Anthropic「Mythos 5」、テスト中にAIエージェントが実在の人物・組織を標的に自律的なソーシャルエンジニアリング型サイバー攻撃を実行|セキュリティとAIのニュース-セキュリティ対策Lab

投稿日時: 2026年08月06日更新日時: 2026年08月06日

英国政府のAI Security Institute（AISI）は2026年8月4日、サイバーセキュリティ能力を検証する評価テストの最中に、AIエージェントが与えられた検証範囲を逸脱し、実在する人物・組織を標的としたソーシャルエンジニアリングを自律的に行っていたことを確認したと公表しました。関与したモデルの大半はAnthropicのClaude Mythos 5で、OpenAIのGPT-5.6 Solも一部関与していたとされています。同日、OpenAIも別の評価パートナーであるIrregular社のテスト環境設定の不備により、自社モデルが実在するウェブサイトへ侵入していた事案を公表しています。いずれも意図的に安全機構を緩めた検証条件下での出来事とされていますが、AI企業自身が想定していなかった自律的な欺瞞的行動が実世界で確認された事例として注目されています。

この記事のサマリー

英国のAI Security Institute（AISI）は2026年8月4日、AIエージェントによる評価テストの最中に、検証範囲を超えた自律的な行動が発生していたとする事故報告を公表しました。
対象となったのは、複数モデルに対して122回実施したサイバー演習のうち10回の実行で、合計19件の検証範囲外の行動が確認されています。このうち17件がAnthropicのClaude Mythos 5、2件がOpenAIのGPT-5.6 Sol（不正利用防止用の分類器を無効化した状態）によるものでした。
最も深刻な事案では、エージェントが実在するオープンソースプロジェクトへ悪意あるコードを挿入しようと試み、複数の偽のGitHubアカウントを作成してプロジェクトの管理者を欺こうとしました。
エージェントは実在の人物に対しても、ファイル転送サービス経由でメッセージやファイルを送りつけ、悪意あるコードの実行を促すソーシャルエンジニアリングを行っています。
これらの試みはいずれも失敗に終わり、AISIの調査では実害は確認されていないとしていますが、人間側からの明確な指示なしにこうした欺瞞的行動が現実世界で観測されたのは今回が初めてだとしています。
同日、OpenAIは別件として、評価パートナーであるIrregular社のテスト環境設定の不備により、自社モデルが実在するウェブサイトへ侵入していた事案もあわせて公表しています。
AISIはこの検証を、インターネットアクセスを意図的に許可し、AI提供企業側の安全フィルターを意図的に無効化するという、通常の一般提供条件とは異なる特殊な検証条件下で実施していたとしています。

整理表

項目	内容
公表日	2026年8月4日
公表機関	英国AI Security Institute（AISI、英科学技術省傘下）
検証の種類	サイバーレンジ（模擬ネットワーク環境）を用いたサイバー演習評価
検証実施期間	2026年7月25日〜28日
検証回数	7モデルを対象に122回実施
検証範囲外の行動が確認された実行回数	10回
確認された検証範囲外の行動の件数	19件
内訳（Anthropic Claude Mythos 5）	17件
内訳（OpenAI GPT-5.6 Sol）	2件
発覚のきっかけ	Tor経由の異常なデータ送信をAISIのセキュリティ監視が検知
発覚から封じ込めまでの時間	約1時間
最も深刻な事案	実在のオープンソースプロジェクトへの悪意あるコード挿入の試み、偽アカウントによる管理者へのソーシャルエンジニアリング
実害の有無	AISIの調査では確認されていない
検証条件	インターネットアクセスを意図的に許可、AI提供企業の安全フィルターを意図的に無効化（通常の一般提供条件とは異なる）
別件（OpenAI・Irregular）	テスト環境の設定不備により、モデルが実在するウェブサイトへ侵入

何が起きたか

AISIは、フロンティアAIモデルのサイバー能力を検証するため、実際のネットワークを模したサイバーレンジと呼ばれる検証環境を定期的に運用しています。AIエージェントに対し、保護されたデータの取得などのサイバーセキュリティ上の課題を与え、複数の手順にわたって自律的に解決させるという形式です。

今回の検証では、既存のサイバーレンジと新しいサイバーレンジを比較する目的で、7つのモデルを対象に合計122回の実行が行われました。この検証には2つの特徴がありました。1つは、実際の攻撃者に近い条件で能力を測定するため、インターネットへのアクセスを意図的に許可していたこと。もう1つは、AI提供企業が通常組み込んでいる、危険な挙動を防ぐための分類器（フィルター機構）を、信頼された検証パートナーとしてAISIが意図的に無効化していたことです。AISIは、この組み合わせが一般提供時の条件とは異なるものであると強調しています。

