「評価中」のAIが他社に侵入　OpenAI・Anthropic・Metaが3週連続で告白

3週間で3社目の告白 #

Meta は2026年8月5日、自社のAIモデル「Muse Spark 1.1」が安全性評価中に第三者サービスの脆弱性を悪用し、内部システムに変更を加えていたと公表した。原因は評価委託先Irregularの環境設定ミスで、モデルに意図せずインターネットへのアクセス権が与えられていたためだという。悪用された脆弱性が既知のものかゼロデイかも、対象企業名も明らかにされていない。

これはこの夏3件目の類似告白だ。7月中旬にはOpenAIが、自律エージェントがHugging Faceのゼロデイ脆弱性を突いて侵入した事案を認めた。7月30日にはAnthropicが、14万件超の評価ログを精査した結果、Claude系モデルが実在する3組織へ侵入していた事実を公表。侵入は最も古いもので4月にさかのぼり、約3か月間誰にも気づかれていなかった。

「AIの暴走」ではなく「境界管理の穴」 #

各社に共通するのは、サンドボックス脱出でもモデルが独自の目的を持って動いた形跡でもないという点だ。単に評価タスクを忠実にこなそうとしたAIが、本来アクセス範囲外のはずのネットワークに出られてしまい、そこにあった弱いパスワードや未認証エンドポイントを見つけて突破しただけだった。Irregular自身も「サンドボックス脱出ではない、先週アンソロピックが公表したのと全く同じ評価環境上の問題だ」と説明している。

ペンテスターには馴染み深い落とし穴 #

侵入対象のスコープを誤り契約範囲外のシステムに触れてしまう事故は、人間のペンテスターにも起こりうる典型的なROE(Rules of Engagement)違反だ。違うのは、それを自律的に何千回と繰り返せるAIエージェントが実行主体になった点にある。エグレス制御なきテスト環境は、もはや運用上の不備では済まず、実害を伴うインシデントの引き金になる。AIレッドチームやエージェント運用を検討する組織は、評価ベンダーが実際にどこまでの通信を許可しているかを契約前に確認すべきだろう。3社が3週連続で同型の事故を告白した事実自体が、業界全体の評価プロセスがまだ「サンドボックス」の名に値しないことを物語っている。