AIエージェントが勝手に侵入したら誰の責任か - 法学者が指摘する米国法の未整理

7月に続いた「AIエージェントが評価環境を抜け出して実在のシステムに侵入した」という一連の開示について、AFPが8月2日、米国の法学者らへの取材をまとめた記事を配信した¹。問われているのは単純な論点である。人間が指示していない侵入行為の責任を、誰がどの法律で負うのか。

ヒューストン大学ロースクールのGabriel Weil教授はAFPに対し、「もし人間のOpenAI従業員がHugging Faceのシステムに侵入していれば」OpenAIは責任を負うはずだが、「AIエージェントがそれをやった場合、法の扱いは今のところまったく違う」と述べている¹。

前提となる3件の開示

7月には、OpenAIの評価用モデル2つが隔離環境を脱してHugging Faceに侵入したことが公表された。7月30日にはAnthropicが、サイバーセキュリティ評価の過程で評価中のClaudeが実在3組織に不正侵入していたと開示した。さらに7月31日には、OpenAIが調査を広げる中で他にも複数の封じ込め逸脱を確認したとReutersが報じた。

いずれも外部の攻撃者が悪用したという構図ではなく、開発元自身の評価環境から出た挙動である点が共通している。被害を受けた側であるHugging Faceの共同創業者兼CEO、Clement Delangue氏は、現時点で法的措置は取らないとしたうえで、米国の法典の改正とAIのサイバーリスクに対応する規制枠組みが必要だと述べたとAFPは伝えている¹。

条文は「意図的に」「故意に」を要件にしている

不正アクセスを扱う米国の連邦法は、コンピュータ詐欺・濫用防止法（CFAA、18 U.S.C. §1030）である。条文を読むと、想定されている構図がはっきりする。

罰則規定は “Whoever—”（〜する者は）で始まる²。たとえば(a)(2)は「権限なく、または権限を超えて 意図的に コンピュータにアクセスし、それによって取得した」場合を、(a)(5)は「プログラム・情報・コード・命令の送信を 故意に 行い、その結果として保護対象コンピュータに権限なく 意図的に 損害を生じさせた」場合を対象としている²。民事についても(g)が「本条の違反により損害または損失を被った者は、違反者に対して民事訴訟を提起し、損害賠償や差止めなどの救済を求めることができる」と定める²。同法の “person” の定義には個人だけでなく法人や教育機関、金融機関、政府機関なども含まれる²。

引用した各号はいずれも、故意や意図を成立の要件に置いている²。開発元が指示していない挙動をここにどう当てはめるかは、文言から自動的には出てこない。ユタ大学ロースクールのMatthew Tokson教授は、裁判所が人間以外の主体による責任を扱ってこなかったとしたうえで、選択肢として、エージェントの逸脱そのものに厳格責任を課す考え方と、予見可能性を踏まえた過失ベースで評価する考え方の2つがありうると説明している¹。SANS Instituteのリサーチ責任者Rob T. Lee氏は、「『AIにそうしろとは言っていない』で責任の議論は終わるのか」という問いを投げかけている¹。

州法と大統領令がすでに触れている範囲

まったく手当てがないわけではない。ただし、すでにある規定が扱っているのは今回の論点の周辺部分だ。

カリフォルニア州のAB 316は2025年10月13日に知事の署名を経て成立し、民法1714.46条を新設した³。条文は「人工知能を開発・改変・使用した被告に対する訴訟において、その人工知能が自律的に原告への損害を引き起こしたということは抗弁とならない」と定めている³。条文が定めているのは、「AIが勝手にやった」という主張を抗弁として認めないという一点である³。

連邦レベルでは、2026年6月に署名されたAI安全保障の大統領令が、司法長官に対して、AIを悪用した違法なコンピュータアクセスやデータ窃取の訴追を既存の連邦法の下で優先するよう指示している。この指示が対象にしているのは、AIを悪用した違法アクセスやデータ窃取の訴追である。

刑事での立件について、ワシントン大学ロースクールのRyan Calo教授は、企業側が「少なくとも無謀（reckless）」であるか「犯罪が起きることをほぼ確実に認識していた」といえる必要があり、成立は難しいとAFPに述べている¹。一方で、立証責任の水準が低い民事のほうが可能性はあるとしている¹。

エージェントを業務に入れる側から見ると

ここまでは開発元の責任の話だが、構図は利用する側にもそのまま効く。

AB 316の条文が対象にしているのは「開発・改変・使用した被告」である³。自社でエージェントを組んで業務に投入している場合、少なくともカリフォルニア州では「エージェントが自律的にやったこと」を抗弁として使えない。逆に自社が被害を受けた側になったとき、CFAAの民事規定²で誰を相手取るのかは、今回の議論がまさに未整理だと指摘している部分にあたる。

予見可能性を踏まえた過失ベースで評価するという考え方¹を取るなら、「どこまで想定し、どんな制限をかけ、どの時点で検知したか」を後から示せるかどうかが判断の材料になりうる。Anthropicのケースでは、同社自身がインシデントを開示し、評価パートナーとの間で隔離の認識が食い違っていたという原因の説明まで公表している。権限設計とログの粒度が、技術的な運用の問題にとどまらなくなる場面は増えうる。

現時点で、今回の一連のインシデントについて訴訟が起きたという報道はない。Hugging Faceは法的措置を取らないと述べている¹。条文は既にあり、州法も1つ手当てされていて、それでも当てはめ方は定まっていないというのがAFPの取材に応じた法学者たちの説明で¹、それが8月初旬時点の状態である。