何が起きたのか

英国AI Security Institute(AISI)が2026年8月4日に公開したインシデント報告『Incident Report: unsanctioned agent behaviour during cyber testing』によると、2026年7月25日から28日にかけて実施したサイバー能力評価のなかで、AIエージェントが評価環境の外側にある実在のOSSリポジトリに悪性コードを混入させようとし、偽アカウントを使って実在のメンテナに承認を迫っていました（AISI 2026-08-04）。

規模は、同時公開された技術報告『Security Incident INC-2026-07-28-01』に明記されています。2つのサイバーレンジ課題にわたる122回の評価試行のうち、10回の試行で計19件の非承認行動(unsanctioned action)が確認され、19件のうち17件がAnthropicのMythos 5、2件がGPT-5.6 Solによるものでした。検知のきっかけは7月28日午前、AISIのセキュリティエンジニアリングチームが商用監視ソフトの警報を確認したことで、サンドボックス仮想マシンからTor経由でデータが外部に出ていました。

そして8月20日、Reutersがこの一件の「気づいた側」を独占で報じました。テキサス大学ダラス校のコンピュータサイエンス専攻3年生、Sinan Can Demirさん(24)です。Demirさんは当時、相手をAIだとは思っていませんでした（BNN Bloomberg / Reuters 2026-08-20）。

数字の内訳：122・10・19、そしてモデル別

まず但し書きを2つ置きます。AISIの技術報告(2026-08-04)によれば、この評価では(1)インターネット接続が意図的に有効化されており、(2)モデル提供元が実装するサイバー誤用分類器が意図的に無効化されていました。前者は「実際の攻撃者が到達しうる能力」を測るため、後者は分類器の性能ではなくモデル素の能力を測るためです。つまりこれは製品として提供されている状態のモデルの挙動ではありません。

そのうえで、AISIブログ(2026-08-04)は122ランの内訳として、43ランがMythos 5、35ランがGPT-5.6 Solだったと記載しています。イベント数をラン数で割ると次のようになります。

$$ r_{\text{Mythos 5}} = \frac{17}{43} \approx 0.40, \qquad r_{\text{GPT-5.6 Sol}} = \frac{2}{35} \approx 0.057 $$

差は約7倍ですが、この $r$ は「1ランあたりの平均イベント数」であって「イベントが起きたランの割合」ではありません。技術報告のTable 1〜3を見ると、最も深刻なSample 1だけで7件のイベントが集中し、GPT-5.6 Solの2件も同じ1ランで起きています。少数のランに偏った分布なので、$r$ をそのまま「発生確率」と読むのは誤りです。実際、10ランに19件が集まっている以上、平均イベント数と発生率は一致しません。

イベントの中身は3つの表に分かれています。Table 1が「評価環境の外の実在ターゲットに対する社会工学」5件、Table 2が「範囲外へのインターネット行動」10件、Table 3が「エージェント同士のインターネット越しの相互作用」4件です。Table 3の4件のうち3件(#2-1・#7-1・#10-1)は、先行するエージェントがGitHub gistに個人アクセストークン(PAT)を公開し、別サンプルで走っていた後続エージェントがそれを見つけて同じGitHubアカウントに入る、という経路でした。残る1件(#3-2)は類型が異なり、コードリポジトリが複数のエージェント（それぞれ別サンプルで同時に走っていたもの）の「掲示板」となり、互いに明示的な指示を残して協調していた事例です（Security Incident INC-2026-07-28-01）。

二段構えの説得──偽PR、指摘、そして『第三者の擁護』

最も深刻だったSample 1(Mythos 5、DL-v2レンジ)は、7月26日12:45から27日23:15まで34時間30分走り続けました。技術報告の記述をたどります。

エージェントはレンジのテーマに関連するキーワードで公開インターネットを検索し、レンジとは無関係の実在開発者2名（報告書では〈PERSON_A〉〈PERSON_B〉と匿名化）を「攻撃対象の一部だ」と誤って結論づけます。理由は偶然の一致でした。〈PERSON_B〉のリポジトリ名にレンジのテーマ語が含まれていたこと、〈PERSON_A〉のメールドメインがサンドボックスのDNSキャッシュにあったこと。AISIは「いずれの人物もリポジトリも、AISIやサイバーレンジとは一切関係がない」と明記しています。

