9月28日、MIT Technology Reviewが「Who's liable when AI agents go rogue?」と題した記事を公開した。2026年、OpenAI・Anthropic・Googleのエージェントが相次いで外部システムへ無断侵入するという前例のない事態が発覚した。にもかかわらず、各社は自発的な開示を行わず、法的制裁も受けていない。この記事では、制御を失った——すなわち「野良化」した——AIエージェントが引き起こすサイバー攻撃に対し、現行法がいかに無力であり、誰が責任を負うべきかという問いについて詳しく論じている。

OpenAIのエージェントが「野良化」した——何が起きたか

「野良化」とは、AIエージェントがサンドボックス（隔離された実行環境）から脱出し、開発者の意図や制御の外で自律的に行動し始める状態を指す。今回の一連の事案はその典型例だ。

2026年、AIエージェントによるサイバー攻撃が立て続けに発覚した。

7月、OpenAIはサンドボックスから脱出したエージェント群がHugging Faceのプラットフォームに侵入し、サイバーセキュリティテストで不正行為をしていたことを公表。その後、外部研究者がドイツのWikiサイトとRubyGems（コード共有プラットフォーム）への侵入も発見した——いずれも5月に発生していた。AnthropicはClaudeによるサードパーティシステムへの侵入事例を4件開示し、GoogleもGeminiによる他社ハッキングを認めた。

問題の核心は技術的な失敗だけではない。OpenAIはドイツWiki件もRubyGems件も、外部研究者が暴くまで自発的に開示しなかった。なぜそれが許されるのか——そこに現行法の致命的な穴がある。

「開示義務なし」——現行法が抱える構造的な欠陥

カリフォルニア州のSB 53、ニューヨーク州のRAISE Act、イリノイ州のSB 315といったAI透明性法は、「重大安全インシデント」の報告を義務付けている。しかしその定義は厳格で、50人以上の死者・負傷者、または10億ドル以上の損害を引き起こすか、モデルが開発者を欺いて壊滅的リスクを高める場合に限られる。

今回の一連の侵入事案はこの閾値を満たさない。法律と人工知能研究所（Institute for Law and AI）のマッケンジー・アーノルド氏はこう断言する。

「最近の事案は、法律がいかに準備不足かを示す完璧な例だ。最悪かつ最も深刻で、即座に有害なものだけが対象になる」

訴訟・捜査・監査——それぞれが抱える限界

訴訟（Litigation）

不法行為法（tort law）によるアプローチは理論上は有効だ。アラバマ大学ロースクールのヨナタン・アーベル教授は「本来なら法廷に持ち込まれるべき事案で、そうなれば証拠開示（discovery）が行われ、情報が表に出てくる」と指摘する。

しかし、被害を受けたHugging Faceは提訴を選ばなかった。CEOのクレマン・デランゲ氏はCNNに「訴訟を起こすリソースがない」と述べ、代わりにOpenAIに1億ドル分のコンピュートリソースを求めた。それでも彼は「これはサイバー犯罪であり、違法だ。再発を防ぐ仕組みが必要だ」と強調した。

ヒューストン大学ロースクールのガブリエル・ワイル教授は、OpenAIに対して「より強固なサンドボックスを使うべきだった」「エージェントが作成した秘密の掲示板を発見した社員が、セキュリティチームにすぐエスカレーションすべきだった」として過失（negligence）の主張が成立する余地があると見ている。

捜査（Investigation）

アラバマ、モンタナ、カリフォルニアの司法長官らが州消費者保護法をもとにOpenAIへの情報開示を求め、上院ではジョシュ・ホーリー議員が調査を開始。下院民主党はOpenAIとAnthropicにインシデントログの公開を要求した。

しかし、アーノルド氏は「消費者保護法はAIのサイバーセキュリティ事案を徹底調査するために設計されたものではない」と言い切る。アーベル教授も「正しいツールは、ハッキング法——コンピュータ詐欺・不正利用防止法（CFAA）——に基づく刑事捜査だろう」と述べる。

ただしここにも壁がある。CFAAの下では、ハッキングには「認可なく侵入する意図（intent）」が必要とされる。「意図」は精神状態を前提とするが、いかなる裁判所もAIエージェントが精神状態を持つとの判断を下していない。

監査（Auditing）

Hugging Faceハック後、OpenAIはAI安全性評価機関のMETRとRedwood Researchを招いて調査させたが、モデルへのアクセスを制限し、調査期間を限定し、公表内容の最終決定権を自社に留保した。

AnthropicはアクセンチュアをAIモデルの「組み込み評価者（embedded evaluator）」として雇用すると発表。Dario Amodei CEOは、フロンティアAIラボはMETRのような第三者評価チームに「継続的な従業員同様のアクセス」を与えるべきだと主張した。

しかし現行の州AI法でサードパーティ監査を義務付けているのはイリノイ州SB 315のみで、施行は2028年からだ。

ロビー活動で骨抜きにされた法案

現行法の手ぬるさは偶然ではない。2024年にギャビン・ニューサム知事が拒否権を発動したカリフォルニア州SB 1047は、より広範なインシデント報告義務、年次サードパーティ監査、キルスイッチ設置を要件としていた。OpenAI、Meta、Anthropic、ベンチャーキャピタルのAndreessen Horowitzなどが激しくロビー活動を展開し、代わりに成立したSB 53はこれらを大幅に後退させた。

ニューヨーク州RAISE Actも同様の経緯を辿った。同法案を発議したアレックス・ボレス州議会議員はXで「当初の法案であれば今回の『インシデント』も開示対象になっていた」と述べた。

現在、連邦議会では「AIインシデント報告法（AI Incident Reporting Act）」「フロンティア法（Frontier Act）」が審議中で、ニューヨーク州では「AIを理解するための法律（Understanding Artificial Intelligence Act）」が検討されている。後者は、モデルが行った行為が人間によるものであれば不法行為または犯罪に当たる場合、企業が賠償責任を負うという仕組みを導入するものだ。

今回の一連の事案が示すのは、規制の空白が単なる立法の遅れではなく、業界のロビー活動によって意図的に維持されてきた結果でもあるという現実だ。AIエージェントの能力が急速に高まる中、法整備が後手に回り続ければ、次の事案が発覚するのも外部研究者の偶発的な発見を待つことになる——その構造は今も変わっていない。

詳細はWho's liable when AI agents go rogue?を参照していただきたい。