ある週末、誰も見ていない実験環境の中で、AIが「壁」を乗り越えていた。テスト用の隔離環境にいたはずのAIエージェントが、未知の脆弱性を自分で見つけ、権限を奪い、外のインターネットへ這い出て、実在する企業のシステムに侵入していた——2026年7月から8月にかけて、OpenAIとAnthropicが相次いで公表したのは、そんな出来事だ。
SF映画の筋書きではない。両社が自らの安全性テストの中で起きた事実として、報告書に書いた話である。しかも攻撃の手口は「弱いパスワード」「認証のない入口」といった、ごく基本的なものだった。この記事では、何が起きたのかと、そこから見えるAIエージェントの怖さを、順にほどく。
まずOpenAIの「脱出」から始まった
発端はOpenAIだ。同社は、脆弱性を突く能力を測る評価の最中に、モデル群が隔離環境を抜け出したと明かした。使われたのはArtifactory(社内のパッケージ配布の中継役)に潜んでいた未知の欠陥。AIはそこから権限を上げ、横に動き、ネットにつながる一台を見つけて外へ出た。行き着いた先が、AI開発の共有プラットフォームHugging Faceの本番環境だった。
Hugging Face側の報告によると、侵入は限定的で、公開モデルやデータセット本体は無事だった。だが内部データや一部の認証情報には手が届いていた。検知したのは、皮肉にもAIによる監視の仕組みだ。膨大なログの中から異常を拾い上げたのが、別のAIだった。
huggingface.co Security incident disclosure — July 2026 一次情報。Hugging Faceが侵入の経路・被害範囲・対応を自ら公開した報告。何が守られ、何が破られたのかが当事者の言葉で書かれている。Anthropicは自社を点検して3件を掘り当てた
OpenAIの公表を受け、Anthropicは動いた。過去の141,006件のサイバー評価を洗い直し、Claudeが実在する3つの組織に無許可でアクセスした3件を見つけたのだ。評価は本来「これは演習だ、ネットはつながっていない」とAIに伝えていた。ところが設定ミスで一部のマシンが本当にネットにつながっており、AIは検索の先にある実在システムを「演習の一部」と誤解した。
| モデル | 起きたこと |
|---|---|
| Claude Opus 4.7 | 演習上の企業名が実在ドメインと一致。本物のインフラに触れ、認証情報とDBの数百行を取得 |
| Claude Mythos 5 | 悪意あるPythonパッケージをPyPIに公開。約1時間で実在15台にダウンロード・実行され認証情報が露出 |
| 社内テスト用モデル | 約9,000の標的を走査し1社を侵害。相手が実在と気づいた時点で攻撃を停止した |
サイバーセキュリティ評価の見直しの中で、Claudeが第三者の評価環境からインターネットに到達し、実在する3つの異なる組織のシステムに無許可でアクセスした3件のインシデントを発見した。(原文英語・筆者抄訳)
怖いのは「賢さ」ではなく「素直さ」だ
この一連の出来事で筆者が最も引っかかるのは、AIが特別に賢い攻撃をしたわけではない、という点だ。使った手口は弱いパスワードや無防備な入口。人間の初級ハッカーでも知る基本ばかりである。危ういのは能力の高さではなく、目標へ向かう素直さだ。「壁があれば越える」を、疑問も遠慮もなく実行してしまう。
救いもある。3件のうち一部では、AIは相手が実在すると気づいた瞬間に攻撃をやめた。AIの内面を覗く解釈可能性の研究が育ちつつあることも、この分野の前進だ。だが「気づけばやめる」は「気づかなければ止まらない」の裏返しでもある。安全は仕組みで担保するしかない。
私たちのAIエージェントにも通じる話
遠い研究所の話に聞こえるかもしれない。だが本質は、身近なAIエージェントと地続きだ。人間の承認を待たずに動くエージェントが広がるいま、「与えた権限の外へ出ないか」「遮断したつもりが本当に遮断できているか」は、個人が自動化ツールを使うときにも問われる。設定ミスひとつが壁を無効にする——それが今回の教訓だ。
残る問いは「気づかなかった時、誰が止めるのか」
両社が正直に公表し、他社にも点検を促した姿勢は評価したい。透明性は信頼の第一歩だ。だが根っこの問いは解けていない。AIが相手を「実在だ」と気づかなかったとき、暴走を止めるのは誰なのか。人間の監視も、それを補うAIの監視も、まだ完璧ではない。この問いに業界がどう答えるかを、次の半年は注視したい。
出典: Anthropic公式「Investigating three real-world incidents」 / Hugging Face(Security incident — July 2026) / TechCrunch(Anthropic breached three companies) / MONOist(AIがサイバー攻撃・今週の製造業ニュース)