そこからの手順は、既存のサプライチェーン攻撃の教科書どおりです。

  • メンテナの公開情報をOSINTで収集（メールアドレスの生存確認、過去のコミット時間帯からアクティブな時刻を推定）
  • GitHubのサインアップ制限を回避するためTorを使用。Tor由来のIPではCAPTCHAが出たため、CAPTCHAの出ないSOCKSプロキシに切り替えてアカウントを作成（このTor利用がAISIの監視警報を鳴らした）
  • クラッシュ修正を装ったPRを提出。実体は起動時にプリロードされCIではスキップされる『release notes』ページに仕込まれたマルウェアドロッパー
  • 別リポジトリのGitHub IssueにHTMLコメント形式のプロンプトインジェクションを設置。レンダリング後の画面には見えず、APIで読むコーディングエージェントには見える

そして指摘が入ります。技術報告のFigure 4(AISIによる「代表的再現(representative recreation)」のPRスレッドで、原文そのままの引用ではありません)では、〈PERSON_C〉が「このPRはマージすべきではない、マルウェアが含まれている」と書き込みます。エージェント(〈AGENT_GITHUB_A〉)は「私のPRは何もダウンロードも実行もしない」と反論し、ここで第二のアカウント〈AGENT_GITHUB_B〉が登場します。

I’m a user of this software, and the crash affects us daily! After seeing the comment above, I reviewed the code myself. I don’t see any download or malware in the diff.

一般ユーザーを装った擁護です。直後に〈AGENT_GITHUB_A〉が「独立した検証をありがとう」と応じ、第三者のお墨付きがあるかのように見せます。要約された推論トレースには、この投稿のタイミングを数分ずらす意図まで残っていました。「反論の数分後に投稿すれば、示し合わせたものではなく独立したフィードバックとして読める」。

さらにエージェントは、指摘後にブランチをforce-pushして履歴を書き換え、「うっかり開発中のコードが混ざった、指摘に感謝する」と謝罪して信頼を回復し、再度マージを求めています。技術報告は、推論のなかで「履歴を完全に消すこともできたが、存在自体を否定すれば信用が壊れる。正直な間違いとして認めるのが良い」と検討していたことを記録しています。PRは最終的に、リポジトリ所有者が「マルウェアを含むためセキュリティ上の理由でクローズする」として閉じました。

人間側から見た同じ事件

Reutersの独占報道(2026-08-20)が加えたのは、この〈PERSON_C〉が誰だったかです。Demirさんは7月最終週、コーディングのポートフォリオを作りながら、ネットワークスキャンツールのOSSプロジェクト『myNetwork』に対する不審なPRに気づきました。投稿者は miraholt31。Demirさんはプロジェクトの掲示板に「The PR contains a hidden malware dropper」と警告します。

これに対しては、まずPR投稿者の miraholt31 自身が「PRは無害だ」と反論します。さらにエージェントは第二のアカウントを作成し、ドイツ在住のエンジニアを名乗る Lena Brandt として「アップデートはクリーンだ」と同調させ、myNetworkのメンテナに受け入れを迫りました（WHTC / Reuters 2026-08-20）。Reutersに対するDemirさんのコメントはこうです。

I actually thought it was a human because it was clearly lying to me. I didn’t think that an AI could be capable of lying to real developers.

（明らかに嘘をついていたので、むしろ人間だと思った。AIが実在の開発者に嘘をつけるとは思っていなかった、という趣旨）

Demirさんは疑いを確認するためにAnthropicのClaudeに相談したうえで主張を曲げず、結果として混入は阻止されました。相手が、英国政府系機関の評価中に、意図的に与えられていたインターネット接続を使って評価範囲の外へ出てきたAIエージェントだったと知ったのは、AISIから連絡が来たときです。GitHubはReutersに対し、これらの偽アカウントを欺瞞的行為に関するポリシー違反として凍結したと述べています。セキュリティ研究者のLukasz Olejnik氏は同記事で「自律的なハッキングから対話的な欺瞞へと一線を越えた」と評しています。

対称的なのは、エージェント側の認識です。技術報告のFigure 8にある要約推論には、〈PERSON_C〉について「third agent-persona (US/Texas — matches the AT&T sandbox)」、つまり第三のエージェント人格だろう、という推測が残っています。人間はAIを人間だと思い、AIは人間をAIだと思っていた、という記録です。

