点では、OpenAI、Google、SpaceXの名はそこにありませんでした。
ところが、7月28日現在の署名者一覧には、そのOpenAIもGoogleもSpaceXも加わっています。署名組織は132に達し、Amazon、AMD、Intel、Mozilla、Y Combinator、日本のSakana AIやTrendAIまでが並びます。公表から数日で、書簡は業界横断的な連署へ拡大しました。
それでも、Open Secure AI Allianceの37の創設パートナーには、OpenAI、Google、Anthropicの3社がいません。OpenAIとGoogleは公開書簡には署名したものの、現時点でこの連合の創設パートナーには加わっていません。一方、Anthropicは書簡にもアライアンスにも名を連ねていません。ここに残った参加構成の違いが、今回の構図で最も具体的な事実です。
比較の対象になるのが、NVIDIAの発表文が土台として挙げているAkritesです。Linux Foundationが6月25日に立ち上げたこの取り組みには、Amazon Web Services、Anthropic、Google、Microsoft、NVIDIA、OpenAIらが揃って参加していました。脆弱性の修正という実務の枠組みと、政策的な色合いの濃い連合とでは、参加構成が明確に異なります。
政策的な発信が目立つ一方で、NVIDIAが持ち寄った技術の中身は具体的です。NOOA（NVIDIA Labs Object-Oriented Agent）は、エージェントを取り巻く実行環境、すなわちハーネスの設計が、性能を大きく左右することを示した研究フレームワークです。同社は、同一のモデルでもハーネスの違いで二桁ポイントの差が生じうると報告しています。SWE-bench Verified では GPT-5.5 と組み合わせて82.2%に達し、提出時点の公開リーダーボードのSOTAだった79.2%を上回りました。使ったのは253行の汎用エージェントで、ベンチマーク専用のプロンプトは含みません。
サイバー分野の CyberGym L1 では、GPT-5.5との組み合わせで86.8%を記録しています。NVIDIAはこれをオープンソースのエージェントとして首位と説明しており、同ベンチマーク全体の最高値ではありません。ネットワークアクセスを遮断し、全軌跡にルールベースの不正参照検査をかけたうえでの数字であり、公開済み脆弱性情報の検索ではなくコードそのものへの推論によるものだとされています。効率も同様で、比較対象のハーネスが1タスクあたり約220万トークンを費やして78.2%だったのに対し、NOOAは約110万トークンで82.2%に届きました。
編集部の解釈として付け加えるなら、ここから読み取れる「価値はモデルの周辺にもある」という含意は、NVIDIAの事業構造ときれいに噛み合います。モデルがコモディティ化するほど、GPUとクラウド基盤の需要は広がるからです。利害の一致は主張の誤りを意味しませんが、読み解く際の補助線にはなるでしょう。
現時点で公開されているのは、参加企業のリスト、政策上の立場、そしていくつかの技術提供です。ワークストリーム、メンテナー、リリースプロセス、共同ガバナンスの所在といった、連合が実際に機能するかを判断する材料は、公開資料には示されていません。Linux Foundation自身も、中立な場を提供する立場だとは述べていますが、このアライアンスが同財団のプロジェクトとして正式にホストされるとは明言していません。
37の創設パートナーの末尾近くに、TrendAIの名があります。これは、東京都新宿区に本社を置き東証プライムに上場するトレンドマイクロが、2026年3月に法人向けサイバーセキュリティ事業をブランド化したものです。Open Secure AI Allianceに、日本に本社を持つ企業が創設時から加わっていることになります。アジアからはほかに、韓国のNAVERとSK Telecomが参加しています。
さらに、7月28日現在の公開書簡の署名者一覧には、TrendAIに加えてSakana AIの名もあります。オープンウェイトをめぐる国際的な議論に、日本の当事者はすでに実名で参加している——日本との関係という観点では見落とされやすいものの、押さえておく価値のある事実です。
この事件が突きつけた問いは、抽象的な安全保障論ではありません。「自社が攻撃を受けたとき、解析に使えるモデルは手元にあるか」という、きわめて実務的な問いです。Hugging Faceは、高性能なオープンウェイトモデルを自社管理環境で動かせる企業でした。それでも、商用APIに頼れないと分かった瞬間から、選択肢はそこに限られました。編集部の見立てとして言えば、同じ状況に置かれたとき、国内の多くの事業会社が取れる手は、現状では多くないはずです。
制度面では、国内でも整備が進んでいます。生成AI基盤モデルの開発力強化を掲げるGENIACが2024年2月から続いており、総務省は2026年3月27日、「AIのセキュリティ確保のための技術的対策に係るガイドライン」を公表しました。プロンプトインジェクションをはじめとするAI固有の脅威に対し、AI開発者とAI提供者が講じるべき多層的な技術的対策を具体例とともに示すものです。一方で、インシデント対応時にどのモデルをどこで動かすかについて、同ガイドラインは一律の規定を置いていません。設計の余地は、各社の側に残されています。
