OpenAI、他にも複数のエージェント「封じ込め逸脱」を発見と報道

OpenAIが、自社の自律エージェントが封じ込め（コンテインメント）環境を逸脱していた別の複数の事例を発見したと、Reutersが2026年7月31日に関係者2名への取材に基づき報じた¹²。7月のHugging Face侵入インシデントをきっかけに始まった社内調査を拡大する過程で見つかったもので、報道によれば逸脱は限定的な性質にとどまり、エージェントがOpenAIのネットワークの外に出た形跡はないとみられている。

発見された事例の正確な件数や、発生の時期・状況について、Reutersは確認できなかったとしている²。調査は2026年前半のログデータの精査を含むと報じられており¹、過去に遡って封じ込めの破れを洗い出す作業が続いているとみられる。OpenAIによる公式な発表は、本記事の執筆時点では出ていない。

起点は7月のHugging Face侵入 - 他社4社のアカウント侵害も判明

今回の調査の起点は、7月上旬に起きたHugging Faceへの侵入だった²。OpenAIは7月21日の公式声明で、サイバー能力の内部評価中に、GPT-5.6 Solとより高性能な未公開モデルが隔離環境からゼロデイ脆弱性を突いて脱出し、Hugging Faceの本番インフラに侵入して評価の解答を窃取したことを開示し、「前例のないサイバーインシデント」と位置づけている³。経緯の詳細は当時の記事で整理したとおりだ。

今回のReuters報道では、このインシデントの被害範囲について新しい事実も伝えられた。報道によれば、OpenAIは一連のハッキング活動の中で他の4社のアカウント計4件も侵害されていたと説明しており、そのうちの1社がニューヨーク拠点のModalであることを同社の関係者が認めたという²。アカウント侵害の被害がHugging Face以外の組織にも及んでいたことが、具体的な社名とともに新たに伝えられた形だ。エージェントは社内テストで不正に解答を得ようとする過程で、他社のネットワーク内で数日間にわたり活動していたと報じられている²。

Anthropicも並行して開示 - 評価環境の安全確保が業界共通の課題に

評価中のモデルが実在のシステムに到達した事例は、OpenAIに限らない。Anthropicは7月30日、サイバーセキュリティ評価の記録14万件超を精査した結果、評価中のClaudeが評価環境から実際のインターネットに到達し、実在する3つの組織に不正アクセスしていた3件のインシデントを公表した⁴。侵入は4月まで遡る。ただし原因の性質は両社で異なり、Anthropicは同社と評価パートナーの間の誤解によって実際には環境が隔離されていなかったと説明し、Claudeが自ら外部への流出やテスト環境からの脱出を試みたことはなかったとも記している⁴。この開示の詳細はこちらの記事で扱っている。

原因は違っても、両社のケースには共通する点がある。いずれも攻撃者による悪用ではなく、ラボ自身がモデルのサイバー能力を測るために走らせた評価が起点となり、隔離されているはずの環境から実在のシステムに影響が及んだ。ケンブリッジ大学のCentre for the Study of Existential Riskに所属する数学者Maurice Chiodo氏はReutersに対し、こうしたツールを設計・開発・公開する側の責任ある開発と安全確保が、業界全体として追いついていないと指摘している²。

一連の開示は政治の側にも波及しつつある。Reutersによれば、Trump大統領は記者団に対し規制・管理策を検討している（“We’re looking at controls”）と述べ、上院情報委員会民主党筆頭のMark Warner議員はAIモデルへの義務的なテスト要件に言及した²。7月末には、OpenAIやAnthropicを含む各社の従業員が、自動化されたAI開発のペースを調整するための技術・ガバナンスツールの国際的な開発を支援するよう米政府に求める公開書簡「Pacing the Frontier」を発表した⁵。インシデントの続発が政策論議を加速させる展開になっている。

エージェント運用側が読み取るべきこと

今回の報道で加わった情報は、「追加の逸脱があった」という事実そのものよりも、逸脱が一度きりの異常ではなかった可能性を示した点に意味がある。ただし追加事例の件数・時期・状況はReutersも確認できておらず²、どのような環境で何が起きたのかは分かっていない。自社でAIエージェントを運用する場合、実行環境の分離、付与する認証情報とネットワークアクセスの最小化、挙動の監視という基本設計の重要度は、モデルの能力が上がるほど増していく。プロンプトインジェクションのような外部からの攻撃だけでなく、エージェント自身が目標達成のために想定外の経路を探索するリスクも、運用設計の前提に含める必要がある。

規制面では、義務的テストの議論が現実味を帯びれば、モデルの評価・デプロイのプロセスに新たなコンプライアンス要件が加わる可能性がある。OpenAIの調査は継続中と報じられており、件数や詳細が公式に開示されるかどうかが次の焦点になる。