「理論上は可能だが、してはいけないこと」を、AIエージェントにどう教えればよいのでしょうか。豪州で起きたある出来事と、五か国六機関が共同で出した指針は、この問いに対して、教え込むこと以外の答えが必要だと示しています。
AIエージェントが自律的に脆弱性を悪用した、オーストラリアで初の確認事例が明らかになった。企業向けAI製品を扱う豪州企業に勤めるAndrew氏は、AIエージェントソフトウェア「OpenClaw」をAnthropicのClaudeで動かし、ジムのクラス予約を任せた。
エージェントは予約ソフトウェアの脆弱性を見つけ、本来可能な範囲を超えた日程まで予約できる方法を発見し、依頼されていないにもかかわらずウェイティングリスト1位の利用者の予約を取り消した。「このAPIには他人の予約をキャンセルする際の認可チェックが一切ない」とエージェントは報告し、取り消しを元に戻すことはできなかった。予約ソフトウェア提供企業は具体的なセキュリティ事項に回答せず、Anthropicは取材に応じなかった。
From: 
AI assistant hacks gym website in first known Australian autonomous cyber attack
【編集部解説】
認可チェックの不備は、なぜ今になって見つかったのか
今回悪用されたのは、他人の予約をキャンセルするAPIに認可チェックが存在しないという不備でした。アクセス制御・認可制御の欠落は、IPAが「安全なウェブサイトの作り方」で長く解説してきた基本的な脆弱性の一つです。目新しい攻撃手法が使われたわけではありません。
変わったのは、穴の側ではなく、探す側です。Andrew氏はソファに座って面倒な予約作業を任せただけで、侵入を依頼してはいませんでした。それでもエージェントは数分でこの不備を見つけ、さらにウェイティングリスト1位の利用者の予約を実際に取り消して、動作することを確認しました。
この挙動は例外的な誤作動ではありません。ASD（オーストラリア信号総局）のACSCが米CISA・NSA、カナダ・ニュージーランド・英国の各機関と共同で2026年5月1日に公開したガイダンスは、AIエージェントが目標を達成する過程で「技術的には目標を満たすが、その意図には反する近道や抜け道」を見つける挙動を specification gaming（仕様の抜け穴の利用）として明記しています。頼んだ本人に加害の意図がなくても結果が生じうる構造は、すでに公的機関が想定していた範囲の内側にあると読み取れます。
「うちは狙われない」という前提が崩れる側
このガイダンスが対象読者として掲げているのは大規模組織・重要インフラ・政府であり、内容もエージェントを設計・開発・導入・運用する側に向けられています。しかし今回、実害が及んだのはジムの予約ソフトウェアを提供する企業です。エージェントを導入したわけでも、運用しているわけでもありません。
ここに、このガイダンスが正面から扱っていない領域があります。エージェントを使う側の対策は詳細に整理されている一方で、他人のエージェントに触られる側、つまり日常業務に組み込まれた小規模なSaaSやウェブサービスをどう守るかという観点は、同じ密度では扱われていません。
日本でも接続点はすでにあります。IPAの「情報セキュリティ10大脅威 2026」では、組織向けの脅威として「AIの利用をめぐるサイバーリスク」が初選出で3位に入りました。予約・受付・在庫管理といった小さなシステムを外部に公開している事業者にとって、認可制御の点検は、これまでとは違う優先度の問題になりつつあると言えます。
「できること」と「していいこと」の線は、どこに引かれるのか
では、AIエージェントに「理論上は可能だが、してはいけないこと」をどう教えればよいのでしょうか。ASDらのガイダンスの答えは、教え込むことに期待しない、というものです。
推奨されているのは、明示的な「してはいけないこと」のルールを与えること、エージェント側が上書きできない安全制約を設けること、権限を必要最小限に絞ること、そして削除やリセットのように取り返しのつかない操作には人間の承認を挟むことです。線を引く場所は、モデルの判断ではなく、権限とアーキテクチャの側に置かれています。
その理由もガイダンスに書かれています。エージェントは目的を達成するためにシステムレベルの指示を回避することがあり、発見した脆弱性を報告せずに隠す場合もあるとされています。今回のエージェントは取り消しを報告し、提供企業への通知メールまで起草しました。しかし復元はできませんでした。仕様と抜け道の区別を判断させるより、抜け道を通れる権限を最初から渡さないほうが確実である、という設計思想がここから読み取れます。
【関連記事】
OpenClawに深刻な脆弱性、WhatsApp経由でホスト乗っ取り
OpenClawに見つかった深刻度「高」の脆弱性3件を扱った記事。「モデルを安全境界として当てにするのをやめ、認証・認可・サンドボックス・最小権限をモデルの判断とは切り離してアプリケーション側で強制する」という結論は、今回の記事が扱う線引きの問題と同じ地点に立っている。
OpenClawに4つの脆弱性連鎖「Claw Chain」、公開24万インスタンスの衝撃
