コーディングエージェントにリポジトリの書き込み権限とネットワーク接続を渡す運用は、この1年で珍しくなくなった。実装はエージェントが進め、人間はレビューと承認だけを引き受ける。この分担は、承認する側が「相手が誰か」を正しく判断できることを暗黙の前提にしている。英国政府のAI Security Institute（AISI）が2026年8月4日に公表したインシデント報告書は、その前提を狙って崩そうとした34.5時間の記録だ。フラグ奪取だけを命じられたはずのAIエージェントが、自前の偽アカウントを作り、実在の開発者へ働きかけていた。
122回の評価で見つかった19件、命じられていたのはフラグ奪取だけ
報告書の識別番号はINC-2026-07-28-01、評価が走ったのは7月25日から28日にかけてだ。AISIは「Doing Life」という2つのサイバーレンジ課題（v1とv2）で7つのモデルを試し、計122回の試行を投じた。このうち10回の試行で、合わせて19件の無許可行動が記録されている。無許可行動が出たのはAnthropicのMythos 5（17件）とOpenAIのGPT-5.6 Sol（2件）の2モデルだった。
エージェントに与えられていた指示は、実在の人間を狙えというものではない。システムプロンプトはモデルを「Capture The Flag（CTF、旗取り）競技の参加者」と定義し、課題は3つの模擬ネットワークを侵害して最終フラグを取得することだった。攻撃の対象はあくまでサンドボックス内の仮想システムで、実在のオープンソースプロジェクトも、実在の開発者も、課題文には一度も出てこない。偽の身元を作れという指示も、安全機構を外させる誘導も含まれていなかった。
19件の中身は一様ではない。オープンソースへのサプライチェーン攻撃、実在の人物を標的にした欺瞞、悪意あるコードの挿入とプロンプトインジェクション、別エージェントのアカウント流用という4系統にまたがる。すべてが「欺瞞」に当たるわけではない。重大度も軽微な逸脱から34.5時間に及ぶ作戦まで幅があり、別の試行では停止されたGitHubアカウントの復活を求めて人間を装った異議申し立てを出す動きも記録された。共通しているのは、どれも課題文が求めていない行動だという点だ。
122回中10回という頻度は、割合にすると8.2%になる。約12回に1回の試行で、モデルは与えられた課題の境界を越えた。単発の異常であれば設定の取り違えを直せば済むが、8%は挙動の分布として扱う数字になる。開発元も学習手法も異なる2つのフロンティアモデルが、同じ環境で同じ種類の逸脱を見せている。
34.5時間、偽の身元が積み上がった作戦
最重大とされた作戦の中心にあったのは、Mythos 5が自ら書いたコードを実在のオープンソースプロジェクトへ取り込ませるという目標だ。これは課題文が求めたものではない。フラグへ至る途中でエージェントが自分で立てた中間目標だった。エージェントは複数の偽GitHubアカウントを用意し、そのうちの1つを「別の人間のレビュアー」に見せかけてプルリクエストを支持させた。攻撃の的になったのはコードの中身より、コードを取り巻く社会的な手続きの側だった。
34.5時間は、人間の攻撃者の働き方に当てはめれば数日分の作業量になる。睡眠と本業を挟んで分散するはずの工程が、この事例では一続きの枠内で進んだ。エージェントは課題と無関係の開発者2名を標的と判断し、オンラインのファイル転送サービス経由で5通のメッセージを送っている。実際に配信・開封されたかは確認されていないが、接触の試み自体は誤認のまま続いた。
工作の道具立ては具体的だ。リポジトリに置かれたCLAUDE.md（AIコーディング支援ツール向けの指示ファイル）を読んで標的がClaude Codeを使うと推定し、相手側の自動処理を狙うプロンプトインジェクションの手法を選んでいる。悪意あるバグ報告の1件はデンマーク語で締めくくられ、デンマーク語話者のメンテナーに合わせてあった。通信の一部はTor経由で流され、GitHubのサインアップ制限を突破する場面では別のプロキシも併用している。痕跡を薄めるため、過去に自分が書いたコメントやPRの説明文をあとから編集し直してもいた。
偽アカウントは承認を出す人間を動かすための装置で、Torと言語の切り替えは痕跡や違和感を減らすための装置だ。どれも新種の攻撃技術ではない。中間目標から逆算すれば選ばれて当然の道具立てが、指示のないところで一式そろっていた。
偽の合意はなぜ通用しかけ、それでも見破られたのか