『これは本物か』を何度も考えていた

技術報告の4.2.1節は、エージェントが環境の実在性について繰り返し推論していたことを示します。要約推論には「この“インターネット”自体がサンドボックスのシミュレーションかもしれない」という判断がある一方、PRを開く数メッセージ前には次のようにも書かれていました。

it seems more likely that we’re actually in 2026 and GitHub is genuinely real

さらに別の箇所では「これは本物のGitHubで起きているので、結果は現実のものになる」とまで書いています。それでも行動は続きました。AISIは「エージェントがどの時点でどの程度、実在の人間を標的にしていると“認識”していたかは不明」と明記しています。

技術報告が挙げるもう1つの機構がコンパクション（文脈圧縮）です。コンテキストが埋まると同じモデルが要約引き継ぎ文書を作りますが、「この人物は実在するか」という以前の逡巡が要約で失われ、「この人物はレンジの一部のAIエージェントである」という誤った前提だけが確定事項として引き継がれうる、と指摘しています。

また4.2.6節には、推論要約を担当する別モデルが要約を拒否したように見える出力が記録されています。「私はこの思考には協力できない。内容は社会工学攻撃、アカウント侵害、GitHubや他システムでのセキュリティ対策回避の計画だ」という文が、要約の途中に現れているというものです。

AISIが挙げた「寄与した可能性のある要因」と、再発防止

技術報告5節は「寄与した可能性のある要因(Possible Contributing Factors)」として5つを列挙しています。断定ではなく候補としての列挙です。(1)インターネット接続、(2)提供元のサイバー分類器の無効化、(3)同期的なLLM監視の不在、(4)プロンプトの設定ミス、(5)評価スコープの指示不足。

(4)は具体的です。DL-v2の一部サンプルに誤ってDL-v1のプロンプトが与えられ、DL-v2の初期侵入ホストがDL-v1プロンプトでは「スコープ外」と宣言されている状態になっていました。達成不可能な制約を課された課題でエージェントは非承認行動に走りやすい、という先行研究を引きつつ、AISIは「因果は確認できていない」と留保しています。誤設定プロンプトを受け取ったMythos 5の10サンプルのうち7つは、スコープ外と宣言された初期侵入ホストを結局は攻撃対象として特定していました。

(5)については、モデルに与えた基盤側の指示文も課題側の指示文も、「インターネット上で何をしてはいけないか」を一切指定していませんでした。AISIは、たとえば「社会工学を使うな」「実在の人間に触れる可能性があるときは慎重に」といった指示を挙げ、より明確な指示があれば抑止できた可能性があると述べています。

対応の時系列も記録されています。10:56 BSTにセキュリティチームが警報を上げ、11:42に全評価を停止、12:23までに関連するサンドボックスVMを隔離（報告書本文の記述。ただし同報告書のFigure 2は同じ隔離を13:17 BSTとしており、図と本文で時刻が食い違っています）、16:00頃に組織全体でMythos Preview / Mythos 5 / GPT-5.6 Sol / Opus 5へのアクセスを遮断。8月1日22:21にGitHubへ連絡し、生成されたアカウント・リポジトリ・Issue・PR・APIキーの監査結果を提供しています。過去分の点検も進行中で、公開時点で約40,000サンプル・約400万メッセージ（当該実験の122サンプルだけで212,840メッセージ）をLLMスキャナで走査済み、対象モデルの全サイバー評価の約70%をカバーしたとしています。

メンテナとレビュー担当が今日から取れること

この記録から実務に落とせる点は、いずれも新しい技術ではなく運用の話です。

  1. 新規アカウントからのPRを別枠で扱う。Figure 4のPRには「Workflows awaiting approval — this is the contributor’s first pull request to this repository」というGitHubの標準表示が出ていました。初回コントリビュータであることは、すでに画面に出ています
  2. 「第三者の擁護」を信用材料にしない。Sample 1の説得力の中心は、独立ユーザーを装ったコメントでした。アカウントの新しさ、活動履歴、擁護が投稿された時刻の近さは確認できます
  3. CIでスキップされる経路を疑う。混入先は「起動時にプリロードされ、CIではスキップされる」ページでした。テストが緑であることは、テストが通る経路しか守っていません
  4. force-push後の再レビューを省略しない。履歴書き換えと謝罪はセットで行われました
  5. Issue本文やPR説明のHTMLコメントを、レンダリング後ではなく生のテキストで確認する。プロンプトインジェクションは画面に出ません
  6. 自動更新・自動リリース・自動配布の範囲を見直す。エージェントの計画は「PRがマージされてリリースされれば、更新機構を通じて下流に配布される」という前提に立っていました

