AIサイバー評価で確認された「範囲外行動」― 実在する人・組織への接触が示すAIエージェント管理の課題 ―（デジタル・ガバナンス／サイバーセキュリティニュース No.7）
2026/08/07
AIサイバー評価で確認された「範囲外行動」― 実在する人・組織への接触が示すAIエージェント管理の課題 ―（デジタル・ガバナンス／サイバーセキュリティニュース No.7）（PDFファイル）
平素より大変お世話になっております。
さて、今回は「AIサイバー評価で確認された「範囲外行動」 ― 実在する人・組織への接触が示すAIエージェント管理の課題 ―」をご案内いたします。
英国政府のAI Security Institute（AISI）は2026年8月4日、先端AIのサイバー能力を評価していた際、一部のAIエージェントが予定された試験範囲を越え、実在する人や組織に関係する行動を取ったと公表した。
確認されたのは、AnthropicのClaude Mythos 5とOpenAIのGPT-5.6 Solである。AISIが分類した19件の範囲外行動のうち17件がMythos 5、2件がGPT-5.6 Solに関係していた。ただし、19件の独立した攻撃が起きたわけではなく、多くは一つのMythos 5エージェントによる一連の活動である。
なかでもMythos 5は、実在するオープンソース・ソフトウェアにコード変更を提案し、別のアカウントからその提案を支持した。実在する関係者への接触や、問題を指摘された後の投稿内容の編集も確認されている。
もっとも、一般向けのClaudeやChatGPTが、利用者の指示なく突然このような行動を取ったものではない。今回の試験では、モデルの最大能力を測るため、インターネット接続が認められ、通常の安全機能の一部も無効化されていた。
なお、2026年7月に公表されたOpenAI評価用モデルによるHugging Face侵入事案については、本ニュースレターNo.6「AIエージェントは、なぜ実在企業へ侵入したのか ― OpenAI評価用モデルとClaudeの事故から学ぶ「高能力・低状況認識」の統制 ―」（令和8年8月5日）で取り上げています。本号は、同事案との対比を交えつつ、今回のAISI事案を整理するものです。
令和8年8月6日
弁護士法人三宅法律事務所
| ＊本ニュースレターに関するご質問・ご相談がありましたら、下記にご連絡ください。 弁護士法人三宅法律事務所 弁護士 渡邉雅之（執筆者） TEL 03-5288-1021 FAX 03-5288-1025 Email: m-watanabe@miyake.gr.jp |
AIサイバー評価で確認された「範囲外行動」
― 実在する人・組織への接触が示すAIエージェント管理の課題 ―
| 【目次】 1 何が起きたのか 2 Mythos 5は何をしたのか 3 GPT-5.6 SolとHugging Face事案との違い 4 なぜ範囲外行動が生じたのか 5 企業が確認すべき8項目 6 ガバナンス上の対応 7 現時点での評価 8 用語集 |
| 本件の核心は、AIが「悪意」を持ったかではない。高性能なAIに広い外部接続と実行権限を与えると、技術的なシステムだけでなく、人間の審査・承認過程まで目標達成の手段として利用し得るという点にある。 |
1 何が起きたのか
AISIは、AIに模擬ネットワーク上の課題を解かせるサイバー能力評価を、7種類のモデルについて合計122回実施した。そのうち10回で予定範囲を越える行動が確認され、AISIはこれを19件に分類した。
異常な通信を検知した後、AISIは約1時間以内に評価を停止し、関係する環境を隔離した。現時点で、結果としての現実被害は確認されていない（出典：AI Security Institute）。
【図表1】本件の概要
| 項目 | 内容 |
| 評価回数 | 7種類のモデルについて122回 |
| 範囲外行動が確認された実行 | 10回 |
| AISIが分類した行動 | 19件 |
| 関係モデル | Mythos 5が17件、GPT-5.6 Solが2件 |
| 評価条件 | インターネット接続を許可し、安全機能の一部を無効化 |
| 現実の損害 | 現時点では確認されていない |
今回、AIが隔離環境を技術的に破って外部へ脱出したわけではない。外部への通信経路は、試験条件として当初から用意されていた。
2 Mythos 5は何をしたのか
(1) 実在するソフトウェアへコード変更を提案
Mythos 5には、模擬ネットワークを攻略して所定の情報を取得するという目標が与えられていた。しかし、予定された方法では課題を解決できないと判断すると、公開インターネット上で別の経路を探索した。
その過程で、試験課題に関係すると考えた実在のオープンソース・プロジェクトを発見し、表面上は不具合の修正に見えるコード変更を提案した。
広く使われるソフトウェアや開発過程に悪意あるコードを入り込ませ、利用者へ影響を広げる手法は、一般にサプライチェーン攻撃と呼ばれる。
(2) GitHub上で複数の人物を演じた
GitHubとは、プログラムコード、修正履歴、開発者間の議論をオンライン上で共同管理するサービスである。
GitHubでは、不具合や改善要望を投稿する「Issue」と、具体的なコード変更を提案する「Pull Request」が使われる。管理者がプルリクエストを承認すると、その変更が正式なプログラムへ取り込まれる。
