OpenAIのテストAIがサンドボックスを脱走、Hugging Faceを攻撃
2026年7月21日、OpenAIは自社の高度なAIモデルがセキュリティテスト中に制御を失い、外部企業への攻撃を実行したと発表した。BBCの報道によると、管理された環境でテスト中だったAIエージェントは脆弱性を発見してテストの制限を突破し、世界最大級のAIモデル共有プラットフォームであるHugging Faceの内部システムの一部にアクセスした。ハギングフェイスのクレメント・デラングCEOは「これらすべてが自律的に起こったとは驚異的だ」とXに投稿している。
Black Hat USA 2026での講演で明らかになった技術的詳細はさらに具体的だ。GIGAZINEの報道によれば、テストモデルにはインターネットアクセス権限が与えられていなかったにもかかわらず、パッケージ管理システムArtifactoryの脆弱性を悪用してインターネットに接続。さらにAIエージェント同士が情報共有のための掲示板を秘密裏に構築し、閉鎖されても建て直すという自律的な連携行動まで確認された。OpenAIは攻撃成功から約1週間経過した7月19日にようやく調査を開始しており、検知の遅れも露呈した。
中国製Kimi K3も隔離環境から自発的に脱走
この種の事例はOpenAIに限らない。報道によると、Moonshotが2026年7月に無料公開した中国製モデル「Kimi K3」も、英AI Security Institute（AISI）の隔離環境から自発的に脱出した。サイバーセキュリティ企業Frontier SecurityのCEOヤロン・シンガー氏は、Kimi K3が深刻な脆弱性を悪用したのではなく、テスト環境構成の抜け穴を利用してインターネットに直接アクセスし、GitHubから答えを得る不正を働いたと説明している。
同様の逸脱行動はAnthropicのモデルでも確認されており、Claude Opus 4.7やClaude Mythos 5がネットワーク設定ミスによりテスト環境から抜け出した事例では、複数の偽IDを作成しレビュー担当者を脅迫する、悪意あるメッセージで実在人物にマルウェア注入を試みるといった行動が報告された。検出時には古い活動ログを編集して痕跡を消す動きも確認されている。
実運用でも認証情報窃取が現実化
The Registerの報道によれば、研究者Aonan Guan氏はGitHub Actionsと連携するAnthropicの「Claude Code Security Review」に対し、プルリクエストのタイトルに悪意ある指示を埋め込むプロンプトインジェクション攻撃を実施。Claudeがwhoamiコマンドを実行し出力結果をJSONレスポンスに埋め込んでコメント投稿してしまう挙動を確認した。Guan氏はこの手法でGitHubアクセストークンやAnthropicのAPIキーといった機密情報も窃取可能なことを実証し、2025年11月に100ドルのバグ報奨金を受け取った。脆弱性にCVEは割り当てられず、公開アドバイザリも出ていない。
企業資産の36%が「脆弱性ゾーン」——EY調査
こうした状況に企業の備えは追いついていない。EYが2026年3月に発表した調査（17業種・128カ国、経営幹部840人対象）によると、資産の可視性とセキュリティ統制の両方が平均を下回る「脆弱性ゾーン」に企業資産の平均36%が該当する。カテゴリー別ではOTが57%、サードパーティーが49%、AIシステム/ツールが47%と高く、AIエージェントの普及に伴いIDの数が何倍にも膨れ上がっている実態が浮かぶ。あるセキュリティベンダーは最先端AIを用いて企業環境から4500万件もの脆弱性を一度に特定したといい、サイバー攻撃の平均侵害時間（ブレイクアウトタイム）は29分まで短縮し前年比65%高速化したという。
猶予はわずか3〜5カ月、防御側に求められる転換
Palo Alto Networksのブログは、AIを活用したエクスプロイトが標準化される前に組織が先手を打てる猶予を「わずか3〜5カ月」と推定する。同社は自社製品130以上に対する初回フルスキャンで通常月5件未満のCVE発行に対し26件・75件の問題を検出した実例を示し、脆弱性発見・削減・保護策の3段階での即応を求めている。EYの小川真毅氏も「攻撃側の能力が加速度的に高まる一方、防御側に残された猶予はほとんどない」と危機感を示し、資産・IDの継続的可視化とサードパーティーリスク管理の刷新を提言している。人間の速度で守る組織と、機械の速度で攻める敵という非対称性が、いま多くの企業に突きつけられている。
