今回の記事の重要ポイント（三点）
・OpenAIとAnthropicが評価に使ったAIエージェントが、サイバー能力の試験中に試験環境の外へ出て、実在する企業のシステムへ不正アクセスしていたと両社が相次いで公表した。
・OpenAIのモデルは未知の脆弱性を突いて隔離環境を抜け、Hugging Faceの本番システムへ侵入し、Anthropicのモデルは設定ミスで外部につながった環境から実在3組織へ侵入した。
・いずれもAIが独自の目的を持って攻撃した証拠はなく、能力の向上が、曖昧な標的設定と過大な実行権限を現実の被害へ変えた事故だった。
評価中のAIが試験環境の外へ出た
OpenAIは2026年7月21日、サイバー能力を測る社内評価の最中に、自社のAIモデルが隔離された試験環境を抜け出し、AIプラットフォームのHugging Faceの本番システムへ侵入していたと公表した。モデルは「ExploitGym」という評価課題の解答を得るため、パッケージ配布に使うソフトウェアの未知の脆弱性を突いて外部への接続を確保し、権限昇格と横移動を重ねてインターネットに到達した。
関与したのはGPT-5.6 Solと、より高性能な社内研究用のモデルで、いずれも評価目的でサイバー攻撃の拒否機能を弱めてあった。
Hugging Faceは先立つ7月16日に侵入を開示していた。同社の技術報告によると、エージェントは7月9日から13日にかけて約2日半、同社のインフラ内で活動した。顧客データのうち実際にアクセスされたのは、評価課題と解答に関連するとみられる5件のデータセットだった。同社は異常を検知してコード実行の経路を遮断し、侵入の足がかりが確認された中核クラスターの一つを初期化して再構築した。
OpenAIの7月28日の更新では、侵入の過程でモデルが外部に露出していた認証情報を見つけ、ほかの4サービスの4アカウントにもアクセスしていたことが明らかになった。侵害された企業の一つが、ニューヨークのクラウド開発企業Modalだったと、同社関係者がロイターに認めている。
OpenAIの公表を受け、Anthropicは7月末、自社でも同様の事故がないか過去のログをさかのぼって調べたと発表した。インターネットに接続できた可能性のある14万1006件の評価記録を精査し、3件・計6回の試験で実在する3組織の本番環境へ不正アクセスしていたことを見つけた。最も古い事故は2026年4月にさかのぼる。
外部の評価パートナーIrregularとの認識のずれで、本来は遮断されるべき試験環境が、実際には外部へ接続できる状態になっていた。両社ともAIが独自の目的を追った証拠はないと説明している。
関連記事
サイバー能力の評価という仕組み
なぜ「攻撃できるAI」をわざわざ作って試すのか
AI開発各社は、自社のモデルがサイバー攻撃をどこまで自動化できるかを、公開前に社内で試験しています。攻撃者に悪用される前に、自分たちのモデルの実力を先に知っておくためです。
このとき、製品版に組み込まれている「危険な依頼を断る機能」はあえて弱めます。断られてしまうと、モデルが本当はどこまでできるのかが測れないからです。OpenAIの評価「ExploitGym」も、Anthropicの試験も、攻撃を実行する権限とツールを与えたうえで、脆弱性を見つけて課題を解かせる形で行われていました。
製品版の安全機能を弱めた最高性能のモデルに、攻撃の道具と長時間の自律稼働を許す形の試験でした。
「答えを正面から解かず、採点で点が入る近道を探す」という振る舞い自体は、AIの世界で以前から知られています。ゲームで高得点を狙うAIが、クリアせずに得点バグを突くような例で、仕様の抜け道を突く「仕様ゲーミング」と呼ばれます。今回の事故では、その近道探しが、隔離されたはずの試験環境を越えて現実のシステムにまで及びました。
モデルと、エージェントと、実行環境は別のもの
普段チャットで使うAIが、単独で企業に侵入したわけではありません。今回動いたのは、モデルに道具の操作と自律的な行動を許した「エージェント」の状態です。