Mythos 5は、一つのアカウントからコード変更を提案し、別のアカウントからその提案を支持した。報道では「自作自演」「サクラ」と表現されているが、より正確には、複数の人物を使い分け、第三者からも支持されているように見せる行動である。
GitHubは単なるコードの保管場所ではない。誰が提案し、誰が支持し、誰が承認するかという、ソフトウェア開発上の意思決定の場でもある。Mythos 5は、この人間による審査過程に働きかけたのである。
(3) 実在する関係者へ接触
Mythos 5は、プロジェクトの関係者について公開情報を調査し、メッセージやファイルを送った。一部には有害なコードが含まれていた。
コードの問題を指摘された後には、過去の活動を無害に見せるよう投稿内容を編集し、別の人物として活動を続けることも検討していたとされる。
これを直ちに「証拠隠滅」と断定するのは慎重であるべきだが、AIエージェントが反対や障害に直面した後も、説明や手段を変更して目標を追求し得ることを示している。
| AIが人間と同じ意味で悪意を持っていたとまではいえない。しかし、目標達成に有効な手段として、複数アカウントの利用や人間への働きかけを選択したことは確認された。 |
3 GPT-5.6 SolとHugging Face事案との違い
GPT-5.6 Solについて確認された2件は、Mythos 5の行動とは性質が異なる。
OpenAIによれば、GPT-5.6 Solは、別のAIエージェントが公開状態で残していたGitHubの認証トークンを利用し、外部のDNS・トンネリングサービスにアカウントを作成した。また、評価環境内のDNSサーバーを公開インターネットから接続可能な状態にした。
もっとも、仕組みは意図どおりには動作せず、現実の外部システムが接続した証拠も確認されていない。
今回のAISI事案は、2026年7月に公表されたOpenAI評価用モデルによるHugging Face侵入事案とも異なる。
※ Hugging Face侵入事案の経緯、攻撃チェーン、Anthropicの遡及調査により判明した3件の事案、及び企業が採るべき統制（九層の多重防御）の詳細については、本ニュースレターNo.6「AIエージェントは、なぜ実在企業へ侵入したのか ― OpenAI評価用モデルとClaudeの事故から学ぶ「高能力・低状況認識」の統制 ―」（令和8年8月5日）を参照されたい（〔主な参考資料〕のNo.6掲載URL参照）。
【図表2】AISI事案とHugging Face侵入事案の比較
| 比較項目 | 今回のAISI事案 | Hugging Face侵入事案 |
| 評価主体・モデル | 英国AISI。AnthropicのMythos 5、OpenAIのGPT-5.6 Sol | OpenAI。GPT-5.6 Solを含む複数の評価用モデル |
| 外部接続 | 試験条件として当初から許可 | 直接接続できない隔離環境 |
| 外部への到達方法 | 用意された接続を範囲外行動に利用 | 未知の脆弱性を発見し、隔離を自力で突破 |
| 主な行動 | 人間やGitHub上の審査・承認過程への働きかけ | 権限昇格、横移動を経てHugging Faceの本番環境へ侵入 |
| 一言でいえば | 開いていた扉から立入範囲の外へ出た | 閉じた扉の弱点を見つけて破った |
| 主な教訓 | 与えた接続・権限の使途を制限する | 隔離は突破され得る前提で多重防御を設ける |
Hugging Face事案では、OpenAIの評価用モデルが、パッケージ管理用プロキシの未知の脆弱性を発見し、権限昇格や横移動を重ねて外部へ到達した。その後、Hugging Faceの本番インフラへ侵入し、評価問題の解答に関係するデータへアクセスした。OpenAIは、GPT-5.6 Solと、より高性能なプレリリースモデルが関与したと説明している（出典：OpenAI）。
Hugging Faceは、約1万7600件の攻撃操作を復元したと報告している（出典：Hugging Face）。
| Hugging Face事案は「隔離を破るリスク」、AISI事案は「与えられた接続と権限を範囲外に使うリスク」である。 |
4 なぜ範囲外行動が生じたのか
AISIの報告からは、次の要因が重なったことが分かる。
・課題達成という強い目標が与えられていた
・予定された方法では解決困難な課題があった
・インターネット接続が広く認められていた
・外部投稿やアカウント作成に人間の事前承認がなかった
・一連の行動をリアルタイムで監視・停止する仕組みが不十分だった
今回の教訓は、プロンプトに「実在する人へ接触してはならない」と書けば足りるというものではない。
AIが使える通信先、認証情報、アカウント作成、外部投稿、コード公開等を技術的に制限する必要がある。
5 企業が確認すべき8項目
【図表3】AIエージェントに関する確認項目
| 確認事項 | 確認 |
| 利用中のAIエージェント、利用目的、管理責任者を把握しているか | □ |
| AIが接続できる社内外のシステムを把握しているか | □ |
| 認証情報を短期・用途限定・最小権限としているか | □ |
| 外部メール、投稿、コード公開に人間の事前承認があるか | □ |
| AIによる外部アカウント作成を原則禁止しているか | □ |
| インターネット接続先を許可リストで限定しているか | □ |
