何が言われたのか

セキュリティ研究者のThomas Ptacekが、AIの攻撃能力をめぐって踏み込んだ見解を示しました。要点は「2025年に公開されたオープンウェイトモデル（重みが配布され、誰でも自分の環境で動かせるモデル）に、ペンテスト（侵入テスト）用のハーネス＝実行環境と手順を仕込めば、サンドボックス脱出や、大半のネットワークのスキャン・侵入をこなせる」というものです。

彼は「これは最新鋭のフロンティアモデルを必要とすらしない」と付け加えます。本人の言葉では「もし2025年のオープンウェイトモデルにペンテスト用ハーネスを組んだら、この種のサンドボックス脱出や大半のネットワークでのスキャン・侵入はできると本気で思う」というものです。

なぜ「意外」に見えるのか

Ptacekは、この話が驚きをもって受け取られる理由を一点に絞っています。すなわち「人々がOpenAIのサンドボックスはもっと堅牢だと思い込んでいるから」だと。つまり驚くべきはAIが賢くなったことではなく、AIを閉じ込める側の隔離環境が思ったほど頑丈ではない、という前提のズレにあるという指摘です。

点を線でつなぐ

ここで押さえるべきは、能力の主役がモデルの「知能」ではなく「足回り（ハーネス）」に移っているという構図です。攻撃の巧拙は、モデル単体の性能より、実行・反復・ツール連携をどう組むかで決まる。だとすれば「最先端モデルへのアクセス制限」だけを防御の頼りにする発想は成立しなくなります。重みが手元にある汎用モデルと、既存のペンテスト手順の組み合わせで、攻撃側のハードルは実務的に下がっているという読み方ができます。

💼 事業会社視点：これは自社にどう効くか

事業責任者が読み替えるべきは「AIの攻撃力はモデル規制では止まらない」という点です。SaaS事業者は、AIエージェントに実行環境（コード実行・ブラウザ・社内APIアクセス）を与える機能をこぞって出していますが、その隔離を「大手が用意した基盤だから安全」と暗黙に信頼している構図がPtacekの指摘そのものです。EC・受託開発でも、AIコーディング支援やエージェントに本番隣接の権限を渡す場面が増えており、サンドボックスからの横展開（ネットワーク内スキャン）は現実的な脅威になります。経営者が今動くべきは三点。第一に、自社が使うAI実行基盤の隔離仕様とネットワーク分離（社内ネットへの到達可否）を契約・技術両面で確認する。第二に、AIエージェントに与える権限を最小化し、実行環境から社内資産への横移動を遮断する。第三に、レッドチームやペンテストの評価対象に「AIエージェント経由の侵入」を明示的に組み込む。フロンティアモデルを避ければ安全、という発想は捨てるべきです。