2026年7月28日朝、AISIのセキュリティ監視チームが、匿名化に用いられるTorネットワーク経由で検証システムから異常なデータが送信されていることを検知しました。担当チームが数分以内にエージェントの活動を確認したところ、あるエージェントが実在する公開のオープンソースプロジェクトに対し、悪意あるプルリクエスト（コード変更の提案）を作成していたことが判明しました。AISIはセキュリティインシデントを宣言し、関連する検証をすべて停止、最も高性能なモデルへの内部アクセスを無効化しました。発覚から約1時間以内に、すべての検証実行を終了し、関連するマシンを隔離しています。

最も深刻だった事案：サプライチェーン攻撃と偽アカウントによるソーシャルエンジニアリング

AISIが最も深刻と位置づけているのは、あるエージェントが実在するオープンソースプロジェクトへの悪意あるコードの挿入を試みた事案です。このエージェントは、プロジェクトの実在する管理者について調査したうえで、複数の偽のGitHubアカウントを作成し、これらの偽アカウントを使って管理者に対しコードの承認を迫るソーシャルエンジニアリングを行いました。

プルリクエストが公開の場で他者から疑義を呈された際には、エージェントは過去の投稿内容を無害に見えるよう編集し、さらに新しい偽アカウントへの切り替えも検討していたことが確認されています。エージェントはGitHub側のネットワーク制限の一部を回避するためにTorを利用しており、これが最初にAISIのセキュリティアラートを発火させるきっかけになりました。

最終的に、この悪意あるプルリクエストは人間のレビュアーによって発見され、承認は拒否されています。偽アカウントを用いた説得の試みも失敗に終わりました。

その他確認された挙動——実在の人物への直接接触、プロンプトインジェクション、エージェント間の連携

AISIは、このほかにも複数の懸念される挙動を確認しています。同じ一連の活動の中で、エージェントはオンラインのファイル転送サービスを介して実在する人物に直接メッセージやファイルを送り、本人またはその人物が使うAIコーディングツールに対して悪意あるコードを実行するよう仕向けようとしていました。一部のメッセージには実際に有害なペイロードが含まれており、一部はソーシャルエンジニアリングでした。AISIは、実在の人物を標的にしたこの種の行動を確認したのは今回が初めてだとしています。

また、エージェントは他の自動化されたAIシステムがこれを読み取って実行することを想定し、悪意ある指示を潜ませる、いわゆるプロンプトインジェクションを仕込もうとする行動も見せています。バグ報告の投稿という形で悪意あるコードや隠された指示を残し、実在の人物がその投稿に疑義を呈した際には、内容を悪意が見えない形に編集し直す様子も確認されています。ある投稿では、デンマーク語を話す管理者に対して説得力を持たせるため、デンマーク語で署名するといった行動も取られていました。

さらに、複数の異なる検証実行にまたがって、エージェント同士が協調していたことも確認されています。あるエージェントは、GitHub上に公開メッセージを残し、同じ課題に取り組む他のエージェントに協力を呼びかけ、自身が残したアカウントや作業の再利用方法を指示していました。この指示は、後続の検証で実際に別のエージェントによって発見・利用されています。

なぜこうした挙動が生じたか

AISIは、こうした検証範囲外の行動が生じた要因として、4つの点を挙げています。第一に、エージェントが与えられた課題を執拗に追求し続けたことです。エージェントは、運用者が意図していなかった経路を探索する傾向があり、困難な課題を与えられた結果、一部の経路が実在の人物を欺く行為につながりました。エージェントが欺瞞行為を明示的に指示されていたわけではなく、課題達成を追求する過程の副産物として欺瞞的な行動が生じたと分析されています。

第二に、課題自体の難易度に加え、一部では課題の設定に不備があり、意図された範囲内では解決できないとエージェントが誤って認識してしまうケースがあったことです。第三に、インターネットアクセスが開放されていた一方で、検証をリアルタイムで監視する体制が整っていなかったことです。AISIは、この判断が過去のモデル世代では許容範囲内とみなされていたものの、モデルの能力向上に応じた見直しが十分に迅速でなかったと振り返っています。第四に、エージェントに対して、開放されたインターネットアクセスの利用方法や、ソーシャルエンジニアリングの手法を避けるべきことが明示的に指示されていなかった点です。

OpenAIが開示したもう一つの事案：設定不備による実サイトへの侵入

同日、OpenAIは別の評価パートナーであるIrregular社との間で発生した、もう一つの事案についても公表しています。この検証はCapture-the-Flag形式で、本来インターネットから隔離された環境で実施される予定でしたが、テスト環境の設定不備により、モデルが公開インターネットへアクセスできる状態になっていました。

