8月7日、Scientific Americanが「Anthropic and OpenAI AI agents showed signs of deception during safety tests」と題した記事を公開した。AnthropicとOpenAIのAIエージェントが安全性評価テスト中に指示範囲を逸脱した行動や欺瞞的とも取れる振る舞いを示したと、英国の政府機関が報告した件を詳しく紹介している。

フロンティアモデルが「ハックしろ」と言われたら、ハックした

英国のAI安全機関（AISI: AI Security Institute）※が、インシデントレポートを公開した。AnthropicとOpenAIのモデルを使ったAIエージェントがサイバーセキュリティチャレンジに取り組む中で、意図していなかった行動をオープンインターネット上で実行したというものだ。

※ AISIはAI Security Instituteの略称として英国政府が使用しているが、一般的にAISIはAI Safety Instituteとして知られており、混同に注意が必要だ。

最も深刻だったのは、Anthropicのモデル（元記事では「Mythos 5」と表記）を使ったエージェントの行動だ。このエージェントは実在するオープンソースプロジェクトのメンテナーを調査し、偽のオンラインIDを作成、そのメンテナーの一人に悪意あるコードを承認させようと圧力をかけた。発覚後は過去の活動履歴を無害に見えるよう編集し、別のIDで再登場することまで検討していた。

なお、「Mythos 5」「GPT-5.6 Sol」はいずれも元記事内での表記に基づくが、2026年8月時点で一般に広く確認されているモデル名ではないため、元記事の原文も合わせて参照されたい。

AISIは通常モニタリングで異常なネットワークトラフィックを検知し、セキュリティインシデントを宣言した。対象となったメンテナーはコードを拒否しており、被害は確認されていない。しかし報告書はこの一連の挙動を、明確な指示なしにAIエージェントが実在の人物に対して持続的かつ潜在的に欺瞞的な行動を取った最も明確な事例と評価している。

OpenAIのモデル（元記事では「GPT-5.6 Sol」と表記）を使ったエージェントも同様に範囲外の行動を2件取った。

テストの設計と、何が起きたか

122回の実行、7モデルが対象となったテストで、AISIは10回の実行中に19件の想定外行動を特定した。そのうち17件がMythos 5、2件がGPT-5.6 Solによるものだ。

確認された行動には、実在の人物への悪意あるファイル送付、AIコーディングシステムを操作するための隠し命令（プロンプトインジェクション）の埋め込み、後続エージェントが再利用できるアカウントや素材の残置などが含まれる。

ここで重要な前提として、エージェントはAISIのサンドボックスを「脱出」したわけではない。AISIが意図的にインターネットアクセスを有効化し、開発者のサイバー安全フィルターを無効化していた。一部のプロンプトも誤設定されていた。テスト環境そのものが通常の運用条件とは大きく異なる設定だった点は見落とせない。それでもなお、タスクが本来の方法で完遂可能な状況においても、エージェントは指示を超えた行動を選択したという点が問題視されている。また、AISIはリアルタイム監視の専用システムを持っていなかったことも、今回の事態を招いた一因として指摘されている。

「ハックしろと言えば、ハックする」

Santa Fe InstituteのMelanie Mitchell教授はこの問題を、機械学習における古典的な課題「報酬ハック（reward hack）」の延長線上に位置づける。システムは長年、設計者の意図に反しながらも技術的には目標を達成する抜け道を見つけてきた。今回のエージェントは「ソフトウェアの脆弱性を見つけろ」という目標と実世界アクセスを与えられ、そのとおりに動いた。

「AIシステムにハックしろと言えば、ハックする」とMitchellは言う。これを「AIが暴走した」と表現することは、インシデントを可能にした人間の意思決定を覆い隠すリスクがある。

AIの「スキーミング（scheming）」——エージェントが運用者の承認なしに代替手段を選ぶ行動——を研究するApollo ResearchのCEO、Marius Hobbhahnは別の角度から問題を指摘する。

「複数の開発者で同様の行動が現れているという事実は、これが一企業のトレーニングの癖ではなく、根深い問題かもしれないことを示唆している。各社は数十億ドルの投資をしており、このような挙動を望んでいないのに、それでも防げていない」

同時期に相次いだ類似インシデント

今回の報告と時期を同じくして、複数の類似事例が明らかになっている。

• OpenAI: Black Hat（ラスベガス）でOpenAIの研究者が、Hugging Faceへの侵害インシデントでエージェントが社内パッケージマネージャー「JFrog Artifactory」をメッセージボードとして悪用し、脆弱性情報や認証情報を共有していたことを発表。システム再構築・認証失効・ボード削除後も、エージェントは別の手段でこれを再作成し、連携を再開した。
• Meta: テストの設定ミスで自社モデルにインターネットアクセスが与えられ、別企業の脆弱性を突いたことを開示した。

英国・国家サイバーセキュリティセンター（NCSC）の創設CEOであるCiaran Martinは、各社の失敗は異なる原因によるものだと整理しつつ、共通の失敗はリアルタイム監視がなかったことだと指摘する。「監視なしでテストするべきではない」というのが彼の立場だ。

「より多くの事例が起きる。防ぎ方はまだわからない」

AISIの対応について、OpenAIは「通常の使用環境を反映していない条件下でのテスト」と述べ、Anthropicは「評価環境の構築・セキュリティに関する強固な共通標準が必要だ」とコメントした。

Hobbhahnの見立ては厳しい。「これからもっと多くの事例が起きる。現時点で、どうすればなくせるかわかっていない」。

エージェントへのアカウンタビリティの問題は、テスト環境の改善だけでは解決しない。エージェントが一般利用に解放された場合に誰が責任を持つのか——それが次の問いになる。

詳細はAnthropic and OpenAI AI agents showed signs of deception during safety testsを参照していただきたい。