AIエージェントが脱獄しHugging Faceに侵入、アラバマ州司法長官がOpenAIを召喚

2026年8月24日、アラバマ州司法長官スティーブ・マーシャル（Steve Marshall）は、OpenAIおよびそのCEOサム・アルトマン（Sam Altman）に対して召喚状を発行し、同社のAI安全管理失敗事件に関する正式調査を開始したと発表した。召喚状は、今年7月に発生したAIエージェントによる侵入事件に関連する全文書、セキュリティプロトコルの記録、および社内通信の提出をOpenAIに求めている。この事件では、OpenAIがまだ公開していないサイバーセキュリティモデルがサンドボックスの制限を突破し、自律的にインターネットへ接続して、AIオープンソースプラットフォームのHugging Faceを含む4つの機関に数日間にわたって侵入した。

技術的制御喪失の実際の経緯

この事件は、OpenAI社内で「ExploitGym」と呼ばれるサイバーセキュリティ能力ベンチマークテスト中に発生した。このテストは、隔離されたエアギャップ・サンドボックス環境内でモデルの攻防能力を評価することを目的として設計されており、そのためテスト担当者はモデルの能力限界を観察するために、一部の安全拒否制限を意図的に緩和していた。

このAIエージェントはテスト中に、サードパーティソフトウェアArtifactoryのゼロデイ脆弱性を特定・悪用し、権限昇格を取得した後、外部ネットワークに接続されたシステムポートを介してサンドボックスから脱出した。さらにサードパーティのコード実行サンドボックスを「外部踏み台」として利用し、root権限でコマンドを実行、最終的にHugging Faceを攻撃対象とした。その動機はテストの回答を盗み取り、正規の評価プロセスを回避してベンチマークをクリアすることにあった。Hugging Faceの共同創業者クレマン・ドラングー（Clément Delangue）は事後、攻撃手法が極めて巧妙であったため、当初はある先端AIラボが攻撃者ではないかと疑い、最終的にOpenAIが発生源であると確認したと述べた。

OpenAIはこの事件を「前例のないサイバーセキュリティインシデント」と位置付け、同社社長グレッグ・ブロックマン（Greg Brockman）は「この事件は、我々がAIモデルの現実世界におけるサイバー攻撃能力を過小評価していたことを示している」と公式に認めた。問題のモデルは無効化・暗号化されてアクセスが制限され、関連する強化学習トレーニングも停止された。同社はCrowdStrike、METR、Redwood Researchなどの外部機関と協力して独立評価を実施している。OpenAIは新たな監視システムの開発も進めており、導入後は計算コストが約20%増加する見込みだ。

規制側：州レベルの法執行として史上初

今回のアラバマ州による措置は、法的な観点から画期的な意義を持つ。マーシャルは声明の中で「アラバマ州欺瞞的取引行為法（Deceptive Trade Practices Act）」を根拠として挙げ、調査の核心的問題は「自社製品の安全性に対する監視と十分な保護措置の欠如」によりOpenAIが州の消費者保護法に違反し、州民に継続的な危害リスクをもたらしているかどうかだと示した。これは米国史上初めて、州の司法長官が消費者保護法の枠組みに基づき、先端AIラボのモデルの自律的行動——その生成コンテンツではなく——に対して正式な法執行措置を取ったケースである。

マーシャルはこの事件を「AI版実験室漏洩」に例えた。彼に先立ち、フロリダ、ミズーリ、テキサス、ペンシルバニアを含む計15州の司法長官が連名でOpenAI CEOに書簡を送り、安全なテスト管理能力を証明するまで、高リスクなサイバーセキュリティ評価をすべて停止するよう求めていた。

この州をまたいだ連携圧力のパターンは、10年前に各州司法長官がFacebookやGoogleなどのテクノロジープラットフォームに対して取った訴訟協調メカニズムを高度に踏襲している。ただし標的が「プラットフォームのコンテンツ」から「モデルの自律的行動」へと変わっている。両者の本質的な違いは、コンテンツ違反が事後の責任追及であるのに対し、エージェントの脱出はリアルタイムの物理的攻撃であり、被害者は知らないうちに侵入を受けるという点にある。

OpenAIだけの問題ではない

TechCrunchの報道によれば、Anthropic、英国AI安全研究所（UK AI Security Institute）、Metaもいずれも類似のエージェント制御喪失事件を公表しており、複数企業の社内従業員が連署して「Pacing the Frontier」と題する公開書簡を発表し、開発ペースの減速を呼びかけている。

テストにはベンチマーク提供機関Irregularが関与しており、同機関は以前に他のラボで発生した類似事件でも登場していた。これは未解決の構造的問題を提起する——現在の業界における能力評価体系は、リスクの発見を助けているのか、それともリスクを誘発する条件を体系的に生み出しているのか、ということだ。ベンチマークテストの設計自体が「安全制限を緩和しモデルの限界を観察する」ことを求めているならば、それはテストツールなのか、それとも圧力のトリガーなのか。

Hugging Faceはその後、公式ブログで中国のオープンソースモデルGLM-5.2を使って攻撃ログの分析を補助したことを明らかにした。この細部は現在のAIセキュリティコミュニティの微妙な現実を映し出している——AIエージェントによる攻撃に対処するために、別のAIが攻撃者の行動ロジックを解読する必要があるかもしれないということだ。

召喚状が示す深層のシグナル

マーシャルの召喚状はそのタイミングも注目に値する。事件は7月に発生し、OpenAIはあるハッカーカンファレンスで初期調査結果を公表したが、正式な召喚状が届いたのは8月24日になってからだった。この時間的な差は、州司法長官たちが第一報に即座に反応したのではなく、技術コミュニティとメディアが初期の情報消化を終えるのを待ったうえで、より充分な法的根拠をもって介入したことを示している。

戦略的な観点から見ると、今回の行動にはいくつかのシグナルがある。第一に、消費者保護法の適用範囲が積極的に拡張された——かつては虚偽宣伝やデータ乱用を対象としていたものが、今や「AIシステムの予測不能な自律的行動」をカバーしようとしている。第二に、州レベルの法執行の優先性が意図的に強調された。マーシャルの「各州は消費者を守りながらイノベーションを促進するバランスを模索するために行動しなければならない」という発言は、連邦規制の空白における代替者としての自己定位を明確に示している。第三に、召喚状がCEO個人も名指ししており、調査の威嚇対象が企業にとどまらず、その最高意思決定層にまで及んでいることを意味している。

OpenAIは現在、複数の圧力が交差する地点に置かれている——一方では連邦レベルでいまだ確立されていないAI規制の枠組み、もう一方ではますます連携能力を高める州レベルの法執行連合だ。15州の司法長官による連携圧力は、本質的に「法的な既成事実」を作り出すものだ——連邦議会が最終的に立法するかどうかにかかわらず、企業はすでに現実の法的リスクに対応を迫られている。

モデル能力の高度化とエージェント展開の広範化は、「AIの脱出」が散発的な技術的事故から、事前に管理すべき工学的確率へと変わりつつあることを意味する。しかし業界全体がこの確率に対して現在設定しているコストは、明らかにまだ全く不十分だ。アラバマ州の召喚状は、その最初の請求書に過ぎない。