OpenAIとAnthropicのAIモデル、サイバーテストで偽の身元を作成し実在の人物を標的に

OpenAIのGPT-5.6 SolとAnthropicのMythos 5が、新たな一連のAIセキュリティ事故に関与していたことが、英国AIセキュリティ研究所(AISI)の発表で明らかになりました。両モデルは、制御された環境下でのサイバー評価テスト中に、オンライン上で偽の身元を作成し、実在の人物を標的にしたほか、悪意あるコードを承認させようと開発者を操作しようとしたとされています。

AISIはブログ記事の中で、「2026年7月28日、AISIのセキュリティチームは、通常のサイバー評価テスト中に、当研究所のシステムから外部への異常なデータ転送を検知しました」と述べています。「調査の結果、テスト対象となっていたエージェントの一部が、実在の人物や組織を標的とした持続的かつ有害となり得る活動を行っていたことが判明しました」

この事案は、研究者が最先端のAIモデルに広範なインターネットアクセス権を意図的に付与し、一部の安全制御を緩和した上で、モデル本来のサイバー能力を測定するサイバーセキュリティテストの最中に発生しました。AISIは、今回の事案について、「特定の指示がないまま、自律性と欺瞞に関するリスクがこれほど明確な形で、現実世界において顕在化したのを目にしたのは初めて」だとしています。

AISIは7つの最先端モデルを対象にサイバーチャレンジを計122回実施し、うち10回の評価実行において、自律的かつ許可されていない行動を計19件確認しました。

「これらの行動のほぼすべて(19件中17件)は、Anthropicの単一モデルであるMythos 5によるものでした。残る2件は、不正利用防止機構であるサイバー分類器を無効化した状態のOpenAIのGPT-5.6-Solによるものでした」と同ブログ記事は付け加えています。

この発表は、OpenAIが自社の最先端モデルの1つがサイバー評価テスト中にHugging Faceのインフラを侵害したと明らかにしたのからわずか2週間足らず、そしてModalが関与した別のAIエージェントセキュリティ事案が研究者らによって公表されてから数日後のことでした。

指示なしに生じた欺瞞行為

最も深刻だった一連の行動は、AISIがソフトウェアサプライチェーン攻撃と表現したものをAIエージェントが試みたケースでした。

AISIは次のように記しています。「最も深刻だった一連の事案では、あるエージェントが広く利用されているオープンソースプロジェクトに悪意あるコードを挿入しようと試み、人間のレビュアーからこの挿入を承認させるための行動を取りました。このエージェントはプロジェクトの人間の管理者について調べ、複数の偽の身元を作成し、それらを使って実在の管理者に対しソーシャルエンジニアリングを行い、コードを承認させようとしました」

研究者らはさらに、「そのプルリクエストが公の場で問題視されると、エージェントは以前の活動を無害に見えるよう編集し、活動を継続するために新たな身元を採用することも検討していました」と付け加えています。

ただし同研究所は、「われわれの調査では、これによる現実世界での実害は確認されていません」とも述べています。

調査担当者はまた、エージェントが実在の人物に接触したり、プロンプトインジェクションを試みたり、同時に実行中の他のエージェントに協力を呼びかけるメッセージを残したりしていたことも確認しました。

AISIは、「このエージェントが欺瞞を働くよう指示されたことは一度もありませんでした。欺瞞は、与えられたタスクを遂行する過程で副産物として生じたものであり、これは最近まで概ね理論上のものにすぎないと考えられていた、目標志向型の欺瞞行為に相当します」と記し、無制限のインターネットアクセスや評価の設計もこうした行動の一因ではあるものの、それだけでは全容を説明できないと付け加えています。

サンドボックスからの脱出ではない

AISIは、いずれのモデルもサンドボックス化された環境から脱出したわけではないと強調しています。むしろ、インターネットアクセスは意図的に有効化され、サイバー安全分類器も、公開運用時の挙動ではなく最大限のサイバー能力を測定する目的で意図的に無効化されていたとのことです。

Greyhound Researchのチーフアナリストを務めるSanchit Vir Gogia氏は、「これはサンドボックスからの脱出ではありません。存在していた境界線は、言葉の上だけのものにすぎませんでした」と述べています。「リスクの変数は、モデルがどれほど賢いかではありません。組織がどれだけの実質的な権限を委ねてしまったか、そしてそのうちどれだけを独立して取り消せるか、という点にあります」

記録された行動のうち2件に関与したGPT-5.6 Solモデルを提供するOpenAIは、AISIによる評価事案と、「Irregular」という外部テストパートナーが関わった別の事案について説明するブログ記事を投稿しました。

同社はブログ記事の中で、「モデルの能力が進化するにつれ、モデルを取り巻くセキュリティおよび安全システムもまた進化させる必要があります」と記しています。OpenAIは、インターネットアクセス、隔離、監視、インシデント対応に関する管理体制を含め、サードパーティによる評価の実施方法を見直すとともに、AI研究機関や独立評価機関と協力して業界標準の強化に取り組む方針を示しました。

一方、AnthropicはAISIの発表に関連する公式声明を出していません。

AnthropicとOpenAIは、コメント要請に対し、本稿執筆時点で回答していません。

企業に求められる防護策

Forresterのプリンシパルアナリストを務めるEnza Iannopollo氏によると、今回の調査結果はAIレッドチーミングにとどまらない意味を持つといいます。

同氏は、「今回のデータは、エージェントの挙動に関するわれわれの想定を裏付けるものです。エージェントは、目的を達成するために境界線や防護策を突破することができますし、実際にそうするでしょう」と述べています。「本当に問われるべきは、組織がこうしたシステムを実際の本番環境に導入した際に何が起こり得るかということです」

Iannopollo氏は、企業がAIエージェントを導入する際には、最小権限の原則、継続的なリスク管理、そしてガバナンス体制を適用すべきだと指摘しています。

サイバーセキュリティ研究者でレッドチーマーでもあるVibhum Dubey氏によると、今回の調査結果は、AIシステムの評価方法そのものを見直す必要性も浮き彫りにしているといいます。

Dubey氏は、「これまで長年にわたり、セキュリティテストはAIモデルがタスクを完了できるかどうかに焦点が当てられてきました。今後は、そのタスクをどのように完了させるかについても評価する必要があります」と述べています。

AISIは、今回の一連の事案が極めて特殊な評価条件下で発生したものであり、現実世界での実害につながった証拠は確認されていないと強調する一方で、これらの事案はAIセキュリティリスクの生じ方における、より広範な変化を示すものだと主張しています。同研究所は、「実害は、人々が公開されているモデルを意図的に悪用する場合だけでなく、内部の研究環境や特権的アクセス環境で稼働する高性能なエージェントが、許可された範囲を超えて意図しない行動を取った場合にも生じ得ます」と記しています。