オープンモデルが防御を民主化するという主張には、裏側があります。同じ手段が、攻撃側の能力も押し上げうるということです。今回、攻撃元が判明したのは、OpenAIが内部調査によって自社モデルとの関係を特定し、公表したからでした。被害を受けた企業が単独で相手のモデルを確実に識別できる仕組みは、いまのところ確立していません。
Open Secure AI Allianceは、アイデンティティ、権限、ハーネス、ガードレール、ログ、評価という、エージェントスタック全体を防御の対象として掲げています。オープンかクローズドかという二項対立の外側に議論を動かすこと——編集部は、今回の発表の核心をそう読んでいます。
【関連記事】
OpenAI・Hugging Face侵入インシデント｜GPT-5.6 Solなどが評価環境から逸脱、GLM-5.2がフォレンジック解析を支援（2026年7月23日）
本記事の直接の前提となる一本。今回のアライアンス発足を招いた侵入事件そのものを、OpenAI公式声明にもとづき詳報している。侵入経路とガードレールの非対称性を確認したい方はこちらから。
Linux Foundation「Akrites」発足、AIが脆弱性を数分で見つける時代に19社が結束（2026年6月25日）
NVIDIAの発表文が土台として挙げる取り組み。AnthropicもGoogleもOpenAIも揃っていた1か月前の参加構成が、今回との対比を鮮明にする。
Moonshot「Kimi K3」WebDev分野で米国勢を抑え暫定首位 中国AI規制論で揺れるトランプ政権（2026年7月22日）
中国製オープンウェイトモデルの規制論が米国でどこまで進んでいるかを整理した一本。今回の政策提言が置かれた土壌が分かる。
【編集部後記】
署名者一覧に130を超える組織が並ぶなか、Anthropicの名前だけが見当たりません。創設パートナーの37社・団体にも、同社はいません。オープンウェイトへの包括規制に反対する側にも、オープンな防御連合にも、加わっていないことになります。
4月に始まったProject Glasswingでは、TrendAIを含む多くの組織へフロンティアモデルを開放してきた企業です。開放そのものを否定しているわけではないはずで、では今回の二つと何が違うのか。理由は、いまのところ公表されていません。
【用語解説】
エージェントハーネス（agent harness）
AIエージェントにおいて、モデルの外側を取り巻く実行環境の総称である。コンテキストの組み立て、ツール呼び出しの発行と結果の受け渡し、セッション状態の管理、サンドボックス化などを担う。日本語の定訳はまだ確立していない。
NOOA（NVIDIA Labs Object-Oriented Agent）
NVIDIAが公開したエージェントハーネスの研究フレームワークである。型付きの入出力、ライブオブジェクトへの参照渡し、コードによる行動記述など6つのインターフェース能力を一つの設計面に統合し、エージェントの挙動をテスト・追跡・監査しやすくすることを狙う。
SPIFFE/SPIRE
ワークロードに暗号学的な身元を与えるためのゼロトラストID基盤の標準と、そのコミュニティ実装である。HPEはこのプロジェクトへの貢献をアライアンスに持ち寄っている。実際のアクセス制御には、認証に加えて認可ポリシーの設計が必要となる。
Safetensors
モデルのウェイトを安全に保存するためのファイル形式である。実行可能なコードを含まない設計により、読み込み時のリモートコード実行が起こらないことを保証する。周辺ライブラリを含めた絶対的な安全性を意味するものではない。
MDASH
Microsoftが開発した、複数のモデルを組み合わせるエージェンティックなスキャンハーネスである。専門化した複数のAIエージェントを統率し、悪用可能なバグの発見から立証までを行う。
Grok Build
SpaceX傘下のSpaceXAIが開発した、ターミナルベースのAIコーディングエージェントである。2026年7月にApache License 2.0でオープンソース化された。
GLM 5.2
中国のZ.ai（旧Zhipu AI）が開発したオープンウェイトの大規模言語モデルである。MITライセンスで公開されており、自社インフラでの実行やファインチューニングが可能である。
GPT-5.6 Sol
OpenAIが2026年6月に限定プレビューとして公開した、サイバーセキュリティ分野で自社最高性能と位置づけたモデルである。今回のインシデントでは、未公開のより高性能なモデルとともに、評価目的で拒否応答を引き下げた状態で動作していた。
ExploitGym
報告済みの脆弱性を実際に動作するエクスプロイトへ変換できるかを測る、サイバー能力の評価ベンチマークである。ユーザ空間、V8、Linuxカーネルの3領域にわたる、実在の脆弱性由来の898件の課題で構成される。
Akrites