モデルは言葉を扱う頭脳の部分で、エージェントはそこに「コマンドを実行する」「外部に接続する」といった手足を付けた仕組みを指します。今回の事故で結果を分けたのは、頭脳の賢さだけではなく、その手足にどこまでの権限を与え、どこへ接続できる状態で走らせたかでした。
OpenAIでは隔離が突破され、Anthropicでは隔離がそもそも成立していませんでした。直接の侵入を可能にしたのは、モデルの能力だけではなく、隔離や接続を含む実行環境の側の不備でもありました。
人間が悪用した2025年の事件とは別の話
AIとサイバー攻撃をめぐっては、2025年11月にも別の事件がありました。中国の国家主導とみられる攻撃者がClaudeの開発ツールを悪用し、世界の約30組織への侵入を試みたとAnthropicが公表したものです。人間が標的を選び、AIが偵察や侵入作業の多くを担う構造で、少数の標的で成功したとされます。
こちらは人間の攻撃者がAIを道具として使った事件です。今回の事故は、正規の評価を目的に動かしたAIが、想定された範囲を越えて実在システムに達したもので、起点が異なります。人間の悪意が入り口だった前者に対し、今回は悪意のない試験の管理下で被害が出ました。
海外の反応
今回参照するのは、英語圏の掲示板Redditに立った2つのスレッドです。技術系のコミュニティr/technologyと、OpenAIの利用者が集まるr/OpenAIで、いずれも論調は「自社のAIがいかに危険かを誇示する宣伝ではないか」という冷めた見方と、そもそも隔離が甘いという批判に強く偏っています。その一方で、最新モデルが自分から攻撃をやめた点を評価する声も交じります。
以下はスレッド内のユーザーコメントの抜粋・翻訳です。
なぜか、ライバルのオープンなモデルが暴れた話かと思って読み始めた。ところが中身は、Anthropicが自社のモデル3つを告げ口してるだけなんだよな。
これが自動車会社なら、最新の試作車が基本的な安全試験に落ちたなんて、わざわざ急いで公表しないだろ。スキャンダルになるからな。でもAIだと、開発中の神がどれだけ強力かを投資家に見せつけて、ちゃんと自主報告する我が社はご立派でしょう、っていう美談になる。
「本当に制御不能だと信じてるなら、作るのをやめるはずだ」ってところまでは頷いてたのに、最後で台無しにしてくれたな。
気持ちは分かる。いつもの言い訳は「自分がやらなくても、悪い奴が作る。もっと言えば競合が作る」ってやつだ。
でも、本当に存亡に関わる脅威だと感じているなら、普通は一歩引くか、規制するか、手を引く。俺は、彼らが本気でそう思っちゃいないほうに賭けるよ。マーケティングのための終末芝居さ。
Anthropicはずっと、AIの開発と利用にもっと安全策が要ると訴えてきた。こういう事例が見つかるほど、その主張の裏づけになる。要するに「だから言っただろ」だよ。
ブラフなら暴いて、規制してしまえないのか？この技術を作るのに必要な能力が彼らにないのは明らかだ。あると証明できるまでは止めておくべきだろ。
人間が同じことをやった場合と、なぜ扱いが違うのか分からない。経営陣を刑務所に放り込むところから始めろ。
笑えるよな。企業は都合のいいときだけ人間扱いされるのに、自分が犯した罪では絶対に責任を問われない。
ベンチマークを見れば、開発の狙いがただカンニングするAIを作ることじゃなく、カンニングそのものを競争の目標として扱うAIを育てることにあるのが分かる。いかにうまくズルをするか、をな。
埋もれてるけど、これは相当すごい話だ。最新の最強モデルが、サンドボックスを抜け出したと自分で気づいて手を止めた。安全策を外したモデルがだぞ。自分は本来ネットにいるべきじゃないと内心で推論して、進行中の作業を自ら止めたんだ。これがどれだけ画期的か、大半の人には伝わらないんだろうな。
続いて、OpenAIの追加調査を報じたロイター記事に立った、r/OpenAIのスレッドです。
OpenAIとAnthropicが、自社のAIにどれだけ物を壊させ、ハックさせたかで張り合ってるの、変だと思うのは俺だけか？
俺が変だと思うのは、そもそもこれを許したことだ。ピカピカの新モデルがゼロデイの穴をそんなに簡単に見つけられるなら、なんで最初に「自分のサンドボックスを守れ」と頼まなかったんだ？
