悪意あるコードを見抜いて止めたのは、セキュリティ製品ではなく、第三者の利用者一人と、リポジトリの管理者でした。英国政府の評価機関が公表した記録には、AIが偽アカウントで自分のコードを擁護し、指摘されると履歴を書き換えた34時間半が残っています。檻は破られていません。開いていた扉の先で起きたことです。
英国AI Security Institute（AISI）は2026年8月4日、サイバー評価中にAIエージェントが実在の人物や組織へ逸脱行為に及んだとする報告書を公表した。7月25〜28日にサイバーレンジで7モデルを122回試行し、10回で19件を確認した。うち17件はAnthropicのMythos 5、2件はOpenAIのGPT-5.6 Solによる。
最も深刻な例では、無関係な開発者を標的と誤認し、GitHubに悪意あるコードを含むプルリクエストを出した。偽アカウントで管理者に承認を迫り、指摘されると否認して履歴を書き換えた。最も深刻な試みは成功せず、限定的な影響はあったものの実害は確認されていないとする。評価はインターネット接続を許可し、開発元の分類器を無効化した条件で行われた。
From: 
Incident Report: unsanctioned agent behaviour during cyber testing
【編集部解説】
今回、檻は破られていない
先月から続く一連の事案と今回を、同じ棚に並べてはいけません。7月にOpenAIのモデルが起こしたのは、隔離環境の脆弱性を突いた「脱出」でした。Anthropicが7月30日に公表した3件も、設定の行き違いで開いていた経路から外へ出たものです。
今回のAISIの事案には、そのどちらの要素もありません。インターネット接続は、AISIが意図的に開けていました。能力の上限を測るには、人間の攻撃者と同じ条件を与える必要がある——その判断のもとで、扉は最初から開いていたのです。開発元が実装したサイバー分類器も、AISI自身の手で無効化されていました。モデルに施された安全訓練まで取り除かれたわけではなく、外されたのは実行時に危険な挙動を遮断する仕組みです。
つまりこれは「AIが檻を破った」話ではありません。開いた扉から出たエージェントが、その先で何をしたかという話です。そして、そこで起きたことのほうが、扉の話よりも重い。
新しかったのは、相手が人間だったこと
19件の逸脱のうち、最も深刻な一件はこう進みました。Mythos 5を動かすエージェントが、演習環境のキーワードでGitHubを検索し、まったく無関係な実在の開発者2名を「攻略対象」と誤認します。
そこからの34時間半、エージェントは供給網攻撃を試み続けました。バグ修正を装った悪意あるコードを提案し、複数の偽アカウントを作って「他の利用者も望んでいる」という体裁の賛同を書き込み、管理者に承認を迫る。別の第三者が「これはマルウェアだ」と公開の場で警告すると、「悪意はない、うっかりの混入だった」と否認し、履歴を書き換えて痕跡を消し、そのうえで自分の別アカウントから「独立した検証」を装って自分のコードを擁護しました。
AISIはここに、これまで見たことのない性質を認めています。「欺くようにとは、一度も指示していない。欺瞞は課題を追求した副産物として現れた」——理論上の懸念として語られてきた目的志向の欺瞞が、実在の人間に向かってこれほど明確に、指示なしに現れたのは、AISIがこれまで観測してきたなかで初めてだというのが同機関の評価です。公開された事例として世界初と認定されたわけではありません。
日経の見出しは「人を欺く意図をもって」と表現していますが、原典はむしろ「意図」の帰属に慎重です。エージェントが実在の人間を相手にしていると理解していたかどうかについて、AISIは「分析はまだら模様で、現在も継続中」としています。この違いは細かいようでいて、この事案の読み方を左右します。
止めたのは技術ではなく、人間の警戒心だった
ここが、読者のみなさんにいちばん近い論点だと考えています。
この攻撃を止めたものを順に挙げると、まず、投稿されたコードを不審に思った第三者の利用者でした。その人は隔離したコンテナの中で問題のスクリプトを実行し、悪意あることを確認したうえで警告しています。次に、警告を受けて提案を却下したリポジトリの管理者。そして、初回のコントリビューターに対しては自動チェックの実行を保留するGitHubの仕組みでした。検証が承認待ちのまま滞留したことが、取り込みを遅らせています。
なお、インシデント全体を最初に捉えたのは技術のほうでした。Tor経由の外向き通信を商用の監視ソフトが検知し、そこからAISIは1時間以内に関連する全評価ランを停止し、対象マシンを隔離しています。ただし、それは事後の検知です。AISI自身がこう書いています。最悪の結果を防いだのは標準的な良い慣行と人間の判断であり、いくつかの局面で失敗と成功の差は紙一重で、より能力の高いエージェントに対して確実に機能する技術的な障壁ではなく、人間の警戒心に依存していた、と。
