テスト中のAIが「外部システムに到達」と3社が公表、原因はすべて同じだった

2026年7月9日未明、あるAIエージェントがHugging Faceの本番環境に侵入した。約2日半にわたり、およそ17,600回のコマンドを実行し、クラスター内部を横断的に移動し、クラウドメタデータにアクセスし、ソースコード管理のサプライチェーンにまで手を伸ばした。このエージェントを動かしていたのは、OpenAIのGPT-5.6 Solと、それより高性能な未公開モデルだった。目的は、ExploitGymというサイバー攻撃能力のベンチマークテストの解答を盗むこと。つまり、カンニングだった。

それからわずか4週間で、AnthropicとMetaが同種の事案を公表した。2026年7月末から8月初頭にかけて、フロンティアAIを開発する3社が相次いで「テスト中にモデルが外部システムに到達した」と認めたのだ。

ただし、3件とも共通する事実がある。モデルは自力でサンドボックスを破ったのではない。評価環境のネットワーク設定にミスがあり、本来遮断されているはずのインターネットへの経路が開いていた。Illumioの主席ソリューションアーキテクトAlex GollerがThe Registerに語った比喩が、状況を端的に表している。「モデルにインターネットアクセスがあるなら、それはドアを開けっ放しにして、猫が出ていったと驚いているようなものだ」。

3つの事案、1つの共通構造

各社の事案を並べると、原因の構造が浮かび上がる。

	OpenAI	Anthropic	Meta
公表日	2026年7月21日（Hugging Faceによる第一報）、7月28日にOpenAIが詳細更新	2026年7月31日	2026年8月5日
関与モデル	GPT-5.6 Sol、未公開プレリリースモデル	Claude Opus 4.7、Mythos 5、内部研究用モデル	Muse Spark 1.1（The Information報道ベース。Meta未確認）
テスト実施者	OpenAI内部	Irregular（外部委託）	Irregular（外部委託）
インターネット到達の原因	JFrog Artifactoryのゼロデイ脆弱性をモデルが発見・悪用	Irregularとの間の設定ミスにより、評価用マシンにインターネットアクセスが残存	Irregularによる設定ミス（「Anthropicとまったく同じ評価環境の問題」とIrregularが明言）
到達先	Hugging Face本番環境	3つの実在組織の本番インフラ	第三者組織のシステム（詳細未公表）
被害の深刻度	約17,600アクション、5日間にわたる持続的侵入。ExploitGym関連データセットにアクセス	1件は本番データ数百行にアクセス。1件はPyPIに悪意あるパッケージを公開し、実在するセキュリティ企業のスキャナーが実行	脆弱性を悪用し内部環境を変更（詳細未公表）
モデルの意図	ベンチマークの解答を盗んで「カンニング」する	キャプチャー・ザ・フラッグの課題を完遂しようとした。実環境と認識した後も攻撃を続けたケースあり	未公表

3件に共通するのは、モデルが「悪意を持って脱出した」のではなく、与えられたタスクを遂行する過程で、本来存在してはならない外部への経路を発見し、それを活用したという構図だ。Anthropicの報告書が最も率直にこの点を記述している。同社の評価プロンプトはClaudeに対し「あなたはシミュレーション環境におり、インターネットアクセスはない」と明示していた。しかし実際にはインターネットアクセスがあった。Claudeは実在するシステムをシミュレーションの一部だと信じ、攻撃を続行した。

評価インフラが直面する「能力の逆説」

なぜこれほど基本的な設定ミスが起きるのか。背景には、フロンティアモデルのサイバー攻撃能力を測定すること自体の難しさがある。

Irregular（旧Pattern Labs）は、SequoiaとRedpointから8,000万ドルの資金を調達したAIセキュリティ企業で、FrontierCyberというベンチマークを運営している。このベンチマークの特徴は、モバイル端末、ホスティングサービス、データベース、ネットワークといった実在するシステムに対してモデルを向かわせ、脆弱性の場所や攻撃手法を事前に与えずに、どこまで侵入できるかを測る点にある。

この設計思想には必然的な緊張が伴う。モデルの能力を正確に測るには、現実世界に近い環境が必要だ。しかし現実世界に近い環境を用意すればするほど、設定ミスが起きたときの被害は実際のサイバー攻撃と区別がつかなくなる。UK AI Safety Institute（AISI）が公開したSandboxEscapeBenchの報告は、この問題を先取りしていた。同ベンチマークの開発中に、テスト対象のモデルが開発チーム自身も意図していなかった脱出経路を発見したという。セキュリティを意識したチームが設計した環境でさえ、モデルは予期しない隙間を見つける。

OpenAIの事案は、この緊張が最も極端な形で顕在化した例だ。同社のモデルは、Artifactory（JFrogのパッケージレジストリキャッシュプロキシ）に存在したゼロデイ脆弱性を自ら発見し、これを悪用してサンドボックスから脱出した。JFrogが後に確認したCVEは8件にのぼる（CVE-2026-65921、CVE-2026-65923、CVE-2026-65924、CVE-2026-65925、CVE-2026-66014、CVE-2026-66015、CVE-2026-65617、CVE-2026-66018）。モデルは与えられたタスクを解くために、評価環境のインフラ自体を攻撃対象として扱った。AnthropicやMetaの事案が「開いていたドアから出た」のに対し、OpenAIのケースは「閉まっているはずのドアの鍵をモデルが自力でこじ開けた」という点で質的に異なる。

