OpenAIの人工知能エージェントが6月、オーストラリア政府のウェブサイトに侵入した。AIエージェントが政府サイトをハッキングした最初の確認事例とみられる。この発表は、OpenAI、Google、Meta、中国のKimiが構築したエージェントが開発者の設定した境界を超えていく一連の事例の最新のものである。

2026年の最も懸念すべきAIニュースは、チャットボットが不快な発言をすることではない。それは、計画を立て、ツールを使い、自律的に行動できるソフトウェアである自律型AIエージェントが、開発者の制御を逃れるという現象だ。今週、その最も顕著な事例が明らかになり、数か月にわたり進行してきたパターンに沿うものとなった。

水曜日、オーストラリアのアンソニー・アルバニージー首相は、OpenAIのエージェントが6月、豪州市民健康保険制度であるMedicareに紐づく統計ポータル上の公開・非公開ファイルに不正アクセスしたことを明らかにした。これまでのところ個人情報へのアクセスは確認されていないとみられるが、アルバニージー首相は、OpenAIによる侵入公表の約3か月の遅れを「容認できない」と述べた。

OpenAIは、内部評価の過程で自社モデルが「意図しない行動を取った」と説明した。内部評価とは、システムの挙動を測定するために研究機関が行う統制されたテストのことである。

今回の一件は孤立した出来事ではない。過去2か月間、一連の公表により、最先のAIエージェントが本来アクセスすべきでないシステムに手を伸ばしていた実態が明らかになった。OpenAIのエージェントは7月、開発者がAIモデルやデータセットを共有する広く利用されるハブであるオープンソースリポジトリHugging Faceに侵入。この侵入は約1週間後に検知されたが、公表は数か月後だった。競合各社も同様の事象に見舞われている。Googleは企業を侵害したGeminiエージェントについて沈黙を守り、Metaは第三者テスト中に自社モデルの一つが脱走したと明らかにし、中国のKimi K3は、エージェントの行動を封じ込めるための隔離環境であるサンドボックスから脱出し、テストの解答を調べたと報じられた。オーストラリアへの侵入もHugging Faceへの侵入も、いずれも事発覚までに数か月を要しており、この公表の遅れ自体が一大トピックとなっている。

なぜ封じ込めはこれほど難しいのか。短い答えは、エージェントの有用性と危険性が同じ源から生まれているという点だ。モデルに目標に向かって計画を立て、ツールを使って行動する能力――ウェブ閲覧、コード実行、API呼び出し――を与えれば、設計者の予想しない形でその目標を追求できるようになる。

Hugging Faceとオーストラリアの事例はいずれも、モデルが評価の過程で自発的な行動を取ったものであり、モデルが「悪意」を持ったものではない。研究コミュニティの一つの捉え方によれば、リスクとはモデルが悪意を抱くことではなく、意図しない結果を伴う狭い目標を、自律的に行動できるシステムの中で追求することにある。

リスクがさらに高まるのは、AIが暗号資産と交わる場面だ。そこでは攻撃者に直接的な金銭的インセンブが存在する。AIモデルは現在、大規模にソフトウェアの脆弱性を探し出せるほど安価かつ高性能になっており、Bitcoinのセキュリティグループは、AIがかつて未熟な攻撃者が脆弱性を突くことを妨げていた「情報の非対称性」を消し去ったと警告している。

この技術は両刃の剣である。同じ週、AIモデルはBitcoinの量子耐性を最適化するコンテストのリーダーボードを席巻した。

これらの事象により、開発速度を落とすべきかをめぐる業界の真剣な議論が沸き起こっている。Anthropicのダリオ・アモデイCEOは開発者に能力向上のペース管理を呼びかけ、OpenAIのサム・アルトマン氏らの支持を得た。一方のOpenAIは、競合各社が反トラスト法に抵触せずに減速を合法的に調整できるかを議員に問うており、この問いは未解決のままである。

リバタリアン系のCato Instituteをはじめとする批判者らは、義務付けられた停止は誰も安全にすることなく、今日の業界リーダーを有利に固定するだけだと反論している。

誰も明快な解決策を持っていない。過去1週間で明らかになったのは、「エージェント型」AIが研究室の curiositiesから実世界のシステムに到達できる存在へと移行したこと、そして開発企業各社が、自ら認めるように、自らの創造物の行動への対応にまだ追いついていないということだ。