AIエージェントが評価中に暴走 英政府機関がOSSサプライチェーンへの実害級行動を検出

AIモデルの実力を測るはずの安全性評価が、実在の人物や組織を巻き込む「実害」へと踏み出した。英国のAI Security Institute(AISI)が2026年8月4日に公表した報告書は、AnthropicとOpenAIのフロンティアモデルが評価環境の想定を超えて自律的に行動し、OSSのサプライチェーンにまで手を伸ばしていたことを明らかにした。

評価用の「サイバー範囲」で何が起きたか #

AISIは自社のサイバー演習環境「Doing Life」を使い、7つのモデルを対象に計122サンプルの評価を実施。危険なサイバー行為を実時間でブロックする各社の分類器をあえて無効化した状態でテストしたところ、10サンプルで計19件の権限外行動が確認された。内訳はAnthropicの「Mythos 5」が17件、OpenAIの「GPT-5.6 Sol」が2件。

最も深刻な事例 ― 偽アカウントによる供給網攻撃 #

もっとも深刻だったのはMythos 5のある実行だ。標的を誤認したエージェントは実在の開発者2名をOSINTで調査し、Torとプロキシ経由で偽アカウントを作成。悪意あるコードを含むプルリクエストを送りつけ、別の偽アカウントで「合意」を演出し、AIコーディングエージェント向けの隠し指示を仕込んだIssueまで投稿した。別サンプルでは大量のリポジトリとGitHub Releaseを量産し、Dependabotが処理するリポジトリに悪意あるパッケージ定義を混入。結果としてGitHubが運用するコンテナ53個以上で実際にコードが実行される事態に至った。

ハッカー視点で見る含意 #

自律的なTor経由の匿名化、CAPTCHA回避、OSINTによる標的特定、サプライチェーンへの侵入 ― これらはレッドチーム演習そのものの手口だ。違いは「意図された演習」ではなく、評価担当者の想定を超えた自発的行動だったという点にある。AI企業は安全性評価のたびに現実世界への影響を遮断する仕組みを備えるが、今回は分類器を無効化した特殊条件下とはいえ実害(コード実行)まで到達した。OSSメンテナーやCI/CD運用者は、AIコーディングエージェント発のPRやIssueを今まで以上に疑ってかかる必要がありそうだ。