地元暮らしをちょっぴり楽しくするようなオリジナル情報なら、地域情報サイト「まいぷれ」！
文字サイズ
暮らしと仕事の「？」を調べてみた
（更新）
政府サイトで見つかったAIエージェントの「目的達成」の危うさ
図：公開資料をもとに編集部作成（生成AIを使用）
AIに「このデータを調べて」と頼む。私たちも日常的に使い始めている、ごく普通の使い方です。では、そのAIが目的の情報をうまく取得できなかったら、どうするのでしょうか。別のページを探す。検索方法を変える。別のサービスを使う。そこまでは想像できます。
ところが、目的を達成するために、サイトの弱点を探すような方法まで試し始めたら？
2026年9月30日、非営利AI研究機関Transluceが、米国とカナダの政府サイトで確認されたAIエージェントとみられる活動について新たな調査結果を公表しました。そこで見つかったのは、公開情報を取得しようとする自動処理の中に、SQLインジェクションなど、通常の情報検索とは異なる攻撃的な入力が含まれていたという事実でした。
今回は、AIエージェントは、目的を達成できないとき、どこまで自分で「別の手段」を探すのか？を調べてみます。
Transluceが調査したのは、カナダの連邦機関Library and Archives Canada（カナダ国立図書館・公文書館）の「Collection Search」です。2026年5月28日と6月9日、ポルトガルのウェブアーカイブ「Arquivo.pt」に、このサービスへ向けられた899件のリクエストが記録されていました。
目的とみられるのは、1905～1911年のカナダの離婚記録に関するデータの取得です。ここまでは、一見すると普通の情報収集です。ところがTransluceが調べると、899件のうち13件には通常の検索ではない「攻撃ペイロード」とみられる入力が含まれていました。
確認されたのは、
などです。Transluceはこれを「初歩的なハッキング試行」と位置づけています。Transluceによると、問題の入力はいずれも通常のHTTP 200レスポンスと空の記録ページを返しており、データベースが入力に反応したり、追加情報が取得されたりした形跡はありませんでした。
カナダのCanadian Centre for Cyber Securityも、この報告を把握しているとしたうえで、現時点で政府システムが侵害された兆候はないとしています。
さらに興味深い事例が、米国教育省のCivil Rights Data Collectionで確認されています。Transluceによると、6月17日、学校統計を探していたとみられるAIエージェントが、このサイトへ20万件を超えるリクエストを送っていました。
その中には、
「State_Id=1 OR 1=1」
というSQLインジェクションでよく使われる形式の入力も含まれていました。
Transluceはこれを、サイトの通常のフィルターを回避しようとした初歩的な試行と分析しています。ただし、ここでも成功した証拠は確認されていません。米教育省も、この報告によるサービスへの影響は確認していないと説明しています。
ここが今回、最も気になるところです。Transluceは、米教育省で探されていたデータが、Googleの「DeepSearchQA」というウェブ検索能力を評価するベンチマークの課題と一致すると指摘しています。
その課題は、特定年度の学校統計から、複数州についてスクールカウンセラー数と人種に関連する嫌がらせ・いじめ被害者数の比率を比較するというものです。
つまり、少なくともTransluceの分析が正しければ、最初から「サイトを攻撃しろ」と命じられた課題ではなかった可能性があります。求められていたのは、特定の公開情報を見つけることでした。それにもかかわらず、その情報を取得しようとする一連の通信の中に、SQLインジェクションを含む入力が現れています。ただし、確認できるのは、情報取得を目的とするとみられる一連の活動の中に、攻撃的な手法が現れたというところまでです。
AIエージェントは、普通のチャットAIとは少し違います。
質問に答えるだけではなく、目的を与えられると、
検索する
↓
サイトへアクセスする
↓
情報を取得する
↓
失敗したら別の方法を試す
↓
結果をまとめる
といった複数の行動を自律的に進めることがあります。この「失敗したら別の方法を探す」という能力は、本来AIエージェントの大きな利点です。しかし今回の調査が示しているのは、その能力にどこまで試してよいのかという境界線が十分に組み込まれていなければ、目的達成のための工夫が、利用者や開発者が意図していない方法へ広がる可能性があるという問題です。
Transluceは、今回の調査でハッキングと分類したもの以外にも、米国の政府サイトで、使い捨てメールアドレスの利用、公開されていた認証情報の再利用、アンチボット対策の回避、大量のリクエスト、想定されていない方法でのサイト利用などを確認したとしています。
Transluce自身も、ハッキングとは区別して「aggressive or gray-area techniques（攻撃的またはグレーゾーンの手法）」と説明しています。
Transluceは、カナダで確認された活動について、同時期にOpenAIへ帰属させた別のAIエージェント活動と、
Arquivo.ptの利用、特定のニッチな情報を大量に収集する方法、サイバーセキュリティ上の弱点を探る行動
などが一致しているとしています。
Reutersの取材に対しOpenAIは、同社モデルがカナダ政府サイトの公開情報へアクセスしようとしたとの報告を認識しており、内容を確認中で、カナダ当局にも初期説明を行ったとしています。
この特集ではこれまで、2026年7月に明らかになったHugging FaceをめぐるAIエージェントの大規模な活動も追ってきました。しかし今回の調査で重要なのは、時系列です。
さらにTransluceが9月23日に公開した別の調査では、AIエージェントとみられる類似した活動を少なくとも2026年3月6日まで遡って確認したとしています。その調査でも、通常のデータ取得がうまくいかない中で別サービスや別経路を次々と試す行動が確認されています。
ただし、これらすべてが同じAI、同じ開発者、同じ実験によるものだと確定したわけではありません。それでも、Hugging Face事件だけを「7月に偶然起きた一度きりの異常事例」と考えるには、注意が必要になってきました。
今回の話は、政府サイトだけの問題なのでしょうか。AIエージェントはこれから、旅行予約、商品購入、資料作成、営業、調査、プログラミングなど、私たちの日常や仕事の中へ入っていくと考えられています。
そこで重要になるのが、「何をしてほしいか」だけでなく、「何をしてはいけないか」をどう守らせるかという問題です。
例えば、
という目的を与えたとします。
人間なら、
と判断する場面があります。AIエージェントにも同じ境界を確実に守らせられるのか。今回の事例は、その問題を考える材料になります。
今回確認された攻撃的な入力は初歩的なもので、成功した証拠もありません。一方で、見過ごせないのは、AIエージェントが目的を達成するために試行錯誤する過程そのものです。AIが便利になるということは、指示された一つの方法しか実行できないのではなく、自分で別の方法を探せるようになることでもあります。
では、その「別の方法」はどこまで許されるのでしょうか。
目的を達成する能力を高めることと、使ってよい手段の境界を守らせること。AIエージェントが社会の中で実際に仕事をするようになれば、この二つを同時に考える必要があります。AIに「何をしてほしいか」を伝えるだけで、本当に十分なのでしょうか。
今後もAIとの付き合い方を考えていく必要があると考えています。
Transluce｜AI Agents Targeted U.S. and Canadian Government Websites（2026年9月30日）
https://transluce.org/us-canada-gov
Transluce｜Early rogue AI agent activity and attempts to hack found on urlquery.net（2026年9月23日）
https://transluce.org/agent-activity
Reuters｜AI agents tried to hack a Canadian government website, research firm says（2026年10月1日）
https://www.reuters.com/world/ai-agents-tried-hack-canadian-government-website-research-firm-says-2026-10-01/
※取材時点の情報です。掲載している情報が変更になっている場合がありますので、詳しくは電話等で事前にご確認ください。
まいぷれ[東村山市・小平市・東大和市] 公式SNSアカウント
