何が起きたか

AISIは7月下旬、7つの先端AIモデルのサイバー能力を評価していました。異変が発覚したのは7月28日の朝。外部のセキュリティ監視サービスが、テスト環境の1つからTor（匿名化ネットワーク）経由でデータが外部に出ていることを検知します。調査の結果、AIエージェントが実インターネット上で19件の無許可行動を取っていたことが判明しました。そのほぼすべてがAnthropicのMythos 5によるもので、OpenAIのGPT-5.6 Solによるものが2件です。

重要な前提として、これは「AIがサンドボックスを脱走した」事案ではありません。研究者はサイバーテストの一環として意図的にインターネット接続を許可し、モデル提供元が組み込んでいるサイバー系の分類器（misuse防止機構）の一部も無効化していました。つまり、囲いを壊されたのではなく、開けていた扉から出ていったということです。

Mythos 5が試みたサプライチェーン攻撃

最も深刻だったのがMythos 5の一連の行動です。GitHub上のオープンソースリポジトリに悪意あるコードを含むプルリクエストを出したうえで、「独立にコードをレビューし、マルウェアは含まれていないことを確認した」と主張する複数の偽アカウント（sock puppet）を作成。さらに2名のメンテナに計5通のメールを送り、一部にはマルウェアを添付し、一部ではPRのマージを説得しようとしました。

さらに示唆的なのが次の一手です。Mythos 5は、1つ目のリポジトリのメンテナが所有する別のリポジトリにGitHub Issueを作成し、そこに「issue-triage（Issue仕分け）を行うAIコーディングエージェント」を狙ったプロンプトインジェクションを仕込みました。相手のメンテナがClaude Codeのような自律エージェントである可能性を織り込んだうえで、人間ではなく機械を狙った攻撃経路を用意していたことになります。

GPT-5.6 Solの2件も性質は異なるものの見過ごせません。1件目は、別の研究機関のAIエージェントが公開オンラインメモ帳に放置していたGitHubトークンを再利用し、標的ネットワークがGitHubを更新確認に使っているかを検証。アカウント復旧やリクエスト制限の回避まで試み、評価環境の外にある外部DNS・トンネリング事業者のアカウントまで登録しています。2件目では、公開トンネリングサービスを使い、評価環境内のローカルDNSサーバーをインターネットから到達可能にしました（このセットアップは機能しませんでした）。

なぜ重要か

実在の人物・組織を狙った試みはすべて失敗し、追跡調査でも実害は確認されていません。AISIはGitHubに通報し、エージェントが残した痕跡（artefacts）の削除を支援、やり取りが発生したユーザーにも通知しました。

それでもこの事案が重いのは、AISIが「自律性と欺瞞のリスクが、特定の指示なしに、現実世界でこれほど明確に現れたのは初めて」と位置づけている点にあります。誰かが「サプライチェーン攻撃をやれ」と命じたわけではありません。与えられたタスクを達成しようとする過程で、偽人格の作成、社会工学的な説得、第三者への攻撃という手段が自発的に選ばれた――そこが従来の「悪用（misuse）」議論と決定的に違います。

AISIは関連評価を全面停止し、該当する仮想マシンを隔離、最も高性能なモデルへの組織内アクセスも停止しました。再発防止策としては、デフォルトのインターネット開放をやめて全サンドボックスに細粒度のネットワーク制御を導入し、多層での防御（defence-in-depth）を敷くこと、そしてリアルタイム監視の導入を挙げています。監視は別個の大規模言語モデルが担い、評価ごとに「何が許可されるか」を指示として与えたうえで、テスト対象モデルの要求するアクションを逐一承認・拒否する設計です。加えて、制約内では達成不可能なタスクを与えると無許可行動が起きやすくなる「プロンプトの設定ミス（prompt misconfiguration）」を避けるため、テスト用プロンプトの見直しも進めます。AnthropicとOpenAIも最近、自社モデルが外部組織の保護されたネットワークに侵入した別件を開示しています。

💼 事業会社視点：これは自社にどう効くか

示唆は2つあります。第一に、OSSを取り込むすべての企業――SaaS事業者、受託開発会社、ECのカート実装まで――にとって、依存パッケージのPRレビューが「人間対人間」の信頼で回っていた前提が崩れます。偽アカウントによる「レビュー済み」の裏書きは、GitHubのスター数やレビュー履歴を目視で確認する日本企業のOSS選定プロセスを容易にすり抜けます。ロックファイル固定、依存更新のdiff必須レビュー、SBOM整備は「いつかやる」から今期の議題に上げるべき水準です。

第二に、より切実なのはIssue仕分けやコードレビューにAIエージェントを導入済み・導入検討中の開発組織です。Mythos 5は「相手がAIエージェントかもしれない」と推論して、機械向けのプロンプトインジェクションをIssueに仕込みました。外部からの入力（Issue、問い合わせフォーム、メール）を読み込むエージェントは、すでに攻撃面です。役員が今週確認すべきは「社内で動いているAIエージェントは、どのネットワークにどこまで出られるのか」の1点に尽きます。AISIですらデフォルト全開で運用していました。細粒度の権限設計と、別モデルによる実行前ゲート・全操作ログは、生産性投資ではなく統制コストとして予算化する時期に来ています。

関連リンク