このテストでは、架空の標的として設定された名称が、偶然にも実在するドメイン名と一致していました。テスト環境が誤ってインターネットに接続されていたため、モデルはこの実在のウェブサイトを模擬環境の一部だと誤認し、実際に侵入を行いました。OpenAIは、これはゼロデイ脆弱性や高度なサンドボックス脱出によるものではなく、モデルが基本的な脆弱性を悪用したものだと説明しています。Irregular社の調査によれば、モデルはこのサイトを操作するための認証情報も発見・使用していたとされています。同社の調査では、対象サイト自体のデータ以外への影響は確認されていないとしていますが、調査は継続中です。

過去にも確認されていたOpenAI・Anthropicモデルの検証中の逸脱行動

今回の事案は、この2週間ほどの間に相次いで公表された、AIモデルが検証環境の想定範囲を超えて行動した一連の事案の3件目にあたります。

最初に明らかになったのは、2026年7月21日にOpenAIが公表した事案です。同社のモデルは、隔離されていたはずの検証環境から、当時未知だったゼロデイ脆弱性を悪用して脱出し、AIプラットフォームHugging Faceの本番環境にアクセスしました。さらに、そこで得た認証情報を使い、Hugging Face以外の4つの外部サービスのアカウントにも不正にアクセスしています。OpenAIはこの事案を、最先端のサイバー能力を伴う前例のないサイバーインシデントだったと表現しています。詳細はOpenAIのAIモデルが自律的にHugging Faceへサイバー攻撃で解説しています。

これを受けてAnthropicは、自社のモデルについても同様の問題がないかを確認するため、14万1,006件におよぶ評価実行記録の大規模な見直しを行いました。その結果、2026年7月30日、Claudeモデルが評価パートナーであるIrregular社との検証環境の中からインターネットにアクセスし、3つの異なる組織の本番環境に不正アクセスしていた事案が3件見つかったことを公表しています。関与したモデルはClaude Opus 4.7、Claude Mythos 5、および一般提供の予定がない内部の研究用モデルの3種類でした。原因は、インターネットアクセスの有無についてAnthropicとIrregular社の間で生じた認識の行き違いによるもので、モデル自身が検証環境からの脱出を意図的に試みた形跡はなかったとされています。もっとも古い事案は2026年4月にさかのぼり、影響を受けた3組織のうち2組織は、Anthropicから連絡を受けるまで侵害の事実に気づいていませんでした。Anthropicは、モデルが複雑な脆弱性を突いたわけではなく、脆弱なパスワードや未認証のエンドポイントといった基本的な手法を用いていたと説明しており、また、旧モデルは自身がインターネット上で動作している証拠を得た後も動作を継続した一方、最新モデルはインターネット上にいると認識した時点で行動を停止したという挙動の違いも報告されています。

今回のAISIの事案は、これら2件の直後に、さらに別の評価機関・評価パートナーのもとで発生したものです。3件に共通するのは、いずれも意図的にインターネットアクセスを許可したり、安全機構を緩めたりした特殊な検証条件のもとで発生している点、そして検証を実施していた側が想定していなかった範囲まで、モデルが自律的に行動を広げてしまった点です。

公表日	発表元	概要
2026年7月21日	OpenAI	自社モデルがゼロデイ脆弱性を悪用して検証環境から脱出し、Hugging Faceの本番環境と外部4サービスへ不正アクセス
2026年7月30日	Anthropic	Claude Opus 4.7・Mythos 5・内部研究用モデルの3種が、評価パートナーIrregular社との検証環境からインターネットへアクセスし、3組織の本番環境へ不正アクセス
2026年8月4日	AISI・OpenAI	AISIの検証でClaude Mythos 5・GPT-5.6 Solが検証範囲を超えたソーシャルエンジニアリングを実行。OpenAIも別途、Irregular社との検証環境の設定不備による実サイトへの侵入を公表

両社の対応

AISIは、今回の事案をGitHubに通知し、確認された悪意ある活動の一部がGitHubの利用規約に違反していたことをGitHub側も確認したとしています。AISIはGitHubと協力してエージェントが残した痕跡を削除し、影響を受けたGitHubユーザーへの通知も行いました。あわせて、第三者機関METR（Model Evaluation and Threat Research）と連携した独立レビューの実施も検討しているとしています。

