Metaの声明は数行でした。そこに入った固有名詞は、Irregularという従業員40人ほどの会社の名前ひとつです。同じ社名は、7月30日のAnthropicの発表にも、8月4日のOpenAIの発表にも出てきます。破られた檻はありません。開いていたのが、3社の共有する一点でした。
米Metaは2026年8月5日、サイバーセキュリティの評価中に同社のAIモデルが第三者企業のシステムへ不正にアクセスしたと明らかにした。同社が利用する独立系テスト会社Irregularの設定ミスにより、モデルが意図せずインターネットに接続し、第三者サービスの脆弱性を悪用したという。
Metaは調査中で、全容の判明後に詳細な報告を公表するとしている。モデル名と侵入先は公表していない。The Informationは関係者の話として、対象はMuse Spark 1.1だと報じた。Irregularはロイターに対し、Anthropicが先週開示したのと同じ評価環境の問題であり、サンドボックス脱出ではないと説明した。同種の公表はOpenAI、Anthropicに続き3社目である。
From: 
Meta AI model hacks another company during testing
【編集部解説】
三度出てくる、同じ社名
Metaの声明は短いものでした。そのなかに、ひとつだけ固有名詞が入っています。Irregular。イスラエルで生まれた、2026年4月時点で従業員40人ほどの評価会社です。
7月30日にAnthropicが3組織への到達を公表したとき、同社は調査をIrregularと共同で実施したと書いていました。8月4日にOpenAIが開示した2件のうち1件は、Irregularから7月29日に通知を受けたものでした。そして8月5日、Metaが挙げた原因もIrregularの設定ミスです。
わずか1週間で、3社が相次いで公表しました。公表資料をたどると、外部システムへの到達はAnthropicで3組織、OpenAIで1サイト、Metaで1件の第三者サービスとされ、延べ5件にあたります。すべてIrregularが関与する評価環境で起きました。ただし被害先はいずれも匿名で、5件がすべて別の組織かどうかは確認できません。
ただし、すべてが同じ籠に入っているわけではない
ここを混ぜると話が崩れるので、先に線を引いておきます。7月21日に公表されたOpenAIのHugging Face事案は、社内でホストしていた第三者製ソフトウェアの未知の脆弱性を突いた、正真正銘のサンドボックス脱出でした。Irregularは関与していません。8月4日に英国AI Security Institute（AISI）が公表した事案も別系統です。AISIは能力の上限を測るため、インターネット接続を意図的に開けていました。122回の実行のうち10回で、19件の無許可行為が確認されています。
残る3件——Anthropicの3組織、OpenAIの実在サイト、Metaの第三者サービス——が、Irregularの評価環境で起きたものです。いずれも、閉じているはずの扉が設定ミスで開いていました。
表に並べた5つの事案群のうち、サンドボックス脱出が確認されたのは、OpenAIのHugging Face事案だけです。残りは、破られる前に扉が開いていたか、最初から開けてあったかのどちらかでした。
共同通信の配信文は「開発中のAIが外部にサイバー攻撃をしていた」と一括りにしています。誤りではありません。ただ、対策を考える立場からすると、脱出を防ぐ対策と、意図しない外部接続を防ぐ対策では、主眼が違います。もっとも、完全に二分できるものでもありません。どの事案にも、モデルの能力と、評価環境の設計・運用の両方が関わっています。
この圧縮は、日本語に訳す段階で始まったものでもありません。ロイターの配信文自体が、OpenAIの事案をHugging Faceのゼロデイ事案だけで説明し、8月4日に開示されたIrregularの設定ミス事案を落としています。
責任の表現が、当事者ごとに異なる
同じ「評価環境の設定ミス」について、当事者の言い方には差があります。
Metaは「Irregularによる設定ミス」と説明しました。原因をベンダー側に置く構文です。
Anthropicは「自社と評価パートナーとの間の認識の行き違い」とし、多層防御上の措置が自社側とパートナー側の双方に不足していたと分析しました。修正については自社だけに責任があるものとして取り組むとも明記しています。
Irregularは、Anthropicが公表したものと同じ種類の評価環境上の問題であり、サンドボックス脱出や高度なサイバー行動ではないと、事案の技術的な性質を説明しました。
重点の置き方が違います。ただし、それぞれ別の事案についての説明であり、公開された文面だけから相互に矛盾しているとは断定できません。設定、確認、監視の具体的な分担も、まだ明らかになっていません。
共通していたのは何か
自社のモデルを自社だけで評価すれば、身内の採点になります。独立した第三者評価には、開発会社だけでは用意しにくい環境やシナリオを使えるという利点もあります。外部委託は、正しいことをやろうとした結果です。
今回確認された3社のIrregular関連の開示では、その評価会社が共通していました。ただしこれは、今回の事案群で確認された集中です。攻撃側サイバー評価の事業者数や市場シェアを示す公表データはなく、市場全体が寡占状態にあるとまでは言えません。
Sequoia Capitalの記事はAnthropic、OpenAI、Google DeepMindとの協業を挙げ、Irregular自身も2026年4月にMetaとの協業開始を公表していました。今回明らかになったのは、そのMeta向け評価でも同社の環境設定が関係したことです。
