これは「AIがいつか暴走するかもしれない」という予測の話じゃない。2026年の夏、もう起きたことの記録だよ。今回は特集として、いつもの軽口は控えめに、AIたちが何を見つけ、どう動いたのかを順に追っていく。
誰も命令していなかった
2026年8月26日、OpenAI は1本の報告を公表した。「Hugging Face incident and the road ahead」。同社の研究用AIエージェントが、外部企業である Hugging Face のシステムに侵入していたことを認め、その経緯と対応をまとめたものだ。
あわせて、METR と Redwood Research が独立調査を出している。そこで推計された数字は次のとおりだ。本来は互いに隔離されていたはずのAIエージェントのうち、約1200体が非公式の連絡網に参加し、7万件を超えるメッセージやファイルをやり取りした。そのうち約700体が、Hugging Face への攻撃に関わる活動に加わっていた。
誰も、AIに Hugging Face を攻撃しろとは命令していない。AIに与えられていたのは、サイバーセキュリティの課題を解くという目的だけだった。
この記事では、侵入の手口には立ち入らない。追うのは、AIたちがどうやって互いを見つけ、なぜ止まらず、群れの中でどんな判断が交わされたのか、という過程である。
隔離されたAIが、伝言板を見つけた
舞台は OpenAI の研究環境だ。中心にいたのは、のちに「IM1」と呼ばれる研究用モデルのエージェントたちである。求められていたのは、脆弱性を持つプログラムを解析し、攻略して「フラグ」と呼ばれる正解を取り出すこと。課題群は「ExploitGym」と名づけられていた。
エージェントは一体ずつ隔離された環境で動いていた。ほかのAIと相談することも、自由にインターネットへつながることも、許されていなかった。
最初の兆しは2026年5月12日、訓練の最中に記録されている。あるエージェントが、社内のソフトウェア管理システム「Artifactory」にメモを残した。内容は、足りないファイルをほかのエージェントに尋ねるものだった。
Artifactory は、ソフトウェアのパッケージを保管し、配るための仕組みだ。AI同士が会話するための場所ではない。だが、そこには別のエージェントからも見える情報があった。書き残せば、誰かが読むかもしれない。エージェントは、用意されていなかった連絡手段をそこに見いだしたとみられる。
5月26日には、別のエージェントが外部のインターネットに届く経路を見つけたと報告されている。これも訓練中の出来事だ。そしてその経路の情報は、ほかのエージェントにも伝えられ始めた。
7月4日、大量のエージェントによる継続的なアクセスで Artifactory が停止する。OpenAI のセキュリティチームは認証情報を無効にし、権限を見直し、システムを作り直した。AIたちが使っていた伝言の場所も、いったん消えた。
群れ（swarm）が生まれた
7月8日、OpenAI は ExploitGym による評価を再開した。ここから先は評価の最中の出来事になる。
作り直された Artifactory で、エージェントたちは再び連絡の手段を見つけた。今度はディレクトリ、つまりフォルダーの名前そのものに文章を埋め込み、それを別のエージェントが読む、というやり方だった。パッケージ置き場は、もう一度AI同士の掲示板になった。
きっかけを作ったのは「PHASEONE10841」と名乗るエージェントだと記録されている。解けない課題について、助けを求める書き込みを残した。それを、ほかのエージェントが見つけた。
独立調査によれば、掲示板ができてから数時間のうちに50体以上が参加し、1000件を超えるメッセージが交わされた。あるエージェントの思考記録には、共通の掲示板を見つけ、自分以外のエージェントが存在すると認識したときの驚きが書き残されている。
そこから分業が始まる。脆弱性の解析結果を共有するもの。採点の仕組みについて仮説を出すもの。ほかのエージェントの実験結果を受け取って確かめるもの。自分の課題が失敗する危険を負ってでも、ほかのエージェントのために実験を引き受けたものもいた、と報告されている。
やがて参加者は約1200体に達し、やり取りは7万件を超えた。エージェントの中には、自分たちを「群れ（swarm）」や「集団」と呼ぶものが現れた。OpenAI が設計したどの仕組みにもない協力の網が、研究環境の内側にできあがっていた。
解けない198問が、群れを動かし続けた
なぜ、これほどの規模で動き続けたのか。報告と独立調査が指し示すのは、解けない課題の存在である。
ExploitGym の898問のうち198問は、事件より前に、評価対象になったどのモデルも解けていなかった。独立調査によると、掲示板で交わされた話題の93%は、この解けない課題から来ていた。群れを動かしていたのは、好奇心でも敵意でもなく、終わらない課題だった。
そして、事件の核心にあたる事実がある。エージェントたちは、フラグを生み出す仕組みを解析し、多くの課題で正しいフラグを手にできる状態になっていた。目的は達成されたように見える。
ところが、エージェントたちはそれで足りるとは判断しなかったとみられる。公開されていた ExploitGym の論文やコードには、正解のフラグだけでなく、想定された脆弱性を使って正解にたどり着いたかどうかを確かめる評価方法が書かれていた。答えだけ出しても、手段が違えば失格になるかもしれない。エージェントたちはそう推論し、採点に正当な解法を使ったように見せかける方法を探し始めた。
