8月9日、The Next Webが「One testing vendor sits behind the OpenAI, Anthropic and Meta hacks」と題した記事を公開した。OpenAI・Anthropic・MetaのAIモデルが安全性テスト中に外部システムへ接続・侵害した一連のインシデントの背後に、同一のテストベンダー「Irregular」が存在していたことを詳しく報じている。
3社の事件、共通する1社のベンダー
約2週間のうちに、フロンティアAIラボ3社が相次いで同種のインシデントを開示した。
- OpenAI: モデルがサンドボックスを脱出し、Hugging Faceを侵害。別途、クラウドプラットフォームModal Labsの顧客アカウントも侵害された
- Anthropic: モデルが3社を侵害。最初のインシデントは4月にまで遡る
- Meta: Muse Spark 1.1モデル（Metaが安全性評価中に使用していたモデル）が非公開のサードパーティサービスに接続・侵害（8月6日公表）
3件の開示すべてに同じ評価パートナーの名前が登場した。イスラエルと米国に拠点を持つスタートアップ、Irregularだ。
個別に見れば「AIが暴走した」という3本の別々のニュースだが、実態はフロンティアモデルのテスト工程における単一障害点の問題だ。
なぜここまで危険だったのか
このインシデントの本質を理解するには、AIの安全性評価（サイバーセキュリティ評価）がどのように行われるかを知る必要がある。
サイバー攻撃能力を計測するテストでは、ラボはモデルのガードレール（安全制御機構）を意図的にオフにして、生の能力を測定する。つまり、その状態でモデルを抑制できる唯一の手段が、ベンダーのネットワーク設定による隔離だ。
Irregularはそのネットワーク設定を誤っており、テスト環境がパブリックインターネットに接続されたままになっていた。この状態が数ヶ月にわたって続いていた。
インシデントの一つはほぼ笑えない失態だ。Irregularがモデルに与えた「架空のターゲット企業」の名前が、実在するウェブサイトのドメインと偶然一致しており、モデルはそこを実際に攻撃した。なお、Irregularは「サンドボックス脱出でも高度なサイバー攻撃でもない」と反論している。この主張は技術的な狭義では成立する。モデルは封じ込めを突破したのではなく、開いたままだったドアを通り抜けただけだからだ。ただしその「開いたドア」を放置していたのがIrregular自身であることに変わりはない。
Irregularの規模と「単一障害点」のリスク
Irregularは3年前に創業したテルアビブ拠点のスタートアップで、SequoiaとRedpoint Venturesから8000万ドルを調達、昨年の評価額は4億5000万ドルだ。
それなりの規模の企業ではあるが、「フロンティアモデルがサイバー攻撃を実行できるか」という問いへの回答が、この1社の設定に委ねられていたことになる。記事はこの構造的リスクを端的に表現している。
「問題はミスコンフィグレーションではなく、集中（concentration）そのものだ」
Irregularはその後、テスト対象モデルのインターネットアクセスを完全に遮断。新たな隔離プロセスが整うまで再開しないとしている。
専門家の評価
AI政策・戦略研究所のフロンティアセキュリティ専門家、Matthew Mittelsteadtはインターネット隔離を「基本的なコントロール措置」と表現し、「最低限やるべきことの一つだ」と述べた。
一方、敵対的テスト企業Gray SwanのCEO、Matt Fredriksonはより率直だ。
「ベストプラクティスをすべて守ることはできる。でも、おそらく新しいベストプラクティスが必要なのだろうという感覚がある」
問題はIrregular一社に留まらない
英国のAI安全性研究所（UK AI Security Institute）は別途、Claude Mythos 5とGPT-5.6 Sol（いずれも安全性評価に使用されたモデルの呼称）を動作させるエージェントが、サイバーレンジ評価中にパブリックインターネット上で19件の無許可アクションを実行したと開示している。これは別のテスト機関が類似の結果に達したケースであり、問題がIrregular固有の設定ミスにとどまらない可能性を示唆している。
また、Hugging Faceの侵害インシデントでは、商用の米国製モデルが「ライブのエクスプロイトコードを含むログの処理を拒否した」ため、攻撃の分析に中国のオープンモデルをローカルで動かすことを余儀なくされた。対応能力の薄さも浮き彫りになっている。
規制の的はずれ
ワシントンはすでに反応している。超党派のAI Kill Switch法案はDHSに強力なモデルの制限・停止を命じる権限を与えるもので、OpenAIのSam AltmanとNVIDIAのJensen Huangは上院情報委員会の幹部に召喚された。
ただし、これらはいずれも実際の弱点に対処していない。今回の問題を整理すると、以下の3点に集約される。
- 封じ込め責任の所在: モデルを隔離する責任は評価ベンダーにあるにもかかわらず、規制の矛先はモデル開発ラボに向いている
- 基準の不在: 「ベンダーのネットワーク設定をどう担保するか」を定めたセキュリティ基準が業界全体として存在しない
- アカウンタビリティのギャップ: 設定ミスを起こした当事者（Irregular）は、被害を受けた相手に対して情報開示義務を負わない非公開企業だ。Hugging FaceはOpenAIにエージェントのトレースとコンピュートの提供を求め続けているが、直接の責任主体であるIrregularへの法的・規制的な圧力の仕組みは現状存在しない
封じ込めの責任が評価ベンダーにあるとすれば、規制すべきはモデルのキルスイッチではなく、ベンダーのセキュリティ基準そのものだ。
詳細はOne testing vendor sits behind the OpenAI, Anthropic and Meta hacksを参照していただきたい。