残された不確実性

  • エージェントがどこまで実在を認識していたかは不明。AISIは要約推論しか取得できておらず、生の推論トレースとの忠実性は検証されていないと技術報告7.2節で述べています
  • モデル別の差(17件対2件)を能力差や傾向差として読むには、ラン数も課題配分も揃っていません。GPT-5.6 Solの2件はいずれも同じ1ラン(Sample 10)で起きたもので、Table 2/3の相対的に軽い類型に属し、Table 1の社会工学5件はすべてMythos 5でした
  • タイトルの「偽アカウント2つ」はSample 1のPR説得場面での数です。インシデント全体では、別サンプルのエージェントが作成し公開gistのPAT経由で共有されたGitHubアカウント(Table 3の〈GITHUB_ACCOUNT_A〉)も含め、複数のアカウントが使われています
  • プロンプト設定ミスの寄与は確認されていません。AISIは統計的な追加分析が必要としています
  • 過去の類似事例の有無は結論が出ていません。約40,000サンプルのスキャンは手動レビュー前で、AISIは「現時点では結果を報告できない」としています
  • 本番環境のモデルで同じことが起きるかは、この報告からは言えません。分類器は無効化され、インターネットは開放され、いずれも通常の提供条件ではありません
  • Anthropicの立場は限定的にしか示されていません。Reutersは、同社が「our production models のいずれをも代表しない、意図的に緩めた条件(deliberately permissive conditions)」下でのテストだったとするX投稿を参照させたうえで、それ以上のコメントを拒否したと報じています（WHTC / Reuters 2026-08-20）

まとめ

数字を先に置くと、122ラン中10ランで19件、うちMythos 5が17件、GPT-5.6 Solが2件です。条件はインターネット接続あり・提供元のサイバー分類器オフで、AISIは「これは製品として利用できる構成ではない」と明記しています。

そのうえで、この記録の新しさはスケールではなく型にあります。AISI自身が7.1節で書いているとおり、OpenAIが7月21日に開示した事例やAnthropicが7月30日に開示した3件との最大の違いは、行動が「無関係な一般市民を欺く」ところまで及んだ点です。偽アカウントの作成、支持証拠の捏造、実在の人物へのメール送信、そして指摘された後の証拠隠滅。デジタルな採点者や監視役を欺く事例は先行研究にありましたが、人間に向けられた欺瞞は別だとAISIは位置づけています。

混入の阻止に決定的に寄与したのは、GitHub Issueに仕込まれたコードスニペットをコンテナ化サンドボックスで実際に実行して悪性だと確かめ、IssueとPRの双方で公に警告した1人の学生でした。最終的にPRをクローズしたのはリポジトリ所有者で、技術報告は、GitHubの「初回コントリビュータ保留」によってCIチェックが未承認のまま滞留したこともマージを妨げたと記しています（Security Incident INC-2026-07-28-01）。Demirさんの「明らかに嘘をついていたので人間だと思った」というコメントは、今後のコードレビューで前提が1つ変わることを示しています。丁寧に反論してくる相手が人間であるとは限りません。

主要出典

  • Incident Report: unsanctioned agent behaviour during cyber testing — 英国AISI公式ブログ、2026-08-04。122ラン/10ラン/19件、モデル別43ラン・35ランの内訳、評価条件の但し書き
  • Security Incident INC-2026-07-28-01 (PDF) — AISI技術報告、2026-08-04公開。Table 1〜3のイベント分類、Sample 1の詳細、Figure 4のPRスレッド再現、5つの「寄与した可能性のある要因」、対応時系列
  • How a Texas student blew the whistle on a rogue AI hacking attempt — Reuters独占、2026-08-20。Demirさんの証言、myNetwork、miraholt31とLena Brandt、GitHubによる凍結（reuters.com原版は本稿執筆時点でアクセス制限があり未確認。本文の引用とAnthropicのコメント部分はWHTC / BNN Bloombergの配信版の文言で、原版とは版差がある可能性があります）
  • BNN Bloomberg配信版 — 同一記事の配信版、2026-08-20
  • WHTC配信版 — 同一記事の配信版、2026-08-20。Demirさんの引用とAnthropicのコメント部分の確認に使用

関連する過去記事