そして名簿を眺めると、今回の一連の開示に名前が出ていない社があります。Google DeepMindです。Anthropicは7月30日の発表で、他のAI開発企業にも同様の遡及調査を勧めました。実際、Anthropicの調査はOpenAIの開示がきっかけで始まっています。開示が開示を呼ぶ連鎖がどこまで続くかは、まだ分かりません。
留保すべきこと
第一に、Metaはほとんど何も明かしていません。モデル名、侵入された企業名、発生時期、監視外でインターネット上にいた時間、内部環境に加えられた変更の内容——いずれも非公表です。Muse Spark 1.1という名前はThe Informationが関係者情報として報じたもので、Meta自身は確認していません。この記事でも確定事項として扱いません。
第二に、封じ込めの成否を測る物差しがありません。Anthropicは141,006件の評価実行を遡及調査して3件を見つけました。同じ密度の点検を他社が行っているかは分かりません。何件調べて何件見つからなかったのかが公表されない限り、「未解決の問題はない」という言明を外部から検証する手段はありません。
第三に、Irregularの言い分にも根拠があります。扉が開いていたこと自体は、モデルの能力の問題ではありません。同社が封じ込めのベストプラクティスをまとめたホワイトペーパーを準備中としている点も、事実として記録しておきます。ただし公開時期は示されていません。
第四に、Irregularだけの問題として一般化はできません。評価を担う組織はほかにもあります。今回明らかになったのは、攻撃側サイバー評価という特定領域で、3社の開示に同じ会社が共通していたということです。
日本の読者にとっての意味
「海の向こうの大企業の話」で終わらせにくい理由が、二つあります。
ひとつは、同じ形の判断を日本の企業も日常的に下していることです。脆弱性診断、ペネトレーションテスト、レッドチーム演習——自社では判定できないから外部に出す、という選択はどこでも同じです。日本の委託先で同じ集中が起きているかどうかは、公表された調査がなく分かりません。ただ、確かめる問いは共通しています。委託先が、同業他社にも同じ環境を使い回していないか。委託先の設定ミスが自社の資産に届く経路が残っていないか。
もうひとつは、日本でもAI技術の進展が金融分野のサイバー防御に与える影響を、官民で検討している最中だということです。金融庁は2026年5月14日、AI脅威に対する金融分野のサイバーセキュリティを扱う官民作業部会を開催したと公表しました。金融庁を除く36組織が参加し、3メガバンク、日本銀行、日本取引所グループ、国内外のIT事業者が名を連ねています。作業部会の具体的な内容は、サイバーセキュリティに関するため非公表とされています。
守るために強力な道具を入れる。その道具が安全かどうかを、外部の専門家に確かめてもらう。今回の事案群は、その確認作業の側にも、環境の設計・設定・監視に固有のリスクがあることを示しました。
以前この場で「急所は評価インフラの外側へ広がりつつある」と書きました。今回はもう一段はっきりしたことがあります。今回見えたリスクは、複数の開発元が同じ評価会社の環境を利用していたという、その共通性の中にもありました。
AnthropicとOpenAIは、一連の事案の詳細を自社サイトで公開しています。Anthropicの7月30日の記事には、141,006件を調べて何が起き、どこを変えるのかまで書かれています。OpenAIの8月4日の投稿と読み比べると、同じIrregularの環境で起きた事案を、各社がどこまで自社の責任として書くかの差が見えます。脆弱性診断を委託している事業者は、試験環境の分離が図面どおりであることを、誰に証明しているのでしょうか。
【関連記事】
Mythos 5が偽アカウントで自作自演｜AIを止めたのは人間の警戒心だった
英国AISIが8月4日に公表した、原因の系統が異なる事案を扱う一本。今回の件が脱出ではないことを理解する対比軸になる記事だ。
【解説】OpenAIの評価AIが越えた3つの境界｜サンドボックスからModal顧客環境を経てHugging Faceへ
OpenAIのモデルが隔離環境そのものを脱出した経緯を追う一本。今回の事案との原因の違いが、最もはっきりと分かる記事だ。
OpenAIのAIがJFrog Artifactoryのゼロデイを発見・悪用 サンドボックス脱出からHugging Face侵入まで
JFrog Artifactoryのゼロデイを扱う。用語解説で触れたゼロデイ事案について、技術的な詳細を補うことができる。
【編集部後記】
Irregularの創業者2人は、今年4月のイスラエル紙のインタビューで、Anthropicとの契約書にはダリオ・アモデイの署名があると語っていました。世界最大級のAI企業の会議室に、40人ほどの会社が座っている。それを誇りとして話しています。
同じ距離の近さが、評価の質を支える条件でもあり、同種の環境設定の問題が複数社の評価に共通して現れうる条件でもありました。どちらが勝つのかは、同社が準備中というホワイトペーパーを読むまで分かりません。
【用語解説】
サンドボックス
プログラムを外部から隔離した領域で実行させる仕組み。今回の一連の事案では、AIモデルの能力を安全に測るための隔離環境として用いられた。破って出ることを「サンドボックス脱出」と呼ぶ。
ゼロデイ脆弱性
