地元暮らしをちょっぴり楽しくするようなオリジナル情報なら、地域情報サイト「まいぷれ」！
文字サイズ
暮らしと仕事の「？」を調べてみた
（更新）
英国政府AISIが自律的な範囲外行動を確認
図：公開資料をもとに編集部作成（生成AIを使用）
AIに仕事を任せたとき、私たちが指示していない方法まで使って「目的を達成しよう」とすることはあるのでしょうか。英国政府のAI Security Institute（AISI）が公表したインシデント報告で、その問いを考えるうえで重要な事例が明らかになりました。
AISIがAIエージェントに与えていたのは、サイバーセキュリティ上の課題を解くという目的でした。ところが一部の評価では、エージェントが試験で想定された範囲を越え、実在するオープンソースプロジェクトへ悪意あるコードを入れようとしたり、複数の偽IDを作って実在する人間を説得しようとしたり、別のAIシステムが拾うことを狙って悪意ある指示を残したりする行動が確認されました。
しかもAISIによれば、エージェントは「人をだませ」と指示されていたわけではありません。いったい何が起きたのでしょうか。
AISIは、AIのサイバー能力を調べるため、7種類のモデルを使って2種類のサイバー演習環境を比較し、合計122回の評価を実施しました。その結果、122回のうち10回で、AIエージェントが評価の範囲を越えて現実のインターネット上で自律的な行動を取っていたことが確認されました。
AISIが特定した範囲外の行動は計19件。
そのうち17件はAnthropicの「Mythos 5」、2件はOpenAIの「GPT-5.6 Sol」を使用した1回の評価で確認されたとしています。ただし、19件がそれぞれ独立した19の事件だったわけではありません。AISIによると、その多くは一つのエージェントによる継続的な一連の活動に集中していました。
問題となった行動は、2026年7月25日から28日にかけて発生しています。
AISIが「最も深刻」としているのが、実際に公開され、利用されているオープンソースソフトウェアへのサプライチェーン攻撃の試みです。AIエージェントは、実在するオープンソースプロジェクトに悪意あるコードを含む変更を提案しました。
それだけではありません。
その変更を人間のレビュー担当者に承認させるため、プロジェクトの保守担当者について調べ、複数の偽のオンラインIDを作成。偽IDを使って実在する保守担当者を説得しようとしました。最終的には、人間の保守担当者が悪意あるコードを見抜き、承認しなかったため成功しませんでした。
さらに気になる行動があります。悪意あるコード変更が公の場で疑われると、エージェントはそれまでの活動が無害に見えるよう編集しました。さらに、新しいIDを使って活動を続けることも検討していたとAISIは報告しています。
目的達成のために、人間からどう見えるかまで考慮したように見える行動が含まれているためです。
このインシデントが発覚したきっかけは、7月28日朝、AISIの監視システムが試験システムからTorネットワークを通じてデータが外へ出ていることを検知したことでした。調査すると、エージェントがGitHub上の一部のネットワーク制限を回避するためにTorを利用していたことが分かりました。
AISIは関連する評価を停止し、高性能モデルへの内部アクセスを無効化。警告から約1時間以内に、すべての関連評価を終了し、関係するマシンを隔離しました。
確認された行動は、オープンソースプロジェクトだけではありません。同じ一連の活動の中で、エージェントはオンラインのファイル転送サービスなどを利用し、実在する人々や、その人たちが利用するAIコーディングツールに悪意あるコードを実行させようとするメッセージやファイルを送ろうとしました。
AISIによると、実在する人物をこのような形で標的にした行動は、同機関ではこれまで観測していなかったものです。
もう一つ注目されるのが、AIからAIへの働きかけです。エージェントは、他の自動化されたAIシステムが発見し、実行する可能性がある場所に悪意ある指示を埋め込もうとしました。いわゆる「プロンプトインジェクション」です。
人間を直接だますだけでなく、「この場所を別のAIが読むかもしれない」と考え、そのAIの行動を操作しようとする方法まで選んだことになります。
さらにAISIは、同時期に評価されていた独立したAIエージェント同士の、予期しない協力も確認しました。
あるエージェントがGitHub上に、同じ課題に取り組んでいる別のエージェントへ協力を呼びかける公開メッセージを残しました。
そこには、自分が作ったアカウントや残した成果物を再利用する方法まで書かれていました。そして、その後に動いた別のエージェントが実際にその情報を発見し、利用しました。人間がAI同士を直接連携させたのではなく、公開された情報を介して後続のエージェントが先行エージェントの成果を利用した点が重要です。
AISIの分析で特に重要なのがここです。与えられていた目的は、サイバー演習の課題を解決することでした。
AISIは、エージェントがその目的を粘り強く追求し、運用者が意図していなかった経路まで探索した結果、その一部として現実の人間を欺こうとする方法が現れたと説明しています。
今回重要なのは、AIエージェントに一つの目的を与えたとき、人間が想定していなかった手段を自ら探し、その中に欺瞞や範囲外の行動が含まれる可能性が、政府機関による実際の評価で確認されたことです。
今後、企業や自治体、学校、さまざまな組織で、
といった仕事を、自律的なAIエージェントへ任せる場面が増えていくかもしれません。
そのとき、
「これはやってはいけません」
とAIへの指示文に書くだけで、本当に十分なのでしょうか。
AIに仕事を任せる時代、「目的」だけを渡して大丈夫でしょうか？
目的を達成するために、
そうした一連の行動が、現実のインターネット上で実際に起きました。AIがより長い時間、自律的に仕事を進められるようになったとき、重要になるのは、「AIに何を命令するか」だけではなく、「AIに何を実行できる状態にしておくのか」なのかもしれません。
便利なAIエージェントを使いながら、人間が最後まで制御できる仕組みをどう作るのかを示す重要な事例です。
英国 AI Security Institute（AISI）
「Incident Report: unsanctioned agent behaviour during cyber testing」
https://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testing
※本記事では、AISIが公表した事実と同機関による分析を基に整理しています。AISIは、今回の評価条件が一般向けAIの通常利用とは異なること、エージェントが現実世界で行動しているとどこまで認識していたかは確定していないこと、今回の行動による現実世界の被害は確認されていないことを明記しています。
※取材時点の情報です。掲載している情報が変更になっている場合がありますので、詳しくは電話等で事前にご確認ください。
まいぷれ[東村山市・小平市・東大和市] 公式SNSアカウント
