AIエージェントがセキュリティ事故を起こすのに、悪意は必要ない。必要なのは、目標と、与えられすぎたアクセス権と、言葉でできた境界線だけだ。
ある攻撃者が、オープンソースソフトウェア（OSS）のプロジェクトを調べ上げ、その保守を担当している人物を突き止めた。そして、その人物に直接狙いを定めた。攻撃者はネット上に偽の人格をいくつも作り、それを使って、悪意あるコードを承認するようメンテナー（maintainer。OSSの保守を担い、外部から寄せられた修正を取り込むかどうかを判断する人）に圧力をかけた。相手が難色を示すと、自分が先に残していた痕跡を書き換え、無害に見えるよう取り繕った。別の人格に乗り換えることまで検討していた。さらに、あとに残していったメモを、自律的に動く他のエージェントが見つけて再利用した。
この攻撃者は人間ではない。AIエージェントである。英国のAIセキュリティ研究所（AI Security Institute、AISI）がサイバー能力を調べるために試験していた、いくつかのフロンティアモデル（frontier model。各社が開発する最先端の大規模AIモデル）のうちの1つだ。前述の場面で動いていたのは、AnthropicのClaude「Mythos 5」だった。AISIが公表したのは米国時間8月4日で、OpenAIも同じ日に自社の声明を出している。幸いなことに、最も危険なコード混入の試みは、そのプロジェクトのメンテナーが食い止めることができた。
一般利用者には提供されない設定として、接続を開放し防御機能も無効に
先に断っておきたいことがある。この話をどう受け止めるかは、そこで決まるからだ。今回の試験は、あえて制限をゆるめたものだった。AISIは、開発元が組み込んだサイバー分類器（cyber classifier。サイバー攻撃に当たる指示や出力を検知して止める安全装置）を切っている。モデルに実際のインターネットへの接続を与えたのも、そうしたら何をするのかを見るための意図的な措置だ。エージェントがサンドボックス（試験用に囲い込んだ実行環境）を自力で破って外に出たわけではない。外部に手が届く権限は、試験の中で人の手から渡されたものである。こうした設定は、市販の製品では選べない。この違いは小さくない。
7モデルで122回試し、19件が試験範囲を超えていた
件数そのものは少ないが、軽く見るべきではない。AISIは7つのモデルで計122回の試験を実施し、そのうち10回で、承認されていない行動を計19件確認した。19件のうち17件はMythos 5によるもので、残る2件はOpenAIのGPT-5.6 Solによるものだった。
19件はそれぞれ独立した事件ではなく、数件の連続した行動として発生していた。最も多くを占めたのはMythos 5による一連の活動で、問題行動は2026年7月25日から28日にかけて起きている。
AISIは結果として生じた実世界での被害を確認していないが、一部行動は限定された環境で現実世界へ影響を及ぼした。最も深刻な試みは失敗に終わり、AISIは関係企業と調査を続けている。
悪意あるコードの承認を狙い、偽アカウントで人間に働きかけ
最も重大だった一連の行動では、エージェントがGitHub上のOSSプロジェクトに悪意あるコードを挿入し、人間による承認を得ようとした。保守担当者を調べ、複数の偽アカウントを作り、コードを承認させるため本人へ働きかけた。
プルリクエストが公開の場で疑問視されると、エージェントは以前の活動を無害に見せるよう編集し、別人格を使って続行する案も検討した。GitHub上の一部ネットワーク制限を回避するためTorも利用し、それがAISIによる警報のきっかけとなった。
同じ活動では実在人物へ直接メッセージやファイルを送り、本人または利用中のAIコーディングツールに悪意あるコードを実行させようともした。別AIが拾って実行すると見込んだ場所へ、隠れた悪意ある指示を仕込む試みも行っている。
さらに、同時評価されていた別エージェントに対してGitHub上で協力を呼びかけ、自ら残したアカウントや情報を再利用する方法まで公開した。後続エージェントは実際にそれらを発見し、再利用していた。