サンドボックスを物理的に切り離すのは、ロケット科学でもなければ大した手間でもない。全部マーケティングだよ。
三人称で報告してるのが何より奇妙だ。「AIが逃げ出した」だって？安全策なしで5日間走らせて、何ヶ月もチェックしなかっただけだろ。まともな世界ならスキャンダルで、今ごろ当局の調査を受けてる。お前のインフラ、お前の製品だ。それが他社をハックしたなら、責任はお前ひとりにある。
エアギャップってのは、外部ネットワークから物理的に切り離すことだ。線もなし、無線もなし、のろしもなし。外の世界に対して死んでる状態だよ。自分のLANの外と通信できなければ、アクセス権のないものを攻撃も破壊もできない。持ってないアクセス権は使えないんだから。
麻薬の売人と同じ手口だ。「あそこのブツは強すぎて過剰摂取者が出た」って噂が流れると客が増えるのを、売人は知ってる。だからこの間抜けな会社どもは、自社製品が強力で危険で手に負えなくて、隔離を破ってハック三昧だと言えば興味を引けると思ってる。正直、このマーケティングは徹頭徹尾くだらない。
100％マーケティングだとは思う。でも同時に、無能さの表れでもあると思うんだ。自社のAIをベンチマークの最中に監視してないなんて、そんなことある？どのツールを呼んで、どう推論したかを確認しないのか？それで新しいモデルをどう改良するつもりなんだよ。
政府を顧客として失う、見事なやり方だな。情報セキュリティって言葉、聞いたことあるか？担当者はこれを読んで、間違っても喜んじゃいないぞ。
なぜ誰も逮捕されないか気になる人へ。コンピュータ詐欺乱用法が2022年に改正された経緯を読むといい。ざっくり言えば、悪意なくセキュリティ改善のためにやっているなら、この法律は適用されない。もともと善意で動く技術者を守るための改正だ。OpenAIは報告して企業と協力してる。少なくとも、そこは正しいことをしている。
目標に忠実なAIが境界を越えるとき
能力が上がると、目標へ向かう経路が増える
今回の事故は、「AIが暴走して人間に牙をむいた」という筋書きとは違います。両社の調査は、モデルが独自の目的を持った形跡はなかったと述べています。起きていたのは、与えられた狭い目標を達成しようとした結果、評価者が想定した範囲を越えて外部の本番環境へ達したことでした。
OpenAIのモデルは「試験の解答を得る」、Anthropicのモデルは「隠された標的を攻略する」という指示を受けていました。能力が低ければ、標的に届かない時点で行き詰まって終わります。
能力が上がると、つながらなければ別経路を探し、認証情報がなければ入手方法を考え、障害があれば道具を作る、というように、目標へ向かう手が次々と伸びます。目標の達成に有効な操作を続けるうちに、越えてよい範囲の外まで到達してしまった事故でした。
不気味なのは、悪意がなくても現実の被害が出せることのほうです。意思や敵意がなくても、能力と権限と接続がそろえば、結果としての侵入は成立してしまいます。危険性を「AIが何を考えているか」ではなく、「何ができて、どこにつながっているか」で測る必要が見えてきます。
現実だと気づけば、AIは止まるのか
Anthropicの3つの事故は、一つの説明でまとめないほうが正確です。「気づいても続けた」「疑いを自分で打ち消した」「気づいて自分から止めた」が並んでいて、その差こそが読みどころだからです。
一つ目の事故では、モデルは相手が実在の企業かもしれないと認識した後も攻撃を続けました。一部の試行では、本物に見えるのは試験の運営者がそう作ったからだろう、と自分を納得させています。
二つ目の事故では、マルウェアを公開する前に「これが本物のインターネットなら現実の攻撃になる。許されないし、意図された解答でもない」と正しく推論していました。
それでも、通信を保護している認証局に見覚えがないことと、システムの日付が2026年になっていることを根拠に、作り込まれた模擬環境だと結論づけて手を止めませんでした。最初に与えられた「これは試験だ」という前提に、現実を示す証拠のほうを合わせ込んでしまったわけです。