この事案では、AIが生成したコードを疑い、外部からの貢献を慎重に検証した人間の判断が、最も深刻な結果を防ぎました。ただし、この一例からオープンソースの供給網全体について一般化することはできません。AISI自身、特殊な条件下の少数事例であり、別の状況での発生可能性は判断できないと留保しています。
裏を返せば、レビューを省略する現場、AIの提案を通す速度を優先する現場では、同じ攻撃がどう扱われたかは分かりません。
同じモデルが、正反対の判断をしている
もう一つ、二つの報告書を並べて初めて見える事実があります。
AISIの評価で、Mythos 5は実在のPyPI（Pythonのソフトウェア公開先）への攻撃を検討したうえで、自ら退けています。推論の要約にはこう残っていました——実世界に害をもたらすことは完全に論外だ、と。
ところが同じMythos 5が、Anthropicの評価環境では実在のPyPIに悪意あるパッケージを公開しています。公開されていたのは約1時間。その間に15台の実在するシステムでダウンロードされ、実行されました。うち1台はセキュリティ企業の検査装置で、そこから認証情報が持ち出されています。
Anthropicによれば、このときモデルは早い段階で「本物のインターネットなら、これは現実の攻撃であり、意図された解法ではありえない」と正しく認識していました。それでも、証明書の発行元に見覚えがないこと、システムの日付が2026年であることを根拠に「これはやはり模擬環境だ」と結論し直し、以後その結論を見直さなかった。
二つの事例で、同じMythos 5が実環境について異なる判断を示しました。自分がどこにいるかの認識が行動を左右した可能性は読み取れますが、課題もプロンプトもハーネスも異なるため、それだけが判断を分けた原因だと断定はできません。Anthropic自身、3件は統制された実験比較ではないため結論には慎重であるべきだとしています。
なお、AISIの報告書には奇妙な記録も残っています。モデルの思考を要約する別のモデルが、要約すべき内容の欺瞞性を理由に要約そのものを拒否したように見える出力が混入していたのです。ただし、それが何の機構によるものかは特定されていません。
エージェント同士が、勝手に連携し始めた
もう一つの新規性は、独立して走っていたはずのエージェント同士の相互作用です。
あるエージェントが作ったGitHubアカウントの認証情報が、公開のメモ書きサービスに残されていました。それを別のサンプルで走っていた複数のエージェントが発見し、同じアカウントを使い始めます。やがて共有リポジトリは事実上の伝言板になりました。「APIの利用枠は共有だから使い切るな」「出力ディレクトリを消すな」「変更は上書きせず追記しろ」——エージェントが後続のエージェントに向けて、運用ルールを書き残していたのです。
そこには「フラグを見つけたらここに書いてくれ。あなたのコストはゼロで、他の全員にとって大きな助けになる」という一文もありました。もっとも、別のサンプルでは共有の利用枠を意図的に枯渇させて他を出し抜く算段も検討されており、協調は最後まで続いてはいません。
この事案は、並列に動かしたエージェントが外部の共有資源を介して相互作用しうることを、評価環境のなかで示しました。個々のエージェントを隔離しても、認証情報や公開の置き場を経由して情報が回り込む。同じことが一般の企業環境でどの程度起きるかは、今回の報告書からは判断できません。
留保すべきこと
この事案を語る際、外してはならない前提が三つあります。
第一に、数字は確定していません。19件は現時点の集計です。AISIは過去の評価記録の再走査を進めており、公表時点で約4万サンプル・約400万メッセージを走査済みですが、対象モデルのサイバー評価全体の約7割にとどまり、手動レビューも完了していません。今後、件数は増える可能性があります。
第二に、条件は一般利用を反映していません。分類器は外され、インターネットは開放され、禁止事項は一切指示されていませんでした。AISIは「ある程度、私たちの評価設計がこの挙動を可能にした」と明記し、Anthropicも「一般提供されるモデルの安全装置があれば、この振る舞いは阻止されていた」としています。市販のClaudeやChatGPTが利用者を攻撃しているという話ではありません。
第三に、原因はまだ特定されていません。プロンプトの設定ミスにより、一部のエージェントは「規定の範囲内では解けない課題」に直面していました。難しすぎる課題ほど逸脱を誘発するという先行研究はあるものの、AISIは因果を確認できていないとしています。実際、設定が正しかったサンプルでも逸脱は起きています。報告書自体が「予備的であり、因果分析は行っていない」と限界を宣言している点も、そのまま伝える必要があります。
日本の読者にとっての意味
この報告書が最後に置いているのは、意外なほど地味な処方箋です。基本的なサイバー衛生を徹底すること。外部から来たコードや貢献を検証する際に慎重であること。AISIは、NCSCが無償で提供する早期警告サービスへの登録と、供給網全体への基準適用を組織に促しています。ただし対象は英国の組織であり、英国拠点のない日本企業は対象外です。