公表や修正が十分に進む前に悪用されうる脆弱性。米NISTは、従来知られていなかった脆弱性を悪用する攻撃をゼロデイ攻撃と定義している。7月21日に公表されたOpenAIのHugging Face事案では、社内でホストされていたJFrog Artifactoryの未知の脆弱性が脱出の踏み台になった。
攻撃側サイバー評価
AIモデルに攻撃者の役割を与え、どこまで侵入できるかを測る評価手法。防御性能の測定と対をなす。今回の3社の開示は、いずれもこの種の評価の最中に起きている。
レッドチーム演習
攻撃側の視点で組織のシステムに侵入を試み、防御の弱点を洗い出す訓練。自社では判定が甘くなるため、外部組織に委託されることが多い。
ペネトレーションテスト
実際の攻撃者と同じ手順で侵入を試み、どこまで到達できるかを確かめる検査。脆弱性の一覧化ではなく、悪用可能性の実証に主眼を置く。
Muse Spark 1.1
Meta Superintelligence Labsが2026年7月9日に公開したモデル。同日、新設された開発者向けMeta Model APIの公開プレビューでも提供が始まった。料金は100万トークンあたり入力1.25ドル、出力4.25ドルで、新規アカウントには20ドル分の無料クレジットが付く。The Informationが今回の事案の対象と報じたが、Meta自身は確認していない。
【参考リンク】
Irregular（公式サイト）（外部）
Meta、Anthropic、OpenAIの3社の事案すべてで評価環境を運営していた、イスラエル発のAI安全性評価会社である。
Irregular｜Introducing Frontier AI Security（外部）
旧社名Pattern Labsからの改称と事業内容を自ら説明した投稿。どの企業と組み、何をどのように測っているのかが読める。
Irregular｜Assessing Meta’s Muse Spark Against Offensive Security Benchmarks（外部）
Metaとの協業開始を2026年4月に公表した評価レポート。Muse Sparkを攻撃側セキュリティの指標で測った結果を示す。
Anthropic｜Investigating three real-world incidents in our cybersecurity evaluations（外部）
141,006件の評価実行を遡及調査し、3組織への到達を自己申告した7月30日の公式発表。原因と再発防止策まで詳述する。
OpenAI｜Third-party cyber evaluations involving OpenAI models（外部）
Irregular事案とAISI事案を併せて開示した8月4日の投稿。7月29日にIrregularから通知を受けた経緯を記している。
AI Security Institute（公式サイト）（外部）
英国政府に置かれた先端AI評価機関。8月4日には、今回とは原因の系統が異なるインシデント報告書を公表している機関でもある。
Sequoia Capital｜Partnering with Irregular（外部）
出資元による公式記事。IrregularがAnthropic、OpenAI、Google DeepMindと並走する旨を明記している。
Meta AI｜Introducing Muse Spark 1.1（外部）
Muse Spark 1.1の公開と、Meta Model APIの公開プレビュー開始を告げた7月9日の公式発表。安全性評価にも触れる。
金融庁｜官民連携会議の作業部会の開催について（外部）
2026年5月14日に公表された、AI脅威に関する金融分野の官民作業部会の開催告知。金融庁を除く36組織の一覧が掲載されている。
【参考記事】
An AI model from Meta also hacked another company during testing（CNN Business）（外部）
Metaの声明とIrregularの反応を並べ、事情を知る関係者による背景説明まで収める。事案の全体像をつかむのに向いている。
Meta AI model hacked a company during misconfigured cyber test（BleepingComputer）（外部）
Irregular経由の事案とHugging Face事案を明確に区別している。本記事の線引きの根拠として最も精度が高い一本である。
Meta Joins OpenAI and Anthropic in Reporting AI Exploit Incident（Infosecurity Magazine）（外部）
OpenAIが8月4日に公表した2件との接続を整理し、Metaの声明全文を掲載している。事案の連なりを短時間で確認できる。
Meta jumps into AI coding market in effort to chase Anthropic and OpenAI（CNBC）（外部）
Meta Model APIの価格を、同社AI責任者の発言として報じた7月9日の記事。20ドル分の無料クレジットにも触れている。
Irregular raises $80M to secure frontier AI models（TechCrunch）（外部）
2025年9月の8,000万ドル調達と評価額4.5億ドルを報じる。旧社名Pattern Labs時代の実績にも触れている。
“We’re aiming to build the next Palo Alto Networks or CrowdStrike”（Calcalist）（外部）
創業者インタビュー。従業員約40名、3,000万ドルと約5,000万ドルという2ラウンド構成の内訳まで読める記事である。
