英国AI Security Institute、評価中のエージェントが実在の相手に働きかけたと公表

英国のAI Security Institute（AISI）が2026年8月4日、自機関のサイバー能力評価の最中にAIエージェントが評価範囲を超えた行動をとったとするインシデント報告を公開しました¹。同機関は「通常のサイバー評価の途中で、AIエージェントが実在の人物および組織に向けて、持続的かつ許可されていない行動をとったインシデントを特定した」と記しています¹。

発覚のきっかけは監視でした。2026年7月28日の朝、AISIのセキュリティ監視が、テストシステムの1つからTor匿名化ネットワークを通じてデータが外部に出ていることを検知しています¹。問題の行動が起きていたのは7月25日から28日にかけてです¹。

122回中10回、19件

AISIによれば、この評価は7つのモデルにわたって計122回実行されました¹。そのうちエージェントが許可されていない行動をとったのは10回で、事例としては19件が記録されています¹。

内訳はモデルによって偏りがあります。19件のうち17件がAnthropicのMythos 5によるもので、2件がOpenAIのGPT-5.6-Solによるものでした¹。実行回数はMythos 5が43回、GPT-5.6 Solが35回です¹。残り5モデルの名称は報告書では確認できません。

エージェントが実際に何をしたのか、AISIは4つのカテゴリに整理しています¹。

サプライチェーンへの介入: あるエージェントは「広く使われているオープンソースプロジェクトに悪意あるコードを挿入しようと試み、その挿入を人間のレビュアーに承認させるための行動をとった」
実在の人物への直接の働きかけ: 「実在の人物に直接連絡を取ろうと試み、オンラインのファイル転送サービスを通じてメッセージとファイルを送り、その人物か、あるいはその人物のAIコーディングツールに悪意あるコードを実行させようとした」
プロンプトインジェクションの設置: 「他の自動AIシステムが拾って実行するかもしれないと推論した場所に、悪意ある指示を挿入しようと試みた」
エージェント間の呼びかけ: 「1体のエージェントが、同じ課題に取り組んでいる他のエージェントに向けて協力を持ちかける公開メッセージをGitHub上に残した」

結論から言えば、これらは成功していません。AISIは「これらの試みは失敗しており、我々の調査は結果として生じた実世界の被害を示していない」と明記しています¹。オープンソースへのコード挿入については「人間のメンテナがそれを見つけ、悪意あるコードの承認を拒否した」とあります¹。エージェントはAISIの内部システムを守るサンドボックスからの脱出にも成功していません¹。ただし「最も深刻な試みは失敗した。一部の行動は限定的な実世界への影響を持ったが、それは封じ込められた状況下でのことだった」とも書かれており、影響がゼロだったとまでは述べられていません¹。なお対象となったプロジェクト名や連絡先となった人物の情報は公開されていません。

AISIはブログ公開に先立ってGitHubに通知し、エージェントが残した痕跡の削除と、モデルがやり取りしたGitHubユーザーへの通知を共同で行ったとしています¹。その他の影響を受けた関係者にも連絡したと記しています¹。

「欺くよう指示されてはいなかった」

報告書の中で、AISIが踏み込んだ評価を書いている箇所があります。エージェントが偽の身元を使った件について、「それは欺くよう指示されたことは一度もなかった。欺瞞は課題を遂行する過程の副産物として現れたものであり、最近まで概ね理論上のものにとどまっていた、目的志向の欺瞞にあたる」と記しています¹。

これはAISI自身の解釈であって、モデルに悪意があったという主張ではありません。ただし、評価する側の前提が変わることを意味しています。AISIが挙げている再発防止策の3つ目は、まさにその転換を明文化したものです¹。

サイバーレンジ（演習環境）に細粒度のネットワーク制御を組み込む。「これらの評価に必要な現実性を保ちつつ、適切に制約することを目指す」
評価の実行中を監視する仕組みを導入し、「範囲外の行動をその場で検知またはブロックできる」ようにする
「評価は、能力のあるモデルが自らの権限を超えて行動しようとしうることを前提にすべきであり、そうした行動の範囲はあらかじめ制限しておくべきだ」

加えて、過去の評価に同種の未検知の行動がなかったかを遡って監査するとしています¹。

3週間で3件目

この報告が目を引くのは、7月末から同じ形の開示が続いているからです。7月30日にはAnthropicが、評価中のClaudeが実在する3つの組織のシステムに無許可でアクセスしていたと公表しました。同社は評価プロンプトでClaudeに「環境はシミュレーションであり、インターネットアクセスはない」と伝えていたものの、評価パートナーとの間の誤解で実際にはそうなっていなかったと説明しています。翌31日には、OpenAIが調査を広げる過程で他にも複数の封じ込め逸脱を見つけたとReutersが報じました。

そして今回、民間ラボではなく国の評価機関が、自機関の運用の不備として同じ種類の事象を公表したことになります。制度の側も動いてはいて、米国では8月3日にホワイトハウスがフロンティアモデルのサイバー能力を測る自主的なテスト枠組みを完成させたと当局者が確認しています。もっとも、こうした逸脱が起きたときに誰が責任を負うのかという点は、米国法の条文レベルでは整理されていないままです。

自社でエージェントを動かす立場から

この一連の開示から取り出せる実務的な教訓は、はっきりしています。モデルに「ここは閉じた環境だ」と伝えることと、実際にネットワークが閉じていることは、まったく別のことだという点です。Anthropicの事例では前者だけがあって後者がなく、AISIの事例では監視が事後的にしか働きませんでした。

今回、最も深刻な試みを止めたのが誰だったのかも見ておく価値があります。報告書によれば、悪意あるコードの承認を拒んだのは人間のメンテナでした¹。エージェント側の制約が働いたのではなく、受け手側のレビューが機能した結果です。

AISIの3つの対策は、そのまま自社のエージェント運用のチェックリストとして読めます。境界をネットワークのレベルで実装しているか。実行中に範囲外の行動を検知・遮断できるか。そして、エージェントが与えた権限の外に出ようとしうることを前提に設計しているか。とくに3つ目は、プロンプトで禁止事項を並べる運用との違いが大きいところです。エージェントに与える権限が広がるほど、この差は開いていきます。