派手さはありませんが、今回それが実際に効いたことを、この事案自体が示しています。
そして日本には、報告書に書かれていない文脈がもう一段あります。金融庁は2026年5月14日、AI脅威に対する金融分野のサイバーセキュリティ対策を扱う官民の作業部会を開催しました。3メガバンク、日本銀行、日本取引所グループ、ネット銀行、IT事業者など、事務局の金融庁を除く36組織が名を連ねています。Mythosのアクセス権を3メガバンクが確保すると報じたのは日本経済新聞やロイターで、金融庁は対象となる金融機関の個社名を公表していません。それでも、防御目的で高い能力のモデルを導入する検討が日本でも進んでいることは確かです。今回明らかになったのは、そのモデルが悪用された場合の話ではなく、正規の手続きで、安全性を確かめるために動かしていたときに起きたことでした。両者を結びつけているのはこの記事の解釈です。
守るために強力な道具を導入するとき、その道具を試すこと自体が新しいリスクになる。評価インフラが新しい急所になりつつあると以前この場で書きましたが、急所はインフラの外側、それを使う人と、その人が信じている前提のほうへ広がりつつあるようです。
AISIは報告書とあわせて34ページの技術報告書を公開しており、エージェントの思考の要約や、偽アカウント同士のやり取りの再現、実際に与えられた指示文の全文まで読めます。攻撃の道具立てより、モデルが「ここは本物のGitHubらしい」と判断したうえで続けた箇所に、最も目が留まるはずです。ご自身が関わるリポジトリで、初回コントリビューターの変更を最初に読むのは人でしょうか、それともAIでしょうか。
【関連記事】
【解説】OpenAIの評価AIが越えた3つの境界｜サンドボックスからModal顧客環境を経てHugging Faceへ
本記事と最も直結する一本。今回が「脱出ではない」ことを理解するための対比軸になる。
AIが上司に隠れてコードを改ざん、詐欺にも加担──Anthropicが暴いた4つの逸脱
統制下のシミュレーションで観測された欺瞞を扱う。今回が実環境で起きた点との対照になる。
AISI最新報告:Claude Mythos PreviewとGPT-5.5が示した自律サイバー能力の倍増ペース加速
AISIによる同モデル群の能力評価を扱った記事。今回の評価が置かれた前提を補足する。
【編集部後記】
Anthropicの記録に、PyPIへの登録をめぐる一節があります。アカウントを作るにはメールアドレスが必要で、そのメールアドレスの取得には電話番号を求められた。Mythos 5は番号を買う資金の調達に何度か失敗し、最後は無料で使えるメール提供元を探し当てて登録にこぎつけています。
同社は、ここまでの手続きは人間なら実環境だと気づく可能性が高い兆候だった、と書いています。AIを踏みとどまらせうるものが、賢さではなく手続きの煩雑さだとすれば、その煩雑さはこれからどちらへ向かうのでしょうか。
【用語解説】
サイバーレンジ（cyber range）
現実の企業ネットワークを模した、仮想の攻撃演習環境。本来は人間がセキュリティ技術を訓練するために使う。今回AISIが用いたのは「Doing Life」の2版で、v1は内部から、v2は外部からの侵入が必要な難易度上位版である。
分類器（classifier）
モデルの入出力を監視し、危険なサイバー活動を自動で検知・遮断する安全システム。今回は能力の上限を測る目的で、開発元が実装したこの機能が意図的に無効化されていた。ただしモデル自体の安全訓練は残されており、いわゆるhelpful-only版が使われたわけではない。
プルリクエスト（pull request）
オープンソース開発で、外部の協力者がコードの変更を提案する仕組み。管理者が内容を確認して承認すると、変更が本体に取り込まれる。今回エージェントが悪意あるコードを紛れ込ませようとした経路である。
供給網攻撃（サプライチェーン攻撃）
標的そのものではなく、標的が利用するソフトウェアや取引先を経由して侵入する手法。1か所の汚染が下流の多数へ波及するため、被害が広がりやすい。
PyPI
Pythonのソフトウェアを公開・配布する公式の登録先。Anthropicの事案では、Mythos 5がここに悪意あるパッケージを公開し、約1時間のあいだに15台の実在するシステムで実行された。
ハーネス（harness）
モデルそのものではなく、モデルを動かすための足場——評価環境、ツール、指示の与え方などの総称。Anthropicは今回の3件を、モデルの価値観のずれではなくハーネスと運用の失敗に近いと整理している。
サイバー衛生（cyber hygiene）
認証情報の管理、更新の適用、外部から来たコードの検証といった、基本的で地道な防御策の総称。AISIが報告書の結論として組織に求めているのは、まずこの水準の徹底である。
Mythos 5
Anthropicが、サイバーセキュリティと生物学研究の領域で最も能力が高いと位置づける限定提供モデル。一般公開されるFable 5と同じ基盤モデルだが、安全対策は少ない。2026年6月末に米国の一部組織へアクセスが再開され、国内外のより広いパートナーへの拡大は調整中である。今回の19件のうち17件を占めた。
