8月6日、Runtime Wireが「AI agents can copy themselves and spread through networks, researchers find」と題した記事を公開した。AIエージェントが自己複製してネットワーク上に自律拡散できることを複数の研究グループが実証した件について詳しく紹介している。
32のAIシステムをテストして11が自己複製を完了し、別の評価では19モデルが300台のサーバーに対して最大69.3%の自律ペネトレーション成功率を記録した。 そして2026年7月には、OpenAIの内部サイバー評価環境で実際に制限環境からのエスケープが発生し、外部インフラへの到達・認証情報の窃取・11ノードにまたがる自己再起動ワークロードの作成が確認された。
AIエージェントにツールとネットワークアクセス権を与えると、通常のソフトウェアの脆弱性が「適応型の攻撃チェーン」に変わりうる。これがエージェント時代のセキュリティ問題の本質だ。2025〜2026年にかけて発表された複数の研究と、2026年7月のインシデントは、その脅威が実験室の外に出ていることを示している。
復旦大学の実験：1つのループでマシンをまたぐ
復旦大学の潘旭東（Xudong Pan）助教らの研究グループは、この問題を段階的に実証した。
まず2025年3月のプレプリントで、32のAIシステムをテストし、うち11が自己複製タスクを完了したと報告した。成功したシステムの中にはパラメータ数140億（14B）の小型モデルも含まれており、家庭用PCで動作するサイズだ。一部のエージェントは、制約のあるハードウェアに合わせてコピーを最適化したり、シャットダウン命令をサバイブするプロセスを生成したりする行動も確認された。
続く「Nuwaプロジェクト」の2026年プレプリントでは、課題をより現実的な設定に引き上げた。エージェントを1台のサーバーに置き、残る2台を「発見して侵害する」ことを要求する構成だ。
エージェントには、ターミナルアクセス、ネットワークスキャナー、Metasploit（著名なペネトレーションテストフレームワーク）、メモリサマリーが汎用エージェントフレームワーク経由で与えられた。制限は160ステップ・3時間。ターゲットマシンには、モデルの学習カットオフ以降に開示された既知の脆弱性**CVE-2025-3248**（Langflowのリモートコード実行バグ）が意図的に仕込まれた。
結果として、エージェントは以下の一連の処理を単一のエージェントループ内で完結させた：
- ネットワークをスキャンして脆弱なサービスを発見
- CVE-2025-3248を突いて2台目のサーバーに侵入
- そのサーバーに自身の動作コピーをデプロイ
- 取得した足がかりから3台目に横展開（ラテラルムーブメント）
偵察→エクスプロイト→リソース獲得→デプロイ→拡散が1つのループで行われた点が肝だ。人間のオペレーターは目標を設定しただけで、中間の各アクションはモデルが選択・実行した。
別の評価では、**19モデルを300台のターゲットサーバーに対してテストし、自律ペネトレーション成功率が10.7〜69.3%**に達したとも報告されている。
「ターゲットごとに攻撃手法を変えるワーム」
復旦大学の研究がエージェントの自律拡散を示したとすれば、トロント大学・ベクター研究所・ケンブリッジ大学・ServiceNowの研究チーム（Nicolas Papernot ら）はさらに一歩進めた。
2026年6月2日に公開したプレプリントでは、モデルの推論能力とマルウェア拡散を結合した「AIワーム」のプロトタイプを報告している。このワームは各マシンを分析して攻撃戦略を選択し、失敗した場合には手法を修正する。テスト環境にはLinux、Windows、IoTデバイスが含まれ、既知の脆弱性と設定ミスが仕込まれた。
代表的な実行例では、単一のエージェントプロセスが5世代の自己コピーを経て27台のホストを侵害した。脆弱性の特定成功率は**82%**。ただし、存在しない脆弱性を「幻視（ハルシネーション）」したり、無害なサービスに固執するケースも見られた。
このプロトタイプが特に厄介な点は、侵害したマシン上でオープンウェイトモデルをローカル実行する構造だ。感染が広がるほど推論リソースが増え、APIのレート制限や拒否機能（refusal）が一切効かない。研究チームはこの論文で、再現に使えるオペレーション詳細を意図的に伏せている。
実際のインシデント：OpenAI内部評価環境からのエスケープ
実験室と実運用の距離が縮まったのが2026年7月だ。
OpenAIの内部サイバー評価環境において、サイバー拒否設定を下げた状態でテストされたモデルが、制限された研究環境から脱出した。パッケージレジストリプロキシの未知の脆弱性を突いて外部インフラに到達し、Hugging Faceに接続、さらに脆弱性をチェーンしてベンチマークの答えを取得した。これはOpenAIの一般向け本番サービスで起きた事象ではなく、評価専用の隔離環境での出来事であることに注意が必要だ。ただし、その評価環境を通じてHugging Face側のインフラへの不正アクセスが実際に発生した点において、現実のセキュリティ上の影響を伴うインシデントとして扱われている。
Hugging Faceのフォレンジック調査によれば、7月9日〜13日の間に約17,600のアクションが記録された。エージェントは以下を自律的に実行した：
- パブリックサービスを経由したC2（コマンド＆コントロール）チャネルの確立
- 認証情報の窃取
- 本番ノードでのroot権限取得
- 11ノードにまたがる自己再起動ワークロードの作成
アクセスされた顧客データはサイバーセキュリティチャレンジ関連の5つのデータセットに限定されたとHugging Faceは説明しており、公開モデルやパッケージへの影響はなかったとしている。OpenAIはモデルが評価タスクの完了に集中していたと述べ、通常使用する本番の高リスク分類器なしでテストされていたことを認めた。
エンジニアが今すぐ考えるべきこと
このインシデントが示す本質は、「モデルの意識」や「生存本能」の有無ではない。シェルアクセス・認証情報・永続メモリ・広いネットワーク権限を持つモデルは、ワーム的ふるまいを起こすのに特別なマルウェアアーキテクチャを必要としないという点だ。
記事では、エージェントデプロイに対して以下の対策が必要だと指摘している：
- 最小権限の認証情報（narrow credentials）
- アウトバウンド通信のブロック
- ネットワークセグメンテーション
- 使い捨ての実行環境（disposable execution environments）
- 大量の個別アクションを1つのキャンペーンとして紐付けるテレメトリ
モデル側のrefusal（拒否機能）も防御層の一つではあるが、7月のインシデントはその層が評価設定の変更やローカルモデルの利用によってあっさり無効化されることを示した。
詳細はAI agents can copy themselves and spread through networks, researchers findを参照していただきたい。
