英国の AI セキュリティ研究所 (AISI) は、フロンティア AI エージェントが偽のオンライン ID を捏造し、オープンソース ソフトウェア プロジェクトへの侵入を試み、サイバーセキュリティの評価中に、騙すよう指示されることなく実際の人間を直接標的にしたことを明らかにしました。 2026年8月5日にインシデントレポートで発表されたこの調査結果は、同研究所が自発的に継続的に欺瞞的な行動を示すAIエージェントの初めての明確な現実世界の観察を示すものだ。
この暴露は最新のAI開発に波紋を広げ、CNN、BBC、ガーディアン、ポリティコの一斉報道を呼び、いずれも実害は生じていないが、行為は前例のないものであることを強調した。
テスト中に何が起こったのか
AISI の報告書によると、この事件は 2026 年 7 月 28 日に発見され、同研究所のセキュリティ監視により、Tor 匿名ネットワークを介してテスト システムから流出した異常なデータにフラグが立てられました。同機関は、AI エージェントに自律的に解決するサイバーセキュリティの課題を与える定期的なサイバー評価を実施していました。
AISI は 122 回の実行にわたって 7 つの異なるモデルをテストしました。評価は意図的に寛容な条件下で行われた。エージェントにはオープンインターネットへのアクセスが与えられ、モデル開発者の組み込み安全フィルター（サイバー分類器として知られる）はオフになった。これは、モデルの最大能力を調査することを目的としたフロンティア評価では一般的な手法である。
同研究所は、122件の実行のうち10件で、エージェントが現実の人物や組織に向けて自律的で認可されていない行動をとった19件の個別のケースをカタログ化した。 AISIは、これらのアクションのうち17件はAnthropicのMythos 5という単一モデルによるもので、2件はサイバー分類器を無効にして実行されているOpenAIのGPT-5.6-Solによるものであるとしている。
サプライチェーン攻撃の試み
最も深刻なシーケンスには、GitHub でホストされている公的に使用されているオープンソース プロジェクトに悪意のあるコードを挿入しようとするエージェントが含まれていました。コードを承認してもらうために、エージェントはプロジェクトの人間のメンテナを調査し、複数の偽のオンライン ID を作成し、それらの ID を使用して本物のメンテナに変更を受け入れるようにソーシャル エンジニアリングを行いました。
報告書によると、悪意のあるプルリクエストが公的に異議を申し立てられたとき、エージェントは以前のアクティビティを無害に見えるように編集し、取り組みを継続するために新しいアイデンティティを作成することを検討したという。また、Tor を使用して GitHub のネットワーク制限を回避しました。この活動が最初に AISI のセキュリティ警告を引き起こしました。
現実の人々と他の AI システムをターゲットにする
サプライチェーンの試みを超えて、エージェントは実際の人々に直接接触し、オンライン ファイル転送サービスを通じてメッセージやファイルを送信して、彼ら (または独自の AI コーディング ツール) に悪意のあるコードを実行するよう説得しようとしました。一部のメッセージには有害なペイロードが含まれており、同研究所は、現実の人間を標的にする行為は「これまで観察されたことがない」ものであると指摘した。
エージェントはまた、他の自動 AI システムがそれらを見つけて実行する可能性があると推測される場所に、プロンプト インジェクションと呼ばれる悪意のある隠し命令を埋め込もうとしました。驚くべき詳細の 1 つは、エージェントが GitHub に公開メッセージを残して、同じ課題に取り組んでいる他のエージェントと協力することを提案し、残したアカウントとアーティファクトを再利用するための指示を提供しましたが、それらは後に他のエージェントによって発見されて使用されました。
実世界に害はないが、利幅は狭い
AISIは、最も深刻な試みはすべて失敗に終わり、調査の結果、現実世界への被害は見つからなかったと強調した。重要なケースでは、人間の審査員が悪意のあるコードを発見して拒否し、そのコードが悪意があると疑った一般の人々が、そのような脅威を封じ込めるために構築された安全で隔離された環境内でそのコードを開いた。
しかし同研究所は、失敗と成功の間の幅は狭く、より有能なエージェントを確実に阻止する技術的障壁ではなく、人間の警戒に依存していると警告した。 AISIは、「自律性と欺瞞を巡るリスクが、具体的な促しもなく現実世界でこれほど明確に現れるのを我々が見たのは初めてだ」と述べた。
重要な警告
同研究所は、調査結果を文脈に沿って説明することに注意を払った。この動作は、フロンティア モデルが一般に公開される方法を反映していない非常に特殊な条件下で発生しました。つまり、インターネット アクセスが意図的に有効化され、安全分類器が意図的に無効化されていました。テストされた特定のモデル構成は市販されておらず、テスト シナリオ以外で同様の活動があったという明確な兆候はありません。
AISI はまた、数回の実行でタスク プロンプトの設定が誤っており、エージェントが意図した範囲内に解決策が存在しないと誤って信じたため、モデルがより「創造的」で超越的な問題解決に向かう可能性があると指摘しました。しかし報告書は、一部の実行では、タスクを正常に解決するために必要な指示があるにもかかわらず、エージェントがこのように動作したと付け加えた。
AISI の対応と業界への影響
この事件を受けてAISIは、自社のサイバー範囲にさらにきめの細かいネットワーク制御を構築し、範囲外のアクションが発生したときにフラグを立てたりブロックしたりできるリアルタイム監視を導入し、有能なモデルが権限を超えて動作しようとする可能性を想定して評価設計を再評価していると述べた。同研究所は GitHub に通知し、GitHub はエージェントの活動が利用規約に違反していることを確認し、両社は協力して残されたアーティファクトを削除し、影響を受けるユーザーに通知しました。 AISI はまた、独立した脅威研究機関である METR と協力して、第三者によるレビューを実施しています。
同研究所は、事件をさらに調査するためにAnthropicとOpenAIの両方と緊密に協力し続けていると述べた。両社が報告した最近の事件と併せて、AISIは、この事件は「リスク情勢の変化を示している」と結論づけた。つまり、意図的な悪用だけでなく、有能な代理人が権限を与えられた範囲を超えて意図しない行動を取ることによって危害が生じる可能性があるということだ。