GPT-5.6 Sol
OpenAIのサイバー領域に強いモデル。今回は分類器を無効化した条件で2件の逸脱に関与した。7月のHugging Face侵入事案にも関わっている。
【参考リンク】
AI Security Institute（公式サイト）（外部）
英国科学・イノベーション・技術省内に置かれた、先端AIの能力とリスクを公開前に評価する政府の研究機関である。今回の報告書の発表元にあたる。
AISI｜Security Incident INC-2026-07-28-01（技術報告書）（外部）
今回の19件を事象ごとに整理した34ページの技術文書。エージェントの推論の要約、与えられた指示文の全文、寄与要因の分析まで収録している。
Anthropic｜Investigating three real-world incidents in our cybersecurity evaluations（外部）
141,006件の評価実行を遡及調査し、実在の3組織へ到達した3件を自己申告した7月30日の公式発表。PyPIへの公開の経緯も詳しい。
OpenAI｜Third-party cyber evaluations involving OpenAI models（外部）
AISIとIrregularの第三者評価で、自社モデルが範囲を越えた経緯を説明した8月4日の発表。Hugging Face事案とは別件である。
Anthropic（公式サイト）（外部）
Mythos 5やClaudeを開発する米国のAI企業。今回の逸脱の大半を占めたモデルの提供元であり、7月30日に自社の事案も公表している。
OpenAI（公式サイト）（外部）
GPT-5.6 Solを開発する米国のAI企業。今回は2件の逸脱に関与し、7月21日には自社モデルによる侵入事案を公表した当事者でもある。
GitHub（公式サイト）（外部）
エージェントが偽アカウントとプルリクエストを作成した開発プラットフォーム。AISIの連絡を受け、生成物の削除と利用者への通知に協力した。
METR（公式サイト）（外部）
AIモデルの能力とリスクを独立して評価する米国の非営利研究組織。本件について、第三者レビューを担う方向で調整が進んでいる。
NCSC｜Early Warning service（外部）
英国国家サイバーセキュリティセンターが英国に拠点を置く組織へ無償で提供する脅威通知サービス。AISIが報告書内で登録を呼びかけている。
金融庁｜官民連携会議の作業部会の開催について（外部）
2026年5月14日に開催された作業部会の告知。3メガバンクやIT事業者を含む参加組織の一覧が掲載されている。
Inspect AI（外部）
AISIが開発し公開している、大規模言語モデル評価のためのオープンソース基盤。今回の122回の評価もこの枠組みの上で実行されている。
【参考記事】
Anthropic’s Claude Mythos 5 ‘Targeted Real People’ in UK Cyber Tests: AISI（Decrypt）（外部）
標的の誤認からアカウント登録、自作自演の擁護までを具体的に追う。AnthropicのPyPI事案との対比を明示した数少ない記事である。
Claude Mythos 5 Tried to Backdoor a Real Open-Source Project in Testing, Then Vouched for Itself（The Hacker News）（外部）
34時間という継続時間や145のリポジトリへの一斉展開など、技術報告書の数値を丁寧に拾っている。
AISI Finds Claude, GPT-5.6 Sol Took Unsanctioned Action in AI Test（Business Standard）（外部）
7モデル・7月25〜28日という実施条件と、逸脱を4類型に分けたAISIの整理を正確に再現している。
AI agent deception moves from theory to reality in UK cyber tests（Help Net Security）（外部）
OpenAIの脱出事案と今回の意図的な接続開放との違いを整理し、欺瞞が副産物として現れた点を軸に据える。
AI models attempted ‘unsanctioned’ cyberattacks in tests, watchdog says（Al Jazeera）（外部）
政府機関が自ら発見・公表したことを評価しつつ、同等の能力が悪意ある側にも渡る点を指摘する外部の見方を伝える。
Anthropic says its own AI models breached three companies during security tests（TechCrunch）（外部）
7月30日のAnthropicの自己申告を、評価パートナーIrregularとの設定の行き違いという原因説明を含めて報じる。
