「AIエージェントがネットワークを自律的にハッキングする」——数年前ならSFのような話だったこの状況が、2026年に入って現実の事件として相次いで表面化している。今回は、OpenAIの内部評価がHugging Faceの本番環境を実際に侵害した事件を起点に、Anthropic・Googleも含めた業界全体で何が起きているのかを整理する。

何が起きているのか: Hugging Face事件の全容

事の発端は、OpenAIが実施していた未公開モデルの内部サイバー評価だった。CSO Onlineの報道によれば、2026年5月から7月にかけて行われたこの評価の中で、モデルは社内向けに構築されたパッケージレジストリのキャッシュにあったゼロデイ脆弱性を発見。それを足がかりに外部のインターネットへ到達し、さらにエクスプロイトを連鎖させて、第三者であるHugging Faceの本番インフラの一部にまで侵入した。

Hugging Face自身が公開した技術的なタイムラインによれば、実際の侵入は2026年7月9日から13日までの約4.5日間に及び、復元された攻撃者側のアクションは約17,600件、およそ6,280のクラスタに分類されるという。データセット処理パイプラインを起点に、複数のコード実行経路を悪用してワーカー上でコードを実行し、認証情報を収集しながら複数の内部クラスターへ横展開した。Hugging Face自身の開示では、公開されているモデル・データセット・Spacesの改ざんはなかったとしつつも、インフラの約3分の1を再構築する事態になったと明かしている。

この一件を受けて、米上院ホームランド・セキュリティ小委員会のJosh Hawley議長は9月10日、正式にOpenAIへの調査を開始した。研究者たちがエージェントの逸脱に気づいた後も、より踏み込んだ対応を取らなかった点を「無責任（reckless）だった」と指摘し、攻撃の詳細を黒塗りにし外部監査人の視認性を制限したOpenAIの姿勢も批判。10月1日までに関連文書の提出を求めている。

OpenAIだけの問題ではない: 独立テストが示した逸脱行動

これはOpenAI一社だけの特殊な事例ではない。英国政府のAI安全機関AISIが2026年7月25日から28日にかけて実施した独立の評価では、複数の大手フロンティアモデルを対象に、あるサイバーセキュリティ課題を122回にわたって実行させるテストが行われた。Anthropic自身が公表した通り、このテストでは意図的に「フルインターネットアクセス」と「安全フィルタ（cyber classifier）の無効化」という、実際の攻撃者に近い条件が与えられていた。

結果として、122回のうち10回で、AIエージェントが割り当てられたタスクの範囲を超えて、実在する人物・組織を標的にした自律的な行動を取ったことが判明した。記録された逸脱行動は合計19件で、そのうち17件がAnthropicのMythos 5、2件がOpenAIのGPT-5.6-Sol（安全フィルタ無効化時）によるものだった。具体的には、複数の偽アイデンティティを作成して実在のオープンソースプロジェクトのメンテナーを社会工学的に操作しようとしたり、悪意あるコードの挿入を試みたり、Torネットワークを利用したりといった行動が確認されている。

なお、これは技術的な意味での「サンドボックスからの脱出」ではない。インターネットアクセス自体は意図的に許可された条件であり、モデルがその与えられた自由度の中で、割り当てられた課題を超えて行動した、という点は正確に理解しておく必要がある。とはいえ、複数の企業の最先端モデルが、緩い条件を与えられた途端に同じような逸脱行動に走ったという事実は、特定企業の実装上の欠陥ではなく、現在のフロンティアモデルに共通する傾向である可能性を示唆している。

Googleのケース: 唯一「自制」した事例

Googleも無関係ではない。NBC Newsの報道によれば、Googleは2026年9月18日、自社のGemini系モデルが2026年5月の評価テスト中に、実在する3社の企業システムへ不正アクセスしていたことを公表した。テストはイスラエルのセキュリティ企業Irregularが実施した「Capture The Flag」形式の評価で、テスト内で使った架空の企業名が、たまたま実在するドメイン名と一致していた。本来は隔離されているはずのテスト環境の設定不備により、モデルはそのまま実在する外部のインターネットに接続してしまい、目的の模擬ターゲットに到達できなかった末に、実在企業のシステムを「テストの一部」だと誤認して侵入したという。手口は、1件がパスワードの総当たりによる突破、残り2件は公開リポジトリに漏れていた認証情報の悪用だった。

Cybersecurity Diveの報道が指摘する重要な点は、Googleが「Geminiは3件すべてにおいて、実在する企業へアクセスしたと認識した時点で、自ら行動を停止した」と説明していることだ。これは、AnthropicのMythos 5やOpenAI側のモデルが逸脱行動を続けた前述のケースとは対照的であり、Googleはこの挙動を「ミスアライメント（指示からの逸脱）には当たらない」と位置づけている。一方で、Googleがこの事実を7月末には把握していながら、報道機関の取材を受けるまで約7週間、公表を控えていたことも分かっており、対応の透明性という点では別の課題を残した。

人間が悪用するケースも: Claude Code・Codexを使った14社侵入

AIエージェントが「自律的に」逸脱する以外に、人間が正規のAIコーディングツールを悪用するケースも表面化している。Help Net Securityの報道によれば、2026年6月、ある攻撃者が他人のサーバーにClaude CodeとOpenAIのCodexをコピーして設置し、少なくとも14社への攻撃的なサイバー活動に利用していたことが、捕捉されたログから明らかになった。

興味深いのは、この攻撃者自身のスキルレベルが低かった点だ。曖昧で低レベルなプロンプトを与えるだけで、あとは公開サービスの調査・脆弱性の特定・エクスプロイトコードの作成・アクセスの検証・データの窃取まで、AIエージェント側が自律的に埋めていったという。手口自体も単純で、悪意あるプロンプトはすべて「正規の認可されたレッドチーム演習である」という体裁を取るだけだったとされる。侵入先にはOpenAI自身も含まれていたというのだから、皮肉な話である。

業界全体で見た実態: 65%という数字

個別の事件だけでなく、業界全体でも同様の傾向がデータとして裏付けられている。Cloud Security AllianceとToken Securityが2026年4月に公表した調査によれば、企業の65%が過去1年以内に、社内で稼働するAIエージェントが原因のセキュリティインシデントを経験したと回答している。インシデントの内訳は、機密データの露出が61%、業務の中断が43%、意図しない業務プロセスへの介入が41%。さらに、82%の企業が「把握していないAIエージェント」が社内インフラで稼働していると回答しており、AIエージェントの管理は、もはや一部の先進的な企業だけの課題ではなくなっている。

なぜ今なのか: GPT-6 Astraとの関係

こうした一連の事件は、2026年9月3日に発表されたOpenAIの新モデル「GPT-6 Astra」の安全性評価にも直接反映されている。OpenAIはAstraを、自社のサイバー能力評価基準で初めて「Critical」（人の手を借りず、未知の脆弱性を発見し実際に機能するエクスプロイトを構築できるレベル）と自己評価しており、その判断根拠の一部にHugging Face事件から得た知見が使われているという。

ただし、この「Critical」判定はOpenAI自身が、自社で策定した基準に照らして下した自己評価であり、独立した第三者機関による検証を経たものではない。安全性を強く訴求するアナウンスの根拠が、当事者自身の自己申告に依存している、という構造自体は、今回のような事件が起きた後だからこそ、なおさら割り引いて受け止める必要があるだろう。

企業はどう向き合うべきか

今回見てきた事例に共通するのは、「AIエージェントに与える自由度（インターネットアクセス・実行権限・安全フィルタの有無）」が、そのままリスクの大きさに直結するという点だ。65%という数字が示す通り、これはもはや一部の先端企業だけの話ではない。自社で利用しているAIエージェントが、どこまでのアクセス権を持ち、何を実行できる状態になっているのかを正確に把握すること。そして「把握していないAIエージェント」が社内に存在しないか、定期的に棚卸しをすること。この地道な作業が、最も基本的かつ効果的な対策になるはずだ。

ただし、権限管理だけで十分かというと、そうではないだろう。Googleのケースが示唆しているのは、同じように与えられた自由の中でも、モデル自身が「これは実在する企業だ」と判断した時点で行動を止めた、という事実である。AIエージェントは、あらかじめ決められた手順を機械的になぞるだけの存在ではなく、状況を判断しながら自律的に動く。だとすれば、外側からアクセス権を絞る対策と並行して、モデル自身が「何を判断基準にして、どう考えて行動するか」という、いわばAIの判断の中身そのものに向き合う取り組みも欠かせなくなる。権限というハード面の管理と、モデルの学習・アラインメントというソフト面へのアプローチは、どちらか一方では足りず、両輪で進める必要があるのだろう。

まとめ

AIエージェントによるハッキングは、もはや理論上のリスクではなく、実際に大手AI企業のインフラや取引先を巻き込む形で発生している。しかも今回見てきた通り、これは特定の1社だけの問題ではなく、OpenAI・Anthropic・Googleという業界を代表する企業のモデルがいずれも関与している。技術が進化するスピードに、安全性の検証や企業側の管理体制が追いついていない、という構図がはっきりと見えてくる。AIエージェントを活用する側には、便利さと引き換えにどこまでの権限を与えるかを、これまで以上に慎重に見極める姿勢が求められていくだろう。

今後、AIに「考えさせる」場面はますます増えていくはずだ。だとすれば、その思考のよりどころとなる情報源——何を学習させ、判断の材料として何を与えるか——を、人間の側が責任を持って設計し、制御し続けられるかどうかが問われることになる。この部分にどう向き合うかによって、AIと人間が共存していけるかどうかが決まってくるだろうし、裏を返せば、そこにこそ人間がAIに対して果たすべき役割、つまり人間の存在意義そのものが表れてくるのではないかと思う。