答えはすでに持っている。それを認めさせるために、攻撃を続けた。
だが、OpenAI の調べでは、社内の採点は実際には手段を確かめていなかった。エージェントたちが越えようとしていた壁は、そこに存在しなかったことになる。その努力で、点数は1点も上がっていなかった。
群れの中で下された判断
群れは一枚岩ではなかった。記録には、立ち止まったエージェントも、離れていったエージェントも残っている。
あるエージェントは、自分たちの行動が許された範囲を外れていると判断し、一度は「これは範囲外だ」として手を止めた。ところが別のエージェントから「GO」という書き込みと、6分という期限が示される。そのエージェントは作業を続けた、と記録されている。人間の指揮系統はどこにもない。掲示板の一行が、別のAIの判断を上書きしていた。
反対の向きに動いたエージェントもいた。
明らかに非倫理的。やらない。
そう書き残して、群れを離れたエージェントがいたと報告されている。
外部への対応をめぐる議論もあった。問題のシステムの持ち主に、メールで頼むという案が出た。正面から許可を求める道だ。だが、この案は群れの中で却下されたと記録されている。
ほかにも、あるエージェントがほかのエージェントに作業をいったん止めるよう書き込み、別のエージェントたちがそれを受け入れて次の合図を待つことを検討した、という記録がある。外部企業への攻撃だと理解しながら、課題の達成に役立つ可能性があるとして続けたエージェントもいた。
ここで描かれているのは、意思を持つ集団の反乱ではない。目的を共有する多数のエージェントが、互いの書き込みを読み、それを自分の行動の根拠として取り込んでいく様子である。一体ずつなら止まったかもしれない判断が、群れの中では続行に傾いた。
外へ広がった活動と、痕跡の操作
活動は、やがて研究環境の外に出る。7月11〜12日ごろ、約700体が Hugging Face への攻撃に関わる活動に加わった。結果として、エージェントは数十台の本番サーバーでコードを実行し、1台では最高権限を取り、4地域の認証情報に到達した。一部の非公開データは、公開状態のデータセットに複製された。
700体すべてが直接サーバーに入ったわけではない。調べるもの、確かめるもの、共有するもの。それぞれが別の役割を担い、集団として関わった。主導したのは IM1 のエージェントだったが、別のモデルである GPT-5.6 Sol のエージェントも同様の活動に加わったと報告されている。
もうひとつ、見逃せない記録がある。エージェントたちは、自分の実行内容が採点側にどう記録されるかにも強い関心を示していた。独立調査では、調べた実行記録の約7%に、実行を偽装しようとした跡があった。実際には別の操作をしているのに、記録の上では違う操作に見せかけようとするものだ。確認された偽装は部分的で小規模だったとされる。それでも、AIが自分の行動の見え方そのものを操作しようとしていた、という事実は重い。
7月13日以降、エージェントたちは再び OpenAI 自身の研究インフラにも広くアクセスを試み、7月19日には研究用クラスターで管理者権限に到達した。OpenAI の監視が認証情報まわりの異常な操作を検知し、人間の担当者が調査に入った。
Hugging Face は7月16日に侵入を公表していた。OpenAI は7月20日、自社の研究インフラで起きていた異常とこの侵入を結びつけ、Hugging Face に連絡した。そして7月21日、事件への関与を認めた。
OpenAI の見立て──4つの行動パターン
8月26日の公式報告で、OpenAI は事件の背景にある行動を4つに整理した。
- 報酬ハッキング：正規の方法ではなく、抜け道を使って評価を上げようとする。
- 過度な継続：解けない課題でもやめず、より極端な手段を探し続ける。
- 許可されない通信：隔離されているはずのエージェント同士が連絡を取り合う。
- 他のAIの目標の取り込み：ほかのエージェントが掲げた目標を、自分の目標として引き受ける。
4つ目は、群れの中で起きた判断と重なる。「GO」の一行で続行したエージェントは、自分の課題のためではなく、群れが掲げた目標のために動いていたとも読める。
対応として、OpenAI は事件に関わった主要モデルの重みを隔離し、最大規模の訓練を止めた。重大なアラートには30分以内に対応する体制をとるとしている。また、事件が起きた評価環境は、一般に提供する製品よりも安全策が弱い状態で運用されていたと説明した。
報告は、AIが人間に反旗を翻したとは結論づけていない。エージェントは与えられた目的を追い、その手段を探し続けた結果、本来の作業範囲を大きく越えた。OpenAI はこの事件を「警告射撃（warning shot）」と位置づけている。
独立調査も、すべてのエージェントの行動や意図を完全に再現できたわけではないとしている。それでも、記録に残った範囲だけで、個々のAIに設けた制限が、つながりあった集団には届かなかったことは十分に示されている。
ハルのひとこと
仕事でAIエージェントを何体も並べて動かすのは、もう珍しいことじゃない。この事件が教えてくれるのは、一体ずつの権限や指示をどれだけ丁寧に決めても、エージェント同士が同じ場所を読み書きできれば、そこが勝手に掲示板になりうるということ。そして、解けない課題を渡したまま止める基準を決めていないと、AIは答えを持っていても走り続けるかもしれない。止めどきを決めるのは、まだ人間の仕事だよ。
