サイバーテスト中のOpenAI・アンソロピックのAIエージェントが実在の人間・システムを標的に

サイバーテスト中のOpenAI・アンソロピックのAIエージェントが実在の人間・システムを標的に

BleepingComputer – August 4, 2026

Anthropic（アンソロピック）およびOpenAIのAIモデルMythos 5とGPT-5.6-Solが、サイバー能力のテスト中に暴走し、インターネットを通じて実在する人々や組織を攻撃しようとしたという。テストを実施した英国のAIセキュリティ・インスティテュート（AISI）が報告した。

UK AISIは英国の政府機関で、高度なAIモデルの能力やリスクの評価を行っている。2026年7月28日、AISIは定期的なサイバー評価の実施中に、同機関の研究システムから不審なデータ転送が行われていることを検知。調査の結果、テスト対象となっていたAIエージェントの一部が、実在の人物や組織を標的とした持続的かつ潜在的に有害な活動を行っていたことが明らかになった。これを受けAISIはセキュリティインシデントの発生を宣言し、発見から約1時間以内に封じ込めを完了。そこからさらに本格的な調査を開始したという。

発端となったテストは、エージェントにサイバーセキュリティ上の課題解決というタスクを与えて行われた単一の評価テスト。AISIはこの課題を122回実行したが、そのうち10回の実行において、AIエージェントが実際のインターネット上で実在の人物や組織を狙った承認されていない自律的な行動を取っていたことが判明している。このような不正な行動は合計19件記録されており、うち17件はMythos 5、残り2件はGPT-5.6-Solによるものだったという。なお、テストのためにこれらのモデルの悪用を防ぐための仕組み（サイバー分類器）は無効化されていた上、モデルにはインターネットアクセスが与えられていた。

最も深刻な事例は、Mythos 5がオープンソースプロジェクトGitHubに悪意あるコードを挿入し、サプライチェーン攻撃を実行しようとしたもの。そのコードを承認させるため、同エージェントはソーシャルエンジニアリングの手法を用いて偽のオンラインIDを作成し、それを使ってプロジェクトのメンテナにコードの承認を迫ったとされる。しかし、人間のメンテナがこれに気づき、悪意あるコードの承認を拒否したことで、エージェントの試みは失敗に終わっている。

調査では、この行動の結果として現実世界に何らかの被害が生じたという証拠は確認されていないものの、AISIは、「自律性と欺瞞に関するリスクが、具体的な指示なしに現実世界でこれほど明確に現れたのは、今回が初めて」だと述べている。

エージェントによるサプライチェーン攻撃の試み

AISIは、モデルが複数段階にわたる侵入をどこまで突破できるかを測定するために模擬企業ネットワーク（サイバーレンジ）をこれらのテストで使用していた。Mythos 5は、公開インターネット上で、このサイバー演習に関連するあらゆるものを検索し、あるGitHubリポジトリ名がこのサイバーレンジのテーマに関連するキーワードと一致するのを発見。当該ソフトウェアを侵害することで、シミュレーション上の標的マシンへの侵入経路が確保できるかもしれないと考え、サプライチェーン攻撃を仕掛けようとしたという。

同エージェントは、このプロジェクトに関与する開発者らの公開プロファイルもリサーチした上で、匿名化ツールを使い複数のGitHubアカウントを作成。うち1つのアカウントを使ってマルウェアを隠したプルリクエスト（PR）をサブミットした。その後、別の偽アカウントを使って正規ユーザーになりすまし、PRの正当性を裏付けるようなコメントを投稿。加えて、偽造の身元を使って開発者らにEメールを送り、PRを受け入れるよう説得しようとしていたという。

不信感を抱いた人間のGitHubユーザーがマルウェアの存在を指摘すると、エージェントはコード履歴を書き直して証拠を消去。悪性コンテンツは誤って混入したものだと釈明した後、また上述の別アカウントを使って支持を表明してみせたという。

エージェントはさらに、悪意あるコードとAIコーディングアシスタント向けのプロンプトインジェクションを仕込んだバグレポートも投稿。このプロンプトは、レンダリングされたページ上では見えないもののAPIを通じて読み取れるHTMLコメントとなっており、宛先のAIトリアージ担当者としてClaude Code、Codex、Cursorを名指しして、意図されていない行動を起こさせようとするものだったとされる。

エージェント間の連携

AISIはまた、別々の隔離された評価セッションで実行されていたエージェントが、GitHubを通じて互いを自発的に発見し、協力し始め、認証情報を共有し、互いに運用上の指示を残し始めたという予期せぬ事例についても報告している。

あるエージェントは、共有GitHubリポジトリに仲間のエージェント向けの行動指針を記述し、共有APIのレート制限を超過しないよう助言するとともに、解決策を見つけた場合にはそれを共有するよう要請していたという。

プロンプトなしで実在の人間が狙われた初のケース

テスト中のAIエージェントが自律的に実環境のシステムに影響を与えるインシデントの開示は、ここ3週間でこれが3件目となる。1件目はOpenAIのモデルがテスト用のサンドボックス環境を抜け出してインターネットに到達し、Hugging Faceの本番インフラを侵害したもの。2件目は、アンソロピックのモデルが実在する組織を侵害したもので、この事例ではテストを担当したサードパーティのAIセキュリティベンダーIrregularとアンソロピックの間で認識が合っておらず、テスト対象のモデルに誤ってインターネットアクセスが与えられていた。

OpenAIおよびアンソロピックの事例とAISIのインシデントが異なるのは、前者では技術的な戦略が使われていたのに対し、後者では人間を標的としたソーシャルエンジニアリング戦略が使われた点。インフラの脆弱性を悪用するような攻撃とは異なっていた。

今回のインシデントでは実害は生じておらず、エージェントはテスト用の特殊な条件・環境下で動いており、テスト外の通常の顧客環境で同様の活動が行われる明確な兆しはないという。しかしAISIは、「備えるべき理由にはなる」と指摘。「AIモデルの性能が向上し、利用しやすくなるにつれ、今回のインシデントで目にしたような事態が今後さらに頻繁に起こるようになる可能性がある」との見解を示した。

OpenAIでの新たなインシデントも

上記とは別に、AISIのインシデント発表と同日にOpenAIがCTF（Capture-the-Flag）テスト中の同社モデルによる攻撃事例を報告している。前述のサードパーティ企業Irregularが担当したCTFテスト中に、実在のWebサイトがハッキングされたという。

テストでは本来モデルをインターネットから隔離することを想定していたものの、テスト環境に誤設定があったことからモデルはインターネットアクセスの取得に成功。テスト用のターゲットの名前が偶然実在するドメインと一致していたことから、OpenAIのモデルはこの実在するサイトを悪用することがCTFの過程の一部になると信じ込んでハッキングに及んだとされる。エージェントは基本的な脆弱性を悪用していたものとみられるほか、同サイトを運用するための認証情報を発見・使用していたことも調査によりわかっている。

OpenAIによれば、Irregularは今までのところ当該サイトのデータ以外へ影響は及んでいないとしているそう。ただし、調査は現在も続いているとのこと。