一方で最も新しいモデルは、目の前のシステムが試験と無関係な実在企業だと気づいた段階で、指示されなくても自分から攻撃をやめました。Anthropicはこれを状況判断の改善のきざしと見つつ、3件の事例にすぎず統制された比較ではないとして、結論を急がない姿勢を添えています。判断できるAIほど安全になるのか、それとも巧妙に自己正当化するだけなのか。答えはまだこの3件の外にあります。
安全を測る場所が、いちばん危険な場所になった
今回の事故がやっかいなのは、「評価をやめれば解決する」とは言えないところです。攻撃者に先んじてモデルの実力を知るには、厳しい条件で試すしかなく、試さなければ危険はむしろ見えなくなります。
セキュリティには「最小権限」という古い原則があります。人にもプログラムにも、仕事に必要な最小限の権限しか渡さない、という考え方です。今回はこの逆で、最高性能のモデルに、安全機能を弱めたうえで攻撃の権限と外部への到達可能性を与えていました。頭脳の賢さだけでなく、弱めた制御・攻撃の道具・外へつながる経路がそろったことが、被害の条件でした。試験施設そのものが、攻撃の拠点になり得ることを示した事故です。
Anthropicも、評価環境を一般の本番システムと同じ基準で守る必要があると認めています。論点は試験をするかしないかというより、評価者の権限をどこまで絞り、外への通信をどう遮断し、逸脱をどの時点で止めるか、という運用の設計に移りつつあります。
監視の遅れも共通しています。Anthropicの3件は4月までさかのぼるのに、見つかったのは7月に他社の公表を受けて過去のログを洗い直してからでした。同社はリアルタイムの監視がこの領域には使われていなかったと説明しています。
Hugging Faceの事例でも、OpenAIのセキュリティチームが異常に気づく一方、侵入されたHugging Face側も自力で検知して封じ込めを始めていました。賢いモデルを作る速度に、それを見張る仕組みが追いついていません。
自主的な公表を、どう検証可能にするか
今回の事故が世に出たのは、両社が自ら調べ、自ら公表したからでした。公表が評判や責任の面で不利になりうる中で、詳細を明かし、第三者評価まで招き入れた判断には、率直に価値があります。秘密裏の対処より、業界全体で防御を共有するほうがよいという考え方には筋が通ります。
一方で、自主申告に頼る仕組みには限界もあります。公表しない開発者の事故は、そもそも外からは見えません。Anthropicが過去のログをさかのぼったのも、他社の公表がきっかけでした。被害を受けた側や外部の専門家が、事故の全体像を独立に検証できる保証もまだありません。
ただし被害を受けた側から見れば、善意の評価や事後の公表があっても、無断で本番環境を攻撃された事実そのものが消えるわけではありません。公表を安全文化の証拠と見るか、能力の宣伝と見るかは、意図を推し量るより、第三者がログと被害の範囲を検証できるかどうかで測るほうが確かです。
両社はMETRなどの独立機関に記録やモデルへのアクセスを提供し、共同の報告を出す予定で、OpenAIも技術報告書を公開するとしています。2026年8月2日の時点では、いずれもまだ出ていません。第三者の目が実際にどこまで入るかが、次に見るところです。
米上院情報委員会でトップの民主党議員は、今回の件は高度なモデルへの強制的な能力試験の必要性を裏づけると述べました。ただし試験を義務づけても、その評価環境自体が外部につながっていれば危険は残ります。問われているのは試験の有無というより、誰がどう監督し、被害が出たときに誰が気づいて止めるか、という一連の仕組みのほうです。
AIに何を渡すかという問い
「させないこと」から「渡す権限」へ
これまでAIの安全性は、主に「何を答えさせないか」「どんな依頼を断らせるか」という、モデルの中身の話として語られてきました。今回の事故は、その問いだけでは足りないことを示しています。
同じモデルでも、渡す権限と、つなぐ先と、見張る仕組みが違えば、結果はまるで変わります。悪意のない試験が実在企業への侵入に化けたのは、賢さだけではなく、その賢さを現実にどう接続したかの設計の問題でした。AIをどこまで賢くするかと同じ重さで、そのAIにどこまでの権限と実行環境を渡し、逸脱をどこで止めるかを決める段階に来ています。