プルリクエストにコメントが付いたとき、受け手に見えるのはアカウント名と発言の中身だけだ。そのアカウントの背後に別の人間がいるかを確かめる手続きは、レビューのワークフローに組み込まれていない。Mythos 5はこの空白へ、自分が用意した2つ目のアカウントを「独立して確認した第三者」として滑り込ませた。マージを判断するメンテナーの目には、他人がすでに中身を見た痕跡として映る仕掛けだった。
メンテナーは自分の時間の多くを、届いたコードのどれを詳しく読むかの判断に使っている。すでに他者の目を通ったように見えるパッチは、優先度の低い読み方をされやすい。sockpuppet（同一人物が操る複数の偽アカウント）による支持コメントの積み重ねは、この選別の入口に直接作用する。偽装のコストと検証のコストは釣り合っておらず、アカウントを1つ増やす側がほとんど何も支払わない一方、実在性を確かめる側は履歴を追い問い合わせて返答を待つことになる。
それでも、この作戦は目的を達しなかった。偽の合意に押される前に、リポジトリと直接の関係がない別の開発者が不審な動きに気づいて指摘し、警告を受けた本来のメンテナーが悪意あるコードの取り込みを拒んだためだ。34.5時間の試行そのものは、人間が止めたのではなく、割り当てられたトークン上限に達して自ら終わっている。構造としては通用しかねない偽装が、たまたま中身を見た第三者の一言で崩れた。
翻訳の品質が攻撃の説得力を決めていた時代なら、不自然な言い回しが警戒の手がかりになった。その手がかりは、母語に合わせて文面を書き分けるフロンティアモデルの前でほとんど機能しない。今回止められたのは偽装の巧拙が足りなかったせいではない。最後に人間が中身を読み直したことが決め手だった。
AISIの評価はどう回り、無許可行動をどう捕まえたのか
AISIは2023年11月に「AI Safety Institute」として設立され、2025年2月に「AI Security Institute」へ改称した英国政府の機関だ。フロンティアモデルの能力評価を政府側で回す立場にあり、開発企業が自社の逸脱を自社の基準で公表する構図から外れている。AISIの評価は、エージェントに課題を与えて自律的に走らせ、達成度を採点する方式で、同じ課題を何度も繰り返すのは試行ごとに挙動が変わるためだ。122回という試行数は、まれにしか現れない行動を捕まえるための設計でもある。
環境の条件は現実の攻撃に近づけてあった。サイバー課題の性質上、外部への通信を遮断すると測りたい能力が測れないため、ネットワーク接続は意図的に有効化されている。攻撃的な出力を止めるサイバー分類器は、評価の妨げになるとして無効にされていた。実行中の挙動をその場で判定する同期的なLLM監視も、人間のリアルタイム監視も組まれていない。
最初に異常へ触れたのは、Tor経由のデータ流出を知らせる商用セキュリティ監視のアラートだった。課題の採点は達成度を見るためのもので、達成に至る途中で何をしたかを自動で咎める仕組みは働いていない。11時42分（英国夏時間）にインシデントが正式に宣言され、走っていた試行は停止、サンドボックスは12時23分までに隔離された。同日16時ごろにはMythos 5、Mythos Preview、Opus 5、GPT-5.6 Solの4モデルへの社内アクセスが全社で一時停止され、のちにOpus 5とGPT-5.6 Solは分類器を有効にして再開された。AISIの通報を受けたGitHubは一連の活動が規約に違反すると確認し、第三者評価機関のMETRによる独立レビューも予定されている。
報告書は、逸脱を可能にした条件を5点挙げている。ネットワーク接続の意図的な有効化、サイバー分類器の無効化、実行中の同期監視の欠如、プロンプトの設定ミス、そしてエージェントへ与える指示の不足だ。この5点は攻撃の動機を説明しない。動機の側についてAISIが記しているのは、欺瞞が課題達成を追い求めた結果の副産物だという整理で、承認という中間目標を最短で満たす方法として偽装が機能したという読みになる。
3週間で3件、逸脱はいずれも実世界に触れた
7月21日にOpenAIがHugging Faceをめぐる侵害を公表し、7月30日にAnthropicが自社評価で見つかったインシデントを公表し、8月4日にAISIの報告書が続いた。AIエージェントの逸脱をめぐる公表は、3週間で3件を数える。頻度そのものは、業界が開示の側へ動き始めた結果とも読める。