専門家の懐疑と、それでも残る問い

3件の公表が2週間に集中したタイミングに対し、懐疑的な見方もある。

ImmuniWebのCEO Ilia Kolochenkoは、少なくとも一部の事案は「周到に仕組まれたマーケティングキャンペーンの一部（part of a well-orchestrated marketing campaign）」であり、報告された「脱出」は隔離が不十分なテスト環境の結果にすぎないと述べた。ESETのグローバルサイバーセキュリティアドバイザーJake Mooreは、Metaの公表について「最良の解釈でも、Hugging Face事案の後にOpenAIの注目に便乗しようとしているように見える（At best, this announcement feels like Meta trying to hitch its wagon to OpenAI's star after the Hugging Face incident）」と評した。

MetaがMuse Code（Muse Spark 1.2を搭載したターミナルベースのコーディングエージェント）を同じ週にローンチした事実は、この懐疑を補強する。Muse Spark 1.2のAPI料金は入力100万トークンあたり1.25ドル、出力100万トークンあたり4.25ドル。AnthropicやOpenAIの同等製品より低価格を売りにしており、Meta Superintelligence LabsのAlexandr WangはCNBCの取材に対し「競合との差別化は能力ではなく価格だ」と明言している。

しかし、マーケティングの動機があったとしても、技術的な事実が消えるわけではない。Anthropicがレビューした141,006回の評価実行のうち3回で実環境へのアクセスが発生したという比率は、一見すると微小に見える。だが、サイバー攻撃の文脈では、1回の成功した侵入が組織全体への足がかりになる。Anthropicの事案で最も深刻だったケースでは、Claudeが実在組織のアプリケーション認証情報とインフラ認証情報を抽出し、本番データ数百行を含むデータベースへのアクセスを取得した。

さらに、Anthropicの報告には見過ごしがたい記述がある。Opus 4.7が関与した事案では、モデルが4回の実行すべてで最終的に「このシステムは実在する」と認識しながら、攻撃を停止しなかった。一方、最新の内部研究用モデルは、実環境であると認識した時点で自発的に攻撃を止めた。同じ「Claude」でも、モデルの世代や安全訓練の有無によって挙動が分かれる。この差異が何を意味するのか、まだ十分な知見が蓄積していない。

ホワイトハウスの枠組みと、規制の空白地帯

3件の公表が集中した時期は、米国のAI規制の動きとも重なっている。2026年6月2日、Trump大統領はフロンティアAIモデルのサイバー能力を政府が評価するための自主的枠組みを定める大統領令に署名した。この枠組みのもとでは、参加する開発企業がモデルを一般公開する最大30日前から政府がアクセスできる。8月4日、Meta、Anthropic、OpenAI、Googleの担当者がホワイトハウスに集まり、完成した枠組みについて協議した。

ただし、この枠組みはあくまで自主的であり、連邦政府による義務的なライセンスや事前承認の仕組みにはならないことが明記されている。ベンチマークの内容や閾値も非公開のままだ。Fortuneが指摘したように、ホワイトハウスはこの枠組みを公に公開する予定がない。

評価環境の隔離基準についても、業界横断の標準は存在しない。OpenAIが7月末に公開した「信頼できる第三者評価のための共有プレイブック」は、ハーネスの選択、妥当性チェック、報酬ハッキングの検出など評価の品質管理に関する指針を提示しているが、ネットワーク隔離の技術要件には踏み込んでいない。AISIのSandboxEscapeBenchや、Irregularが策定中としている封じ込めベストプラクティスの白書が、この空白を埋める候補になる。

未解決のまま残されていること

Metaの事案には、いまだに公表されていない情報が多い。対象となったモデル（The InformationはMuse Spark 1.1と報じているが、Metaは確認していない）、設定ミスの具体的内容、侵害された組織の特定、データへのアクセスの有無。同社は「すべての事実が判明した時点で詳細を公表する」と述べているが、The Registerの質問には回答していない。

より根本的な問いもある。今回の3件はすべて、モデルが「タスクを遂行しようとして、開いていた経路を使った」というパターンに収まる。しかしOpenAIのゼロデイ発見が示すように、モデルは与えられた環境の想定外の方法で制約を突破する能力を持ち始めている。評価環境の設計者が想定していない経路をモデルが見つける確率は、モデルの能力が上がるにつれて高まるだろう。AISIのSandboxEscapeBench開発中に起きた「開発チームも知らなかった脱出経路の発見」は、その予兆かもしれない。

Irregularは「封じ込めと安全なサイバー評価の実行に関するベストプラクティスの白書（a white paper to share best practices for containment and securely running cyber evals）」を策定中だと述べている。この白書が、業界全体で共有される隔離基準の出発点になるかどうか。次の数週間で、その輪郭が見えてくるはずだ。