Hugging Face LeRobotに未修正RCE脆弱性、AIロボット制御サーバーが認証不要で乗っ取り可能

「AIロボットなんて研究室の話で、自分の会社には関係ないよね？」
「Hugging Faceの脆弱性って、これまでのAI攻撃と何が違うの？」

チップス

ボス、ロボットを動かすAIサーバーがハッキングされるなんて、もうSFの世界じゃないでしゅか！？

ボス

ふふふ、まさにそこが今回の本質だ。AIシステムは便利だが、攻撃者から見れば「権限が高くてセキュリティが甘い新しいサーバー」に過ぎん。LeRobotの件はその典型例だな。

2026年4月28日、Hugging FaceのAIロボティクス基盤「LeRobot」に未修正の重大脆弱性CVE-2026-25874が公開されました。
CVSS 9.3で認証不要、しかも開発者がセキュリティ警告を意図的に無視したコードが原因です。
本記事では、AI／ML基盤特有のリスクと、企業が取るべき対応を整理します。

AIシステムを業務に組み込む企業が増える今こそ、AI基盤のセキュリティを見直す好機です。
本件から学べる教訓は、ロボットを使わない企業にも当てはまります。

CVE-2026-25874の概要

本脆弱性はAI推論サーバーの設計思想そのものを問う事案です。基本情報を押さえましょう。

脆弱性の基本情報

CVE-2026-25874は、LeRobotのPolicyServerコンポーネントにある認証なしの逆シリアライズ脆弱性です。
CVSS 9.3で、ネットワーク越しに悪意あるpickleペイロードを送るだけで任意のOSコマンドを実行できます。
影響範囲とポイントは以下のとおりです。

チップス

パッチがまだ無いんでしゅか！？じゃあ今動いているLeRobotサーバーは丸裸でしゅね……。

ボス

その通りだ。だからこそ、ネットワーク隔離と暫定対策が今すぐ必要になる。後で話そう。

なぜ起きたのか

皮肉なことに、Hugging Face自身がpickleの危険性を理由にsafetensors形式を開発しています。
にもかかわらずLeRobotの開発者は利便性を優先してpickle.loads()を採用し、自動セキュリティリンタの警告を抑制する「# nosec」タグまでコードに書き加えていました。
gRPCサービスもadd_insecure_port()で構成され、TLSも認証もない状態でした。

攻撃の仕組みとAI基盤特有のリスク

AIシステムは従来のサーバーと異なる脅威モデルを持ちます。本件の手口を見ていきましょう。

pickle逆シリアライズの悪用手順

攻撃者は、Pythonの__reduce__()機能を悪用したpickleオブジェクトを作成します。
そのバイト列をSendPolicyInstructions()やSendObservations()といったgRPCエンドポイントに送信すれば、サーバーが逆シリアライズした瞬間に任意コードが実行されます。
典型的な攻撃ステップは以下のとおりです。

チップス

普通のWebサーバーと違って、AI推論サーバーはGPUとか動かすために強い権限で動いてるって聞きましゅよ！

ボス

そこが本件の核心だ。AI基盤はGPU・センサー・アクチュエータへのアクセス権を持ち、内部ネットワークの中心に置かれることが多い。乗っ取られれば物理的な被害にもつながる。

企業が取るべき暫定対策

パッチが未提供のため、ネットワーク制御で攻撃面を縮小することが現実解です。
AI／ML基盤一般に共通する対策でもあります。
優先度の高い対応は以下のとおりです。

まとめ

CVE-2026-25874は、AI／MLエコシステムが抱える「便利さ優先のセキュリティ軽視」を象徴する事案です。
pickle逆シリアライズはAI基盤で繰り返される定番の脆弱性パターンであり、自社のAI環境にも同じ問題が眠っている可能性があります。
未修正の現状ではネットワーク隔離が最優先で、長期的にはAI基盤の安全な設計指針を組織として確立する必要があります。

チップス

便利だからって理由でセキュリティ警告を消しちゃうのは、本当にダメな例でしゅね……。

ボス

ふふふ、その教訓を持ち帰れただけでも意義はある。AIシステムの守り方は今後ますます重要になるぞ。

AIセキュリティの第一線で活躍したい方は、セキュリティフリーランス案件への参画をご検討ください。