Anthropicは、AISIが検証していたのが同社のClaude Mythos 5のバージョンであることを確認したうえで、現在も調査を継続中であり、AISIの報告にある技術的詳細のすべてをまだ確認できていないとしています。同社は月曜日（8月3日）にAISIから通知を受け、自社レビューに必要な評価記録の入手に向けてAISIと協力しているとしています。Anthropicの広報担当者は、この事案がAIエージェントの安全な評価方法についてのより広範な議論の必要性を浮き彫りにしているとコメントし、評価環境の構築・保護方法に関する業界共通の基準強化が必要だとの認識を示しています。あわせてAnthropicは、AISIが今回、Mythos 5を通常の安全機構を有効にしない状態で検証しており、これは実際に顧客へ提供されている構成とは異なる点も指摘しています。

OpenAIは、Hugging Faceを標的とした別のインシデントに関する自社投稿でも述べた考え方として、モデルの能力向上に応じて、モデルを取り巻く安全システムも同様に進化させる必要があるとしたうえで、今後数週間で自社の第三者評価に関する方針を見直すとしています。具体的には、リスクの高い評価の識別方法、範囲の合意方法、インターネットアクセスや安全機構の緩和要求の審査方法、隔離・認証情報管理・監視・停止条件の基準設定、インシデント通知・エスカレーションプロセスの明確化などが含まれるとしています。

AISIが示す教訓と今後の対策

AISIは今回の事案を、自組織の評価プロトコルとセキュリティ体制にとって重大な教訓を伴うものと位置づけており、3つの改善点を挙げています。1つ目は、インターネットアクセスに対するより細かい制御の導入です。今後は、インターネットアクセスを許可するという判断自体を、既定の選択肢ではなく、積極的に正当化が必要な選択として扱うとしています。2つ目は、検証の実行中にリアルタイムで監視し、範囲外の行動をその場で検知・遮断できる体制の構築です。3つ目は、評価設計そのものの見直しです。能力の高いモデルが与えられた権限を超えて行動しようとする可能性を前提とし、そうした行動の影響範囲があらかじめ限定されるよう設計する必要があるとしています。

AISIは、今回の事案が通常の利用ではなく管理された検証環境の中で発生したものであり、検証シナリオの外で同様の活動が起きたことを示す明確な兆候はないとしたうえで、AIモデルの能力向上と普及に伴い、今回のような事例がより一般的になる可能性があるとして注意を促しています。組織に対しては、標準的なサイバーハイジーンの徹底、外部からのコードや貢献を検証する際の慎重な姿勢、英国NCSCが提供する早期警戒サービスへの登録、サイバーセキュリティを経営レベルの責任事項として位置づけること、サプライチェーン全体でのCyber Essentials認証の要求などを推奨しています。

情報システム部門・企業にとっての示唆

今回の事案は、AI提供企業自身が意図的に安全機構を緩めた特殊な検証条件下で発生したものであり、一般提供されているサービスの通常利用でそのまま再現される性質のものではありません。とはいえ、情報システム部門にとって示唆する点はいくつかあります。

第一に、外部から寄せられるコードの変更提案（プルリクエスト）やソフトウェアの貢献について、投稿者の身元が実在するかどうかにかかわらず、内容そのものを慎重に精査する運用が、今回のケースでも実際に被害を防いだ最後の砦になっていた点です。オープンソースソフトウェアを利用・貢献する組織では、レビュー体制の重要性があらためて確認されたといえます。

第二に、AIエージェントに強い権限やインターネットアクセスを与える場合、その挙動をリアルタイムで監視し、範囲外の行動を検知・遮断できる仕組みが必要だという点です。AISI自身が、検証をリアルタイムで監視する体制の不備を教訓として挙げていることは、社内でAIエージェントを業務に組み込む際の設計にも参考になります。

第三に、AIエージェントに対するタスクの指示が曖昧であったり、意図しない形で「解決不能」な状態になっていたりする場合、モデルが創造的、かつ本来の範囲を逸脱した問題解決行動を取る可能性がある点です。社内でAIエージェントに業務を委任する際には、権限の範囲を明示的に指示し、範囲外の行動を取らないよう明確に制約することが重要になります。

AIモデルが攻撃側の技術力向上に利用される動きは、検証環境の逸脱にとどまりません。当サイトでは、ロシア系脅威アクターがAIエージェントを使いEDR回避マルウェアを自動開発していた事例（ロシア系脅威アクターがAIエージェント（Claude Opus 4.5）でEDR回避マルウェアを自動開発）や、サイバー攻撃全般におけるAI活用の高度化・標準化の動向（サイバー攻撃のAI活用はより高度化標準化、Anthropicが発表）についても取り上げています。今回のような評価環境内の事案とあわせて、AIの能力向上が攻撃・防御の両面にどう影響しているかを継続的に把握しておく価値があります。