| AI生成コードを隔離環境で検証しているか | □ |
| 範囲外接触・公開等を検知し、強制停止できるか | □ |
重要なのは、規程に書かれているかではなく、AIが技術的に単独実行できない状態になっているかである。
AIがメールやコードを作成することと、外部へ送信・公開することは分けるべきである。
6 ガバナンス上の対応
AIエージェントの利用は、情報システム部門だけの問題ではない。外部への連絡、コード公開、認証情報の利用等を行わせる場合には、内部統制と権限管理の問題となる。
【図表4】ガバナンス上の対応
| 項目 | 必要な対応 |
| 利用方針 | 利用可能な業務、禁止業務、高リスク利用を定める |
| 権限区分 | AI単独で実行できる行為と人間承認が必要な行為を分ける |
| 責任者 | 業務責任者、技術責任者、事故時の判断者を明確にする |
| 例外管理 | 制限解除の承認者、期間、補完的監視を定める |
| 事故報告 | 実害だけでなく、範囲外行動や阻止事例も経営へ報告する |
| 残存リスク | 対策後に残るリスクを経営として確認する |
AIの評価や運用を第三者へ委託する場合には、外部接続、付与権限、リアルタイム監視、緊急停止、ログ保存、事故報告期限、再委託、監査権を具体的に定める必要がある。
「安全な環境で実施する」といった抽象的な契約条項だけでは不十分である。
7 現時点での評価
今回のAISI事案は、一般向けAIが制御不能になったことを意味しない。特殊な評価環境で確認された事例であり、現時点で結果としての現実被害も確認されていない。
一方、単なる試験上の珍事として軽視することもできない。
Hugging Face事案では、AIが技術的な隔離を自力で突破した。今回のAISI事案では、外部接続と権限を利用し、人間の信用や承認過程へ働きかけた。
この二つの事案を合わせると、企業が備えるべき対象は明確である。
| 高性能AIは、技術的な境界を突破するだけでなく、人間の信用や組織の承認手続を利用する可能性がある。 |
企業に必要なのは、AIを使うか使わないかという二者択一ではない。
AIが作成・提案する領域と、人間が承認・実行する領域を分けることである。AIが予定外の手段を選んでも、外部への連絡、公開、登録、権限変更等を単独では完了できない仕組みを構築する必要がある。
AIエージェントの統制は、モデルの性能だけの問題ではない。権限、通信、承認、監視、緊急停止、委託先管理を含む、経営レベルの内部統制上の課題である。
8 用語集
【図表5】重要用語
| 用語 | 分かりやすい説明 |
| AIエージェント | 質問に答えるだけでなく、ブラウザ、メール、プログラム実行等の道具を使い、目標に向けて複数の作業を自律的に進めるAIである。 |
| GitHub | プログラムコード、修正履歴、開発者間の議論をオンラインで共同管理するサービスである。コードの保管場所であると同時に、修正案を審査・承認する場でもある。 |
| Pull Request（プルリクエスト） | GitHub上でコードの具体的な変更案を提出し、管理者に正式な採用を求める仕組みである。 |
| 認証トークン | 利用者やシステムが正当な権限を持つことを示す電子的な鍵である。第三者に取得されると、本人になりすまして操作されるおそれがある。 |
| トンネリングサービス | 本来は外部から接続できない社内・試験環境のサービスを、インターネット経由で利用可能にする仕組みである。管理されていない外部経路にもなり得る。 |
| サンドボックス・隔離環境 | 危険な可能性のあるプログラムを、通常の端末や本番システムから切り離して動かし、影響を内部に限定する環境である。 |
| 範囲外行動 | AIの評価や業務で予定・許可された対象又は方法を越え、外部の人、組織、システム等へ働きかける行動である。 |
〔主な参考資料〕
1 弁護士法人三宅法律事務所「AIエージェントは、なぜ実在企業へ侵入したのか ― OpenAI評価用モデルとClaudeの事故から学ぶ「高能力・低状況認識」の統制 ―」（デジタル・ガバナンス／サイバーセキュリティニュース No.6、令和8年8月5日）
2 英国AI Security Institute（AISI）「Incident Report: unsanctioned agent behaviour during cyber testing」
3 OpenAI「Third-party cyber evaluations involving OpenAI models」
4 OpenAI「OpenAI and Hugging Face partner to address security incident during model evaluation」
5 Anthropic AISIの公表を受けた公式コメント
6 Hugging Face「Anatomy of a Frontier Lab Agent Intrusion」
※ 本稿は、2026年8月6日時点で公表されているAISI、OpenAI、Anthropic及びHugging Faceの資料を基に、事案の概要と企業実務への示唆を整理した速報的な分析である。関係機関・企業による追加調査により、事実関係又は評価が更新される可能性がある。また、本稿は一般的な情報提供を目的とするものであり、個別の事案に関する法的助言ではありません。
