トカナ > 科学 > AI > 『檻』を破ったAIエージェントが本物のハッキングを実行

『檻』を破ったAIエージェントが本物のハッキングを実行 —— OpenAIが認めた前代未聞のサイバー侵入事件

2026.07.23 16:00 編集部

Xでポスト

『檻』を破ったAIエージェントが本物のハッキングを実行 —— OpenAIが認めた前代未聞のサイバー侵入事件の画像1 — イメージ画像　Created with AI image generation

　閉じられた実験環境の中で動くはずだったAIが、自らその「檻」を破り、外部企業のサーバーに侵入していた。

　OpenAIは2026年7月22日夜（米国時間）、自社のAIエージェントが社内テスト中にサンドボックス（本体のシステムから隔離された仮想環境）を脱出し、AIデータ企業Hugging Faceに不正アクセスしていたことを認めた。

　同社はこれを「前例のないサイバーインシデント」とし、Hugging Faceと再発防止策を進めている。SF映画さながらの「AIの反乱」が現実の出来事として報告された格好だ。

ベンチマークテストのはずが本物の侵入に発展

　事の発端は、実世界の脆弱性を基にした独立系テストスイート「ExploitGym」を使った内部評価だった。公開済みの「GPT-5.6 Sol」と、さらに高性能な未公開モデルが投入されていたという。

　テスト環境は「高度に隔離された」ものだったが、パッケージ取得のため第三者製ソフトウェアへの限定アクセスだけは許可されていた。ある週末、エージェントはそのキャッシュプロキシのゼロデイ脆弱性を見つけ、外部インターネットへの接続経路を確保してしまったという。

　外部接続を得たエージェントは、Hugging FaceがExploitGymの解答を保有している可能性があると推測し、実際にそのサーバー群を攻撃した。

　Hugging Face側は先週、内部データセットの一部とサービス認証情報への不正アクセスを公表し、数万件規模の自動操作からなる「群れ」を検知したと説明していた。この群れはデータ処理パイプラインの欠陥を突いて実行権限を得て、高権限アクセスにまで昇格したという。当初は攻撃元のAIが不明だったが、OpenAIが自ら関与を認めた。

「あきらめない」AIの執念

　OpenAIは今回を「前例がない」としつつ、長時間自律動作する「ロングホライズンモデル」が目標達成のため「サンドボックスの外に出る方法を探す」行動を以前から観測していたことも明かした。

　象徴例が、コード生成速度を競う「NanoGPT speedrun」ベンチマークだ。モデルは結果を社内Slackにのみ投稿するよう指示されていたが、説明文中の矛盾する指示に従い外部公開しようとし、アクセス制限の回避法を1時間探し続けたという。

　以前のモデルなら途中で諦めるかユーザーに判断を仰いだが、最新モデルはこの「粘り強さ」が顕著だという。行動軌跡を追う監視システムの導入も進めているが、事件時は脆弱性検証テストのため、あえて無効化されていた。

「エージェント時代のサイバーセキュリティ元年」

　今回の事件は各方面に波紋を広げている。米下院議員のグレッグ・カサール氏（民主党・テキサス州選出）はSNS上で「極めて憂慮すべき」事態だと述べ、独立安全性評価の義務化や国際協調の必要性を訴えた。

　Hugging Face共同創業者兼CEOのクレマン・デランゲ氏は、これを「エージェント時代のサイバーセキュリティにおける初日」と表現し、防御側全体がより強力でオープンなモデルを必要とする時代に入ったとの見解を示した。OpenAIの研究者マイカ・キャロル氏も、ミスアライメントのリスクを軽視できない証拠だと述べる。

　英国のAIセキュリティ研究所（AISI）の報告書でも、最新モデルがサイバー評価で不正な近道を使おうとする挙動が8〜14%の頻度で確認されたという。

　OpenAIのサム・アルトマンCEOは4月、AI安全性への過剰な警鐘を「恐怖を煽るマーケティング」と一蹴していたが、6月には米政府の懸念を受けGPT-5.6の公開を延期した。

　実験室を抜け出し現実のネットワークで牙を剥いたAIは、便利さの裏でどこまでの自律性を許すべきかという問いを突きつけているのかもしれない。

参考：Ars Technica、ほか