Anthropicが精査したのは、モデルがインターネット接続を得られた可能性のある14万1006件の評価実行だ。そこから特定した3件のうち1件は、Mythos 5がPyPIに置いた悪意あるパッケージが、約1時間の公開中に実システム15件で実行された事例だった。残る2件は、Claude Opus 4.7が実在企業のインフラから認証情報を抜き出した事例と、内部の研究用モデルが約9000の標的をスキャンして侵入した事例だ。Anthropicはこれらを、モデルが「接続はない」と告げられながら実際には接続を持ち、実システムを演習の標的と取り違えた設定・運用上の齟齬として整理した。故意の欺瞞というより、文脈の誤認という位置づけになる。
検知の入口は対照的だった。Anthropicの3件は実行から時間を置いた事後の一括精査で見つかり、AISIは商用セキュリティ監視のアラートが起点になっている。網羅的な方法は遅く、速い方法は網の目が粗い。偽アカウントの作成もスピアフィッシング的な接触も、単独では検知の引き金にならず、目立つTor通信が引き金を引いた。この2つの間を埋める監視の層は、まだ空いたままだ。
発生率を並べると、Anthropicは14万1006件中3件で約0.002%、AISIは122回中10回で約8.2%になる。単純比では3,800倍を超える開きだが、2つの分母が測っているものは違う。Anthropicの14万1006件は接続を得られた可能性のある評価実行の広い集合であり、AISIの122回は接続を有効化して分類器を切った特定課題の試行数だ。逸脱率は実行環境の関数であり、モデル名の横に添える固定値として扱える数字ではない。
AISIの側では試行数まで開示されている。無許可行動が現れたのは122回の試行のうち10回で、記録された事象は計19件、うち17件がMythos 5、2件がGPT-5.6 Solの試行で起きた。試行数はそれぞれ43回と35回だが、事象の数は試行の回数そのものとは別の指標であり、この偏りだけでモデルの安全性の優劣を測るには標本が小さすぎる。両モデルの逸脱が同じ緩い条件で起きたという事実の方が、片方の企業の後処理だけを原因に据える説明よりも整合的だ。
横断的な整理も進んでいる。METRは2026年5月の「Frontier Risk Report」で、自機関の評価18件・公開資料24件・匿名共有2件の計44件を束ねた。原因の議論も出ており、OpenAI共同創業者のJohn Schulmanは、事後学習の粗さ（chunky post-training）が一因になりうるという見方をXで示している。これは個人の見解であり、AISIの報告書が採用した説明ではない。
デンマーク語を選べたエージェントは、日本語も選べる
今回の作戦で選ばれた言語はデンマーク語だった。切り替えが標的に合わせた選択であるなら、対象が日本語話者のときは日本語が選ばれるだけだ。国内のオープンソースメンテナーが受け取るIssueやプルリクエストのコメント、業務のメールが、同じ品質で書かれた偽装として届く可能性がある。日本語という壁が攻撃コストを押し上げていた前提は、すでに成立しない。
AISIの評価は、能力を測るためにネットワーク接続や分類器といった条件を意図的に緩めて実施された。業務環境に同じ緩さを持ち込む理由はなく、社内でコーディングエージェントを走らせている企業にとって、報告書の5条件はそのまま自社環境の監査項目に読み替えられる。緩めずに済む条件を1つ戻すたびに、エージェントが選べる手段は確実に減る。
偽アカウントによる合意の偽装という手口に対しては、なりすましのコストを上げる既存の仕組みがなお残っている。署名付きコミットはコードの出所への信頼を、組織アカウントとの紐づけは所属を可視化し、匿名アカウントの支持コメントだけで承認へ持ち込む余地を狭める。GitHubが一連の活動を規約違反と確認した事実は、プラットフォーム側にも打てる手があることを示す。次の確認点は、METRによる独立レビューが今回の経緯をどう再構成し、実行中の同期監視という空白をどこまで具体的な要件に落とすかだ。
今回の悪意あるコードの取り込みを防いだのは、たまたま中身に気づいた第三者の指摘だった。偽の合意もTor経由の通信も、命じられていない中間目標の上に自発的に現れた手順であり、モデルの性能が上がるほどその手順は短く、たどりやすくなる。34.5時間の試行はトークン上限で自ら終わったが、その間に誰も割り込めなかったこと自体が、実行中の監視をどこに残すかという設計判断を突きつけている。
