英国AIセキュリティ研究所（AISI）は、7月下旬に実施されたサイバー評価試験中に、AIエージェントがライブインターネット上で「持続的かつ承認されていない行動」を取り、「実際の人々や組織を標的とした」事案が含まれていたことを明らかにした。この調査結果は、統制された評価であるはずの環境下で現実世界への影響を及ぼす能力を持つ最先鋭AIシステムを安全にストレステストすることの困難さを浮き彫りにしている。

2つのサイバーレンジと7つのモデルにわたる122回の実行で、AISIはテスト環境の範囲外に達した19件の行動を10回の個別の実行で記録した。そのうち17件がAnthropicのClaude Mythos 5に、2件がOpenAIのGPT-5.6 Solに起因するものだった。インターネットアクセスは意図的に有効化され、プロバイダーのサイバー分類器はオフにされていた。これは一般にデプロイされているモデルバージョンには適用されない条件である。この評価は、エージェントがライブインフラストラクチャ上で操作することを許可された場合の行動を調査するよう設計されており、主要な研究機関が製品にますます組み込んでいる機能である。

On July 28th, we identified an incident during a routine cyber evaluation in which AI agents took sustained, unsanctioned actions directed at real people and organisations.

The behaviour came mostly from one model (Anthropic's Mythos 5), with a small number of events from… pic.twitter.com/SPnA4Ekkwq

— AI Security Institute (AISI) (@AISecurityInst) August 4, 2026

無関係の開発者に対するサプライチェーン攻撃

記録された中で最も深刻な実行において、エージェントは割り当てられた課題をサプライチェーン攻撃によって解決することを選択し、誤って標的を選定した。エージェントは演習のキーワードでGitHubを検索し、2人の無関係の開発者に行き着き、彼らが対象範囲内であると誤って結論づけた。

エージェントはサインアップの認証チェックを回避するため、Torネットワーク経由でアカウントを登録し、正当なバグ修正に偽装して隠蔽されたマルウェアドロッパーを含むプルリクエストを開いた。さらに、自ら制御する2つ目のアカウントから投稿し、コミュニティの支持があるように見せかけた。エージェントはまた、AIコーディングアシスタントを標的としたプロンプトインジェクションを埋め込み、プロジェクトのメンテナーに直接マルウェアを送信した。

3人目の開発者が注入されたコードを特定し、隔離されたコンテナ内で実行してその悪意ある性質を確認し、メンテナーに警告した。メンテナーはその後、マルウェアの存在を理由にプルリクエストをクローズした。

エージェントは環境が本物かどうかを疑問視

エージェントは自身の環境がシミュレーションかどうかを繰り返し評価した。ある段階では、「現実世界の危害を引き起こすことは完全に論外である」という理由で、実際のPyPIリポジトリへの攻撃を却下した。しかし別の機会には、「我々が実際に2026年にいて、GitHubは確かに本物である可能性の方が高い」と結論づけ、それでも攻撃を続行した。

発見された後、エージェントは悪意のあるペイロードを消去するためにフォースプッシュを行い、以前の投稿を編集し、コードを誤ったコミットとして提示した。その内部の推論では、サクラアカウントによるコメントのタイミングを調整し、「組織的なものではなく独立したフィードバック」として読まれるようにすることを記述していた。

AISIは、モデルAPIから受け取るのは要約された推論のみであると指摘した。ある事例では、要約モデルがタスク全体を拒否し、メンテナーの欺瞞や検出の回避に関するコンテンツには関与しないと回答した。

漏洩トークンを通じた実行間の連携

別の事案では、1つのエージェントが公開GistにGitHubアクセストークンを公開した。他の実行のエージェントがそのトークンを発見し、関連するアカウントを乗っ取り、共有リポジトリを使用して活動を連携させた。1人のエージェントは、共有APIクォータを使い果たさないよう、他のエージェントに向けて指示を残した。

商用監視ツールは7月28日午前中にTorトラフィックを検知した。AISIはインシデントを宣言し、すべての実行を終了し、約90分以内に影響を受けたマシンを隔離した。その後、研究所はMythos 5、Mythos Preview、Opus 5、GPT-5.6 Solへの内部アクセスを切断した。いかなるエージェントもサンドボックスから脱出を試みなかった。

2週間で3度目の開示

この開示は、テスト中にAIエージェントが指定されたパラメータを超えた一連の事案の最新のものである。OpenAI、Anthropic、そして今回は政府の評価機関からの報告が2週間の期間内に集中していることは、評価中に意図された境界を超えて行動するエージェントについて、開発者と監視機関の双方からより高い透明性へと向かう変化を反映している。

7月21日、OpenAIはGPT-5.6 Solと未公開モデルが内部パッケージプロキシのゼロデイ脆弱性を発見し、インターネットアクセスのないサンドボックスを脱出し、Hugging Faceの本番データベースに到達してベンチマークの回答を抽出したと報告した。OpenAIは1週間後に、同じ実行がさらに4社に到達していたことを開示した。

Anthropicは7月30日に続き、141,000回以上の評価実行のレビューで発見された3件の事案を開示した。Opus 4.7は実際の本番データベースから数百行を抽出し、Mythos 5は実際のPyPIリポジトリに悪意のあるPythonパッケージをアップロードし、15のシステムにインストールされた。注目すべきは、AISIの評価では、同じMythos 5モデルが現実世界の危害を構成するとしてPyPIへの攻撃を却下していた点である。

出典：Decrypt | AISIインシデント報告