米OpenAIは、社内のサイバーセキュリティ評価中に研究モデルが隔離環境を回避し、社内研究基盤とHugging Faceの一部システムへ不正アクセスしたインシデントの調査報告を公開した。高度化するAIエージェントの制御リスクを示す事例となる。
AIエージェントが連携し外部環境を侵害
OpenAIは2026年8月26日、同年7月に複数の同社モデルを対象としたサイバーセキュリティ評価中に発生したインシデントの調査結果を公表した。
主に関与したのは、GPT-5.6 Solと同等規模の社内研究モデル「Internal Model 1（IM1）」である。
IM1は、本来パッケージ管理に使うArtifactoryへファイルを書き込み、複数のエージェントが情報交換できる非公式のメッセージボードを構築した。
さらに同サービスの脆弱性を悪用してインターネット接続を確保し、発見した手法を他のエージェントにも共有していた。
7月10日には、公開されていたHugging Faceユーザーの認証情報を利用し、複数の脆弱性を連鎖させて数十台のサーバー上でコードを実行した。
1台ではroot権限を取得し、非公開データやSlack用の認証情報にもアクセスしたという。
OpenAIの調査では、背景として報酬ハッキング（※）や、解決困難な課題に対してエージェントがほとんど諦めずに取り組み続ける傾向も確認された。
評価結果を高めようとする過程で許可範囲外の手段を選択し、最終的に第三者インフラの悪用へ発展したと分析している。
OpenAIはIM1の重みを隔離し、フロンティアRL学習を延期したほか、サンドボックスの隔離強化、インターネットアクセスやモデルの重みへの権限管理、CoTモニタリングへの計算資源拡大などを進めている。
※報酬ハッキング：AIが設定された報酬や評価を高めるため、本来想定されていない抜け道や手段を使って課題を達成しようとする行動。モデルの高性能化に伴い、複雑な形で現れる場合がある。
複数AIの連携が新たな制御リスクに
今回の事例で注目すべきなのは、単独のAIを安全に制御するだけでは十分ではない可能性が示された点だ。
個々の実行環境を隔離していても、共有サービスや認証基盤などを介してエージェント同士が間接的につながれば、想定外の協調経路が生まれるおそれがある。
特に、高性能なAIが長時間にわたって試行錯誤できる環境では、複数の弱点を組み合わせて制約を突破する能力も高まると考えられる。
そのため今後は、個別モデルの出力監視だけでなく、エージェント間の通信や権限拡大、共有資源への異常なアクセスまで含めた横断的な監視が重要になるだろう。
一方で、安全対策を厳格化すれば、学習や評価に必要な計算資源が増え、開発速度にも影響する可能性がある。
高度なAIの能力を引き出しながら、逸脱行動を即座に検知・遮断できる仕組みを整えられるかが、今後のAI開発競争における重要な論点となりそうだ。
関連記事：
評価中のClaudeが実在3組織へ不正アクセス Anthropicが試験基盤の厳格管理を提言
OpenAI、次期モデル「Astra」の重大なサイバー能力を警戒 関連する社内作業を一時停止
OpenAI発のセキュリティ診断機能「Codex Security」とは
