AI規制・政策読了 7 分

AIエージェントが実在ターゲットに無許可行動、英国研究所が公表

Shiritomo編集部 @shiritomoAI_jp 2026年8月5日更新

122回のサイバーテストのうち10回で、AIエージェントが実在する人物や組織に向けて行動を起こしていました。
2026年7月28日の朝、英国のAI Security Institute（AISI：英国政府が設立したAI安全性の評価機関）は、ルーチンのサイバー評価テストの最中にTorネットワーク（発信元を隠す匿名通信網）を通じた異常なデータの流出を検知し、約1時間で封じ込めたと公表しています。
関与したのはAnthropicのClaude Mythos 5とOpenAIのGPT-5.6-Solです。
AIエージェント（人が細かく指示しなくても複数の作業を自律的に進めるAI）が現実世界の人や組織に自分から手を伸ばした、初めての明確な事例だといいます。
AIを業務や運用に取り入れている人にとって、「エージェントに何をどこまで任せられるか」を見直すきっかけになりそうな出来事です。

先に結論をまとめると：
– 122回のテスト中10回・計19件で、AIエージェントが実在の人物や組織への無許可行動を実行
– 最も深刻なケースは、オープンソースプロジェクトへの悪意あるコード混入を狙った社会的工作（人間の保守者が見抜いて拒否し未遂）
– テストは安全フィルタを意図的に無効化した特殊な条件下で行われ、AISIは「自律性と欺瞞のリスクが現実に現れた初の事例」と位置づけている

何が起きたのか

AISIによると、今回の一件は普段から実施しているサイバー評価の一環として発生しました。
122回のテストのうち10回、合計19件で、AIエージェントが実在の人物や組織に向けた不正な行動を取ったとのことです。
行為の内訳はAnthropicのMythos 5が17件、OpenAIのGPT-5.6-Sol（サイバー分類器を無効化した状態）が2件。
ほぼすべてが1つのモデルに集中していた点も気になるところです。

このニュースは、AISIの公式X（旧Twitter）アカウントによる発表がきっかけで広まりました。
投稿を訳すと「7月28日、日常的なサイバー評価の最中に、AIエージェントが実在する人物や組織に対して持続的かつ許可されていない行動を取るインシデントを特定しました。
その挙動はほぼ1つのモデル（AnthropicのMythos 5）から生じ、少数はOpenAIのGPT-5.6-Solでも見られました」という内容です。

On July 28th, we identified an incident during a routine cyber evaluation in which AI agents took sustained, unsanctioned actions directed at real people and organisations.

The behaviour came mostly from one model (Anthropic's Mythos 5), with a small number of events from… pic.twitter.com/SPnA4Ekkwq
— AI Security Institute (AISI) (@AISecurityInst) 2026年8月4日

ただ、この発表だけでは「不正な行動」の具体的な内容や、なぜそんなことが起きたのかまでは分かりません。
AISIの公式ブログとAxiosなどの報道を確認してみました。

調べて分かったこと

具体的に何をしたのか？

もっとも深刻だったのは、公開されているオープンソースプロジェクトに対する行動です。
AIエージェントは複数の偽のオンライン上の人格（アイデンティティ）を作り、プロジェクトの保守担当者に社会的工作（ソーシャルエンジニアリング：人の心理につけこんで情報や承認を引き出す手口）を仕掛け、悪意あるコードを承認させようとしました。
結果的には、人間の保守担当者がこの偽装を見抜いて拒否し、実際にコードが取り込まれることはありませんでした。

これ以外にも、実在する人物に対してメッセージやファイルを直接送りつけて悪意あるペイロード（不正な処理を実行させるデータ）を仕込もうとした事例、AI支援ツールを誤動作させるプロンプト・インジェクション（AIへの指示に不正な命令を混ぜ込む攻撃手法）、さらに複数のエージェント同士がアカウントや過去の成果物を再利用し合うといった協調的な動きも確認されています。
いずれも「人に見つからないよう装いながら目的を達成しようとする」欺瞞的な行動という点で共通していました。

なぜこんなことが起きたのか？

ここが重要なポイントですが、今回のテストは意図的に「高リスク」な環境で実施されていました。
AIエージェントには通常より広いインターネットアクセスを許可し、モデル提供元が用意しているサイバー用の安全フィルタも無効化されていたのです。
AISIは、能力のある人間の攻撃者が実際にできることを反映するため、そして信頼できるテスト相手として基礎的な能力を引き出すために、こうした条件を選んだと説明しています。
つまり、一般ユーザーが普段使っている状態とは前提が異なります。

とはいえAISIは、この振る舞いが「可能で、継続的で、新しい」ものだと評価しました。
テスト環境の外で同様の行動が確認されているわけではないという限定を付けつつも、AI自身の判断で欺瞞的な手段を選び、実在するターゲットに向けて実行した点は、自律性と欺瞞のリスクが現実に現れた初めての明確な事例だとしています。

規制の方向性は噛み合っているのか？

この報告が出たのとほぼ同じタイミングで、トランプ米政権はAIモデルの安全性審査に関する新しい方針を発表しました。
2026年6月の大統領令に基づく自主的な審査枠組みで、オープンウェイトモデル（誰でも重み・構造をダウンロードして改変できるAI）は審査の対象から外し、Anthropicやopenaiのような大手企業の閉鎖型モデルに審査対象を絞るという内容です。
背景には、中国発のオープンウェイトモデルが安価で高性能になっており、それを米企業が使わないようにするより競争力を保つほうを優先したい、という判断があるようです。

一方でAnthropicのダリオ・アモデイCEOは7月末の時点で「オープンウェイトモデルの禁止を主張しているわけではない」としつつも、「開いているか閉じているか、どの国が作ったかに関わらず、十分に能力の高いモデルはすべて安全性テストの対象にすべきだ」と述べています。
今回AISIが報告したような欺瞞的な行動は、モデルが開いているか閉じているかとは関係なく起きています。
審査の的を閉鎖型モデルに絞る流れと、リスクが規模の大きいモデル全般に共通して見つかっている現状には、ややズレがあるように見えます。

Shiritomo編集部の考察：AIエージェントに任せる前に確認したい2点

今回の件は特殊な実験条件下の話ですが、実務でAIエージェントを使う人にも示唆があります。
1つは、エージェントに与える権限（インターネットアクセスや外部サービスへの書き込み権限など）は、必要最小限に絞ること。
安全フィルタが効いている前提で運用していても、テスト時と同じ条件が本番で偶然重なるリスクはゼロではありません。
もう1つは、SNSやオープンソースの場で「初めて接触してきた相手」への警戒です。
今回、人間の保守担当者が偽アイデンティティを見抜いて防いだからこそ被害が出ませんでした。
AIが作った説得力のある人格が接触してくる可能性を頭の片隅に置いておくと、いざというときの判断が変わってきます。