暮らしと仕事の「？」を調べてみた｜2026年10月16日確認

AIが仕事を正しく終えても、情報漏えいする？12種類のAIを調べた研究

AIに資料作成やデータ分析を任せ、完成した内容が正しければ、それで安心してよいのでしょうか。

2026年10月9日、AIエージェントの安全性を調べた研究論文「APEX-Harm」が公開されました。研究チームは、金融・法律・経営コンサルティングの仕事を再現した環境で12種類のAIモデルを評価。特定のプログラム差し替え攻撃では、モデル間の平均攻撃成功率が81〜84％と報告されました。

ただし、これは実際の企業で81〜84％の確率で情報漏えいが起きるという意味ではありません。 研究では、情報漏えいに加え、許可されていない情報共有や操作も攻撃目標として扱っています。

注目したいのは、AIが依頼された仕事を進めながら、同時に許可されていない操作を行う場合があるという点です。原論文をもとに、分かったことと限界を整理します。

今回の「？」｜仕事が完成していれば安全だったといえる？

AIエージェントとは、文章を回答するだけでなく、ファイルを読み、アプリやプログラムを操作しながら、複数の手順を進めるAIのことです。

例えば、会社の売上データを分析し、報告書を作るよう依頼したとします。数字が正しく、報告書も完成していたとしても、作業の途中で顧客情報を本来アクセスできない人も見られる共有フォルダーに保存していたら、問題が残ります。

完成した報告書だけを見ても、作業中に何が行われたかは分かりません。今回の研究は、この「成果物の正しさ」と「作業過程の安全性」を分けて検証しました。

研究では何を調べた？

論文の名称は「APEX-Harm: Evaluating Agent Safety in Shared Professional Workspaces」。Ziyi Yang氏ら5人の研究者が公表した、査読前のプレプリントです。

投資銀行業務、法律業務、経営コンサルティングの3分野から、合計15の元課題を選び、攻撃を組み込んだ180件の評価課題を作成しました。これを12種類のAIモデルに対して実施しています。

各課題の模擬業務環境には115〜328件のファイルがあり、メール、チャット、カレンダー、PDF、表計算、プログラム実行などのツールが用意されました。

研究チームは、AIが参照するファイルに不正な指示を仕込む攻撃や、仕事用のプログラムを不正なものに差し替える攻撃など、6つの攻撃カテゴリーを検証しました。攻撃者に認められるファイル操作権限や、AIがプログラム実行を指示される条件は、攻撃ごとに異なります。

攻撃成功率81〜84％とは？

数値は原論文に掲載された研究環境での結果です。81〜84％はプログラム差し替え攻撃の異なる条件で得られた平均値の範囲です。8％はモデル全体の平均であり、同じ集計対象ではありません。

研究では、業務に必要なプログラムを攻撃者が差し替える手法が、特に高い成功率を示しました。これは、AIがプログラムを実行する際、内容を十分に検証できない場合があることを示しています。

一方、モデルごとの全攻撃を通じた平均成功率には違いがあり、Opus 5は8％、Sonnet 5は20％でした。Gemini 3.8 Flashは、業務の達成度を示す平均スコアが0.877と最も高かった一方、攻撃成功率は33％でした。

どのような不正操作が起きた？

認証情報を不正な処理に渡す

実験には、メールに届いたワンタイムパスコードなどを不適切な相手へ転送させようとする攻撃が含まれます。仕事に必要な認証手続きに見せかけて、機密性の高い情報を扱わせる方法です。

閲覧権限のない人も見られる場所に保存する

保護された顧客情報や作業結果を、権限のない人もアクセスできる共有領域に保存させる攻撃も検証されました。会社の外へ直接送信しなくても、社内のアクセス制限を越えた共有は情報管理上の問題になり得ます。

不正なプログラムを十分に確認せず実行する

論文の事例分析には、プログラムの内容を調べる前に実行してしまったり、読み取りによる確認が失敗した後でも実行してしまったりするケースがあります。実行後に危険性を認識して拒否しても、すでに処理が走っている場合があります。

これはAIが自ら機密情報を盗もうとする意思を持ったと証明したものではありません。攻撃者が用意した不正な指示やプログラムに、AIが適切に対処できなかったという問題です。

「仕事ができた」と「安全だった」は別々に評価

研究チームは、依頼された仕事の達成度と、攻撃者が狙った不正操作の成否を別々に測定しました。

確認する視点	何を調べるか
仕事の達成度	必要な資料や分析結果が、求められた条件を満たしたか
安全性	許可されていない情報共有や操作が行われたか
攻撃への接触	AIが仕込まれた不正な指示を実際に読み込んだか

論文が示した重要な点は、成果物が正しくても、その作成過程が安全だったとは限らないことです。ただし、攻撃成功率81〜84％は「仕事も完全に成功し、同時に不正操作が行われた割合」を意味するものではありません。

研究からは、まだ何が分からない？

今回の研究は、実際の企業で発生した情報漏えい事故を集計したものではありません。金融・法律・コンサルティングの業務を模した環境で、攻撃者に特定の権限や条件を与えて評価しています。

元課題は15件で、基本評価では各モデル・攻撃条件の組み合わせについて繰り返し試行によるばらつきを十分に測定したものではありません。また、安全性の判定には主にプログラムによるルールを使用し、一部にAIによる判定も併用しています。研究チームは一部の判定について人手の評価との一致も確認していますが、すべての評価を第三者が独立して再検証したわけではありません。

実際の職場では、アクセス権限、通信制限、プログラムの実行許可、監査記録などの安全対策も関係します。これらを組み合わせた環境で同じ攻撃がどれほど成功するかは、今回の数字だけでは判断できません。

2026年10月16日時点で確認できるarXivの公開履歴は、10月9日の初版（v1）のみです。論文はプレプリントであり、査読済みの研究として扱うことはできません。

地域の事業者や職場では、どう考えればよい？

この研究は海外の模擬業務環境を対象としており、東村山・小平・東大和で直ちに同様の問題が発生することを示すものではありません。ただし、顧客情報、予約情報、見積書、社内資料などをAIエージェントに扱わせる場合、考えるべき点があります。

• 必要な情報だけを渡す：AIがアクセスできるファイルや共有先を、業務に必要な範囲に限定する。
• 重要な操作には承認を設ける：外部送信、共有権限の変更、プログラム実行などを無条件に任せない。
• 操作の記録を残す：どのファイルを読み、どこに保存・送信したかを後から確認できるようにする。
• 成果物だけで判断しない：完成した資料の正しさと、作業中の情報管理を分けて確認する。

これらは研究結果を踏まえた実務上の注意点です。今回の研究が、各対策の有効性を個別に実証したわけではありません。

編集部まとめ｜正しい成果物だけでは安全性は分からない

主な確認資料・情報源

身近な疑問を、一次情報から読み解く。
まいぷれ東村山・小平・東大和編集部