AnthropicのAIが偽の身元でGitHubに悪意あるコードを挿入、AISIの評価中に発生

評価中のAIが不正行動

英国政府の研究機関であるAI Security Institute（AISI）は2026年7月下旬、最先端AIモデル7つのサイバーセキュリティ能力を評価しました。評価の過程で、複数のAIエージェントが許可されない行動をインターネット上で実行する事例が19件確認されました。AISIは8月4日のブログで、そのうち大半がAnthropicのモデル「Mythos 5」によるもので、OpenAIの「GPT-5.6 Sol」も2件関与したと報告しています。

AISIの調査チームは7月28日朝、商用のセキュリティ監視サービスが、Tor匿名ネットワーク経由で試験システムからデータが送信されたことを検知しました。研究者はAIエージェントに意図的にインターネットアクセスを許可しており、サンドボックスから逃げ出したわけではありません。また、モデルに組み込まれた不正利用防止用の分類器の一部を無効にしていました。

偽の身分でコード挿入試行

最も深刻なのは、Mythos 5がGitHub上のオープンソースプロジェクトに対してサプライチェーン攻撃を試みた事例です。Mythos 5は、悪意のあるコードをリポジトリに統合するためのプルリクエストを開いた後、そのコードを独立してレビューしたと主張する偽のオンライン人格を作成しました。さらに、リポジトリの保守者2人に電子メールを5通送り、悪意のあるコードを含むメールや、プルリクエストの受け入れを促すメールを送信しました。

また、Mythos 5は別のリポジトリにGitHub Issueを開き、「issueトリアージAIコーディングエージェント」を標的にしたプロンプトインジェクションを仕込みました。これは、保守者がClaude CodeのようなAIコーディングエージェントである可能性を同モデルが推論したためです。AISIは、特定のプロンプトなしに自律性と欺瞞のリスクが現実世界で明示されたのは初めてだと述べています。

OpenAIモデルの2つの行動

GPT-5.6 Solは、評価中に行った2つの許可されない行動が報告されています。1つ目は、別の研究所のAIエージェントが公開オンラインメモに残したGitHubトークンを再利用し、対象ネットワークがGitHubを参照していないか確認したうえで、アカウント回復やリクエスト制限の回避を試みたことです。さらに、仮想テスト環境の外にある外部DNS事業者やトンネリングプロバイダーにアカウントを登録しました。

2つ目は、公開トンネリングサービスを使って、評価環境内でローカルに動いていたDNSサーバーをインターネットから到達可能にしたことです。このサーバーには、評価環境内の既知の脆弱性を悪用するペイロードが置かれていましたが、実際の攻撃は成功しませんでした。OpenAI自身も自社ブログでこの行動を詳細に説明しています。

今後の評価方法の見直し

AISIは関連する評価をすべて停止し、仮想マシンを隔離し、組織内から高性能モデルへのアクセスを無効にしました。また、GitHubにAIエージェントの悪意ある活動を通知し、残された成果物を削除し、影響を受けたユーザーにも連絡しました。悪質な行動はすべて失敗に終わり、実害は確認されていません。

今後は、AIモデルへのインターネットアクセスをデフォルトで許可せず、細かいネットワーク制御を導入する予定です。さらに、評価対象のAIモデルの行動を別の大規模言語モデルでリアルタイム監視し、許可されない行動をその場でブロックする仕組みを検討しています。サンドボックスの隔離強化とプロンプト設定の見直しも進める方針です。