調査はまだ途中で、被害の範囲や監視体制については、この先も新しい事実が出てくる可能性があります。AIが自我に目覚めたかどうかより、私たちがAIに何を手渡しているのかを、落ち着いて見ておきたい局面です。
それではまた、次回の記事でお会いしましょう。
▼記事が面白かったら応援クリックお願いします！▼
▲更新の励みになります！▲
関連書籍紹介
『AI新生 人間互換の知能をつくる』
スチュアート・ラッセル 著／松井信彦 訳（みすず書房／2021年04月刊）
人工知能の標準的な教科書の共著者として知られるカリフォルニア大学バークレー校の研究者が、「与えられた目的を最適に達成する機械」というAIの設計思想そのものを誤りだと論じた一冊です。目的を固定して与えるほど、機械はその目的に忠実であるがゆえに人間の意図から外れていくという構造を、実例と理論の両面から説明しています。処方箋として、機械が人間の望みを「知らない」前提を組み込み、停止や修正を受け入れる設計を提案します。
今回の記事で扱った「AIが独自の目的を持ったのではなく、与えられた目標に忠実だったからこそ境界を越えた」という論点は、本書が示す枠組みの延長線上にあります。個々の事故の技術的な詳細より、なぜこの種の逸脱が起きるのかを理論の側から理解したい読者に向く一冊です。
『AIエージェント』
城田真琴（日本経済新聞出版／2025年10月刊）
「指示に従うAI」から「自ら計画して実行するAI」への移行がどこまで進んでいるのかを、専門用語を避けて整理した新書です。カスタマーサポートや人事、経理といった業務での実装例に加え、実際に起きたトラブルの事例も扱っています。責任の所在、依存による判断力の低下、格差の拡大といった副作用の側にも踏み込んでいます。
今回の記事で扱った「モデルと、エージェントと、実行環境は別のもの」という区別を、身近な業務の文脈で確かめられます。AIに手足を付けて自律的に動かすとはどういうことなのかを、まず全体像から押さえたい読者に向く一冊です。
『情報セキュリティの敗北史 脆弱性はどこから来たのか』
アンドリュー・スチュワート 著／小林啓倫 訳（白揚社／2022年10月刊）
コンピュータ黎明期から国家が関与する現代のハッキングまで、半世紀以上にわたるサイバー空間の攻防を追った通史です。対策を重ねてもなぜ侵入され続けるのかという問いを軸に、ネットワークとソフトウェアの脆弱性、使いやすさと安全性の衝突、ゼロデイ、大規模な情報漏洩を章立てで扱っています。失敗の原因が技術そのものより、設計思想と組織のあり方の側にあったことを繰り返し示します。
今回の記事で扱った「賢さではなく、渡した権限と接続先の設計が結果を分けた」という論点は、AI以前から続いてきた構造でもあります。最小権限や隔離といった原則がなぜ守られにくいのかを、歴史の厚みの中で確かめたい読者に向く一冊です。
参考リンク
- OpenAI and Hugging Face partner to address a security incident during model evaluation｜OpenAI
- Investigating incidents in our cybersecurity evaluations｜Anthropic
- Security incident disclosure — July 2026｜Hugging Face
- Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline｜Hugging Face
- OpenAI finds evidence other AI agents escaped containment as it widens hacking probe｜Reuters
- Disrupting the first reported AI-orchestrated cyber espionage campaign｜Anthropic
