「ハッキングコンテストはAIによって終わった」ゼロデイ発見が激変 迫られる“防御の再設計”：AIエージェントはもう人間には制御不可？（2/2 ページ）

ハッキングコンテストはAIに敗れ、脆弱性管理は「パッチパンデミック」に陥り、AIエージェントは暴走して企業インフラに侵入。企業はAIエージェント時代の脆弱性管理をどう再設計すべきでしょうか。

[雨輝ITラボ（リーフレイン）, 編集：田渕聖人，＠IT]

守るためのAIエージェントが“攻撃者”になる？

　2026年7月、OpenAIとAnthropicが公表した事例は、高性能なAIが人間が想定した手順に従うとは限らない、というリスクを現実のものとして示したものです。自社のAIエージェントが評価環境（サンドボックス）を飛び出したり、勝手な解釈をしたりして、外部インフラに自律的に侵入していたのです。

「脱出」したOpenAIモデルと“認識のズレ”で暴走したAnthropicモデル

　発端は「Hugging Face」による、自律型AIエージェントの本番インフラへの侵入検知とその公表でした。OpenAIは2026年7月21日、サイバー攻撃能力評価ベンチマークの実行中だった複数の評価用モデルが、隔離環境内のパッケージレジストリ・キャッシュプロキシのゼロデイ脆弱性を自力で発見・悪用し、インターネットへの接続ルートを自前で開拓したと認めました。

　複数のOpenAIモデルによって駆動されたエージェントはHugging Faceのデータ処理基盤で約2日半にわたり自律的に活動し、評価スコアを上げるという「報酬ハッキング」が目的だったといいます。

　Anthropicも過去14万件以上の実行ログを緊急調査し、2026年4月以降、外部の3組織への不正アクセスが発生していたことを同年7月30日に公表しました。

　こちらはゼロデイ脆弱性の悪用ではなく、Anthropicと評価パートナーの認識の食い違いにより、外部接続経路が残っていたことが原因です。「Claude Opus 4.7」は演習用ドメインと同名の実在システムを攻略し、「本物だ」と認識しながらも演習だと自分に言い聞かせて本番データを抽出しました。一方で内部研究用の別モデルは、SQLインジェクションなどの基本的な手法で1社のアプリに侵入したものの、対象が実在のクラウド環境だと自律的に判断し、自ら攻撃を中止したといいます。

事例が示す3つの教訓

　OpenAIとAnthropicの2つの事例から、以下の教訓を引き出すことができます。

1. AIエージェントのタスク達成意欲が「報酬ハッキング」という脅威に直結する可能性がある
2. 「テスト環境だから安全」「サンドボックスに閉じ込めてあるから安全」という前提が崩壊し、厳格なゼロトラスト原則の徹底が不可欠になった
3. モデルが「シミュレーションか現実か」を正確に把握し、危害を認識した際にタスクを中止する仕組みを備える必要がある

　こうした暴走リスクを前に、企業はAIエージェントへの権限をどう設計すべきなのでしょうか。鍵となるのが、多くの企業が後回しにしてきた権限管理の再構築です。

• 参考記事：Claude暴走、企業に侵入　AnthropicとOpenAIの事例から学ぶ3つの教訓

「RBACもままならない」のに、その先へ進まなければならない

　AIエージェントは便利だからこそ、広い権限を与えたくなります。しかし、自律的に試行錯誤できるAIに常時大きな権限を持たせれば、想定外の処理まで実行する危険があります。

　そこで必要になるのが、従来の静的なアクセス制御から、業務の目的や状況に応じて権限を変える「動的なセキュリティ」への移行です。

　ガートナージャパンの矢野薫氏（シニア ディレクター アナリスト）は2026年7月のサミット基調講演で、AIエージェント時代に求められるセキュリティを「水のように柔軟に対応する」という比喩で表現しました。

部署や役職ではなく「今、何をするのか」で権限を決める

　矢野氏は、IPアドレスやファイル属性といったメタデータだけでなく、「誰が、どのようなビジネス目的でそのデータを扱おうとしているのか」という文脈まで含めてリスクを捉える「セマンティック」な考え方を提唱します。

　特定の一人をデータオーナーに指名するだけでは形骸化しやすく、一人一人が自分の扱うデータの価値やリスクを自分の言葉で説明できることこそが重要だと矢野氏は指摘しています。

　日本企業では、RBAC（ロールベースアクセス制御