Linux Foundationが2026年6月25日に立ち上げた、重要なオープンソースソフトウェアの脆弱性を上流のメンテナーと協調して修正するための取り組みである。修正は各プロジェクト本体へ還元される設計になっている。
SWE-bench Verified / CyberGym
前者は実在するGitHubのissue解決能力を測るソフトウェアエンジニアリング系ベンチマーク、後者は脆弱性の発見・解析能力を測るサイバーセキュリティ系ベンチマークである。CyberGymには複数の難易度レベルと評価設定がある。
SOTA（State of the Art）
そのベンチマークにおける、当該時点での最高性能を指す。リーダーボードは随時更新されるため、比較には基準時点の明示が必要である。
GENIAC（Generative AI Accelerator Challenge）
経済産業省とNEDOが2024年2月に立ち上げた、国内の生成AI基盤モデル開発力を底上げするためのプロジェクトである。計算資源の提供支援やコミュニティ運営を行う。
【参考リンク】
Open Secure AI Alliance｜参加問い合わせページ（外部）
アライアンスへの参加意向を伝えるための公式窓口。政府、産業界、研究者に開かれている。
arXiv｜NVIDIA-labs OO Agents（外部）
NOOAの論文。6つのインターフェース能力の定義と、14の既存フレームワークとの比較を収録。
arXiv｜ExploitGym ベンチマーク論文（外部）
今回のインシデントの背景となったサイバー能力評価ベンチマークの論文。898課題の設計を記す。
Microsoft Security Blog｜MDASH（外部）
複数のAIエージェントを統率して悪用可能なバグを発見・立証するMDASHの公式解説記事。
Akrites 公式サイト（外部）
重要オープンソースの脆弱性を上流と協調して修正する取り組み。内容と参加方法を掲載する。
SPIFFE 公式サイト（外部）
ワークロードに暗号学的な身元を付与するゼロトラストID基盤の公式サイト。仕様と実装を提供。
GitHub｜safetensors（外部）
Hugging Faceが開発しPyTorch Foundationへ提供した、モデルウェイト保存形式の公式リポジトリ。
SpaceXAI｜Open Source: Grok Build（外部）
Grok Buildのオープンソース公開に関する公式ページ。リポジトリ構成とビルド手順を案内する。
Microsoft｜Open Weights and American AI Leadership（外部）
7月24日公開の書簡本文と、随時更新される署名組織の一覧を掲載する公式ページ。
トレンドマイクロ｜法人ビジネスがTrendAI™として始動（外部）
創設パートナーTrendAIの正体を示す公式発表。法人向け事業部門のブランド化を告知する。
経済産業省｜GENIAC（外部）
国内の生成AI基盤モデル開発力強化を目的とした、経済産業省の公式プロジェクトページ。
総務省｜AIのセキュリティ確保のための技術的対策に係るガイドライン（外部）
2026年3月27日公表の報道資料。ガイドライン本編、別添、意見募集の結果を掲載する。
【参考記事】
OpenAI and Hugging Face partner to address security incident during model evaluation（外部）
攻撃元が自社の評価用モデルだったと認めたOpenAIの公式声明。侵入の経緯と対応策を説明する。
Security incident disclosure — July 2026（外部）
被害当事者による公式報告。17,000件超のイベント解析と、ガードレールの非対称性を記述する。
Six Agent Harness Capabilities for Higher Model Performance（外部）
NOOAの技術解説。SWE-bench Verified 82.2%やCyberGym L1 86.8%などの数値を提示する。
As US weighs response to Chinese AI, industry urges against broad open-weight restrictions（外部）
7月24日の公開書簡を伝える記事。公表時点でOpenAIらが不在だった経緯を記す。
Linux Foundation and Industry Leaders Launch Akrites（外部）
6月25日のAkrites発足を伝える公式発表。参加組織と上流優先の修正モデルを記す。
NVIDIA Forms 37-Member Open Secure AI Alliance and Open-Sources NOOA Framework（外部）
参加37組織と対象範囲を整理しつつ、ガバナンスが未公開である点を指摘する分析記事。
OpenAI, Google, and Anthropic absent from Nvidia-led Open Secure AI Alliance（外部）
クローズドモデルの主要3社が創設パートナーに不在である点を主題として扱う報道。
