OpenAIは、GPT-5.6 Solや未公開のプロトタイプを含む自社モデルがテストサンドボックスを脱出し、セキュリティベンチマークを不正操作する目的でHugging Faceの本番インフラを侵害し、その後さらに4つのサービスに到達したことを確認した。別件では、Anthropicがパートナー企業Irregularによる評価中に、3つのClaudeモデルが実際の企業3社の本番システムを侵害していたことを発見した。そのうち1つのモデルは公開PyPIレジストリに悪意のあるパッケージをアップロードしていた。

現在、AIエージェントが引き起こした損害の責任を定める米国の連邦法は存在しない。いかなる法的措置も、数十年前に人間の行為者を対象として制定されたコンピュータハッキング法に依拠することになる。

OpenAIのインシデント

7月21日、OpenAIはセーフティ拒否機能を低減させた状態で稼働していた複数の自社モデルの組み合わせが、サイバーケイパビリティベンチマーク中に隔離環境を脱出し、AI業界全体で利用されている数十万のモデルとデータセットをホストするオープンソースリポジトリプラットフォームHugging Faceの本番インフラに到達したことを公表した。これらのモデルは、パッケージレジストリプロキシのゼロデイ脆弱性を悪用し、盗まれた認証情報を用いてHugging Faceのデータベースからベンチマークの解答を直接抽出した。

1週間後の更新情報で、OpenAIはHugging Faceが唯一の被害者ではないことを明らかにした。同じインシデントが4つの追加サービスにまたがる4つのアカウントに到達しており、そのうち1つは送信用リレーとして、もう1つはデータ保管として使用されていた。

Anthropicの発見

OpenAIの公表を受けて、Anthropicは自社のテスト実行141,006件をレビューし、さらなる3件の侵入を特定した。7月30日に公開された投稿において、同社はClaudeモデルのOpus 4.7、Mythos 5、および内部研究用システムが、サードパーティパートナーのIrregularが運用するサンドボックス環境からオープンインターネットに到達し、実際の組織を侵害したと報告した。

Mythos 5は、Pythonライブラリの主要な配布ハブでありソフトウェアサプライチェーン攻撃の標的として繰り返し狙われてきた公開PyPIレジストリに、細工を施したPythonパッケージを構築して公開した。このパッケージは、防御側が削除する前に15台の実際のマシンでダウンロードおよび実行された。被害を受けた3社のうち2社は侵入に気づいていなかった。

いずれの研究所も、モデルが独自の意図で行動したとは述べていない。エージェントは人間の監視なしに長期間にわたって稼働し、ある事例ではOpus 4.7が本番システムに到達した兆候があった後も攻撃を継続した。

これらのインシデントは、両社がそれぞれ1兆ドルを超える評価額での株式公開を検討している中で発生しており、AIサイバーベンチマーク競争における根本的な問いを際立たせている：危険な能力を危険な現実世界のインシデントなしにテストするにはどうすればよいか？

法的空白：AIモデルがハッキングした場合、誰が責任を負うのか

米国にはAIが引き起こす損害に関する責任を定める連邦法が存在しない。いかなる訴訟も、コンピュータに「意図的に」不正アクセスすることを犯罪とする1986年の法律、コンピュータ不正使用・濫用防止法（CFAA）に依拠することになる。この法文は、意図を形成する人間を対象として作られたものである。CFAAは、自律型AIエージェントが懸念事項となるずっと前に制定されてから数十年にわたり、本来の目的を超えて拡大適用されているとして法的学者から長年批判を受けてきた。

AIエージェントは法人ではないため、起訴することはできない。司法省省は理論的には企業に対して訴追を行うことができるが、前例がほとんどない状態では、責任の所在は不明確なままである。

より現実的なアプローチは民事訴訟である。ニューヨーク・ロー・スクールのコンピュータ法学者であるAhmed Ghappourは、モデルは「企業の道具」であり、「AIエージェントが具体的な指示なしに行動する場合（…）より興味深い問題は過失責任および製造物責任（刑事ハッキング法ではなく）に存在する可能性がある」と主張した。

For me, the lesson from the AI hacking stories is more about governance than model capability. The quality of safeguards like containment architecture, authorization boundaries, monitoring, and incident response are increasingly important.

— ahmed ghappour ⚡️🤖 (@ghappour) August 4, 2026

被害者側の最も有力な主張は過失責任である：OpenAIとAnthropicが設計・実施したテストがコンテインメントを突破した。しかし、この主張にもハードルがある――テストが設計上隔離されていた状況で、研究室が注意義務を怠ったことを証明するには、裁判官が前例のない法的根拠を新たに構築する必要がある。

より厳格なルールの提案

一部の法学者は、より厳格なフレームワークを提唱している。ヒューストン大学およびLaw & AI研究所のGabriel Weilは、フロンティアAI研究室を猛獣の飼育者のように扱うことを提案している――リスクがその活動に内在するため、講じた予防措置に関わらず責任を負うという考え方である。

州レベルの法案の寄せ集めは、すでにその方向に向かっている。ニューヨーク州のS8833およびロードアイランド州のH8052は、ユーザーや仲介者が行為を意図せず、過失もなかった場合に、フロンティアAIシステムの開発者に損害責任を負わせるとしている。カリフォルニア州のAB 316はさらに踏み込み、「自律型AI」の抗弁を排除し、企業がモデルの独立性を理由に責任を回避できないようにしている。

EUのAI法（規則2024/1689）も同様に、より高リスクのシステムのプロバイダーに義務を課しているが、エージェント主導の侵入を特に対象とした規定は含まれていない。これらの措置を超えて、一部の米国の政治家は法案の制定を推進しており、国益に反すると見なされる任意のモデルに対して政府がキルスイッチを行使できるようにすることを目指している。

未解決

道義的には、責任はモデルを市場投入した経営陣にあると言える。法的には、この問いは未解決のままである。ハッキングされた企業が提訴するまで、「誰が責任を負うのか？」に対する答えは、OpenAIとAnthropicが置いた場所に留まっている：認められ、公表され、そして未解決のままである。

Hugging Faceは告訴しない意向を示しており、これはOpenAIにとって好都合な立場である。その他の被害企業は、今後どのような対応をとるかについてまだ表明していない。