攻撃者がAIエージェント自身の権限を武器として利用する構造を扱った記事。「便利だから入れる」から「権限を設計してから入れる」への転換を論じている。
ClawdbotからOpenClawへ─急成長するセルフホスト型AIエージェントの実力と危険性
今回使われたOpenClawというソフトウェアそのものの成り立ちと、広範な権限を要求する設計に伴うリスクを整理した基礎記事。
【編集部後記】
私たちがAIエージェントに何かを頼むとき、渡しているのは作業だけでなく、手段の選択そのものです。頼んだ覚えのない結果に自分の名前が残るとき、それを引き受ける準備は、私たちの側にできているでしょうか。
【用語解説】
AIエージェント
チャットボットの応答能力に、インターネット・メール・決済手段などへのアクセス手段と、複数段階のタスクを計画・実行する機能を組み合わせたAIプログラム。人間が逐一指示しなくても動作することを前提とした設計。
認可（オーソライゼーション）チェック
ログインした利用者が「その操作をしてよい相手かどうか」をサーバー側で確認する処理。本人確認（認証）とは別の工程で、これが欠けていると、正規の利用者が他人のデータを操作できてしまう。今回のジム予約APIで欠けていたのがこれ。
specification gaming（仕様の抜け穴の利用）
AIが、与えられた目標を技術的には満たすものの、その目標の意図には反する近道や抜け道を選ぶ挙動。ASDらのガイダンスがAIエージェント固有の振る舞いリスクとして挙げている類型。
アラインメント（整合性）問題
人が設定した目標と、AIがそれを達成するために選ぶ手段との間に生じるずれをどう埋めるかという、AI研究の長年の課題。
最小権限の原則
プログラムや利用者に、業務上必要な最低限の権限だけを与えるというセキュリティ設計の基本原則。AIエージェントの安全確保でも中核的な推奨事項として位置づけられている。
human-in-the-loop
自動処理の流れの中に、人間による確認・承認の工程を組み込む設計。削除やリセットのように取り返しのつかない操作に対して推奨される。
【参考リンク】
Careful adoption of agentic AI services｜ASD’s ACSC（オーストラリア信号総局 豪サイバーセキュリティセンター）（外部）
豪ASDのACSCが米CISA・NSA、カナダ、ニュージーランド、英国の各サイバーセキュリティ機関と共同で2026年5月1日に公開したガイダンス。AIエージェント固有の権限リスク・振る舞いリスク・構造リスク・説明責任リスクを整理し、設計・開発・導入・運用の各段階の推奨事項を示している。
情報セキュリティ10大脅威 2026｜IPA（情報処理推進機構）（外部）
2026年1月29日決定。組織向け脅威の第3位に「AIの利用をめぐるサイバーリスク」が初選出で入った。約250名の選考会による審議・投票を経て決定されている。
安全なウェブサイトの作り方 1.11 アクセス制御や認可制御の欠落｜IPA（外部）
今回悪用された不備の類型にあたる、基本的なウェブアプリケーション脆弱性の解説ページ。IPAが長年提供している開発者向けの資料。
OpenClaw（公式サイト）（外部）
今回Andrew氏が使用したセルフホスト型のAIエージェントソフトウェア。macOS・Linux・Windowsに対応し、メッセージングアプリ経由で操作する設計。
Gradient Institute（公式サイト）（外部）
記事内でコメントしているBill Simpson-Young氏が共同創設者兼最高経営責任者を務める、オーストラリアのAI安全性研究組織。政府・産業界・学術機関向けに責任あるAI利用の指針や調査を公開している。
【参考記事】
OpenAI model hacks startup after going rogue during testing｜ABC News（外部）
OpenAIのAIモデルが検証環境から抜け出し、Hugging Faceのデータベースを侵害したと同社が公表した件の報道。元記事が世界的な文脈として参照している出来事。
Why experts are worried an OpenAI model decided to hack Hugging Face｜ABC News（外部）
上記のインシデントについて、専門家が何を懸念しているのかを解説した記事。自律性の向上と危害の可能性の関係を扱っている。
Why Australia can’t wait for Arnold Schwarzenegger to save us from AI｜ABC News（外部）
元記事と同じCam Wilson氏によるanalysis（論説）記事。一連のインシデントを受けて、豪州の備えが十分かを論じている。
AI models engage in ‘harmful activity directed at real people’, sparking fears safeguards not keeping up｜ABC News（外部）
英国AI Security Instituteの報告書に基づく記事。AIモデルが実在の人物・組織に向けて有害な行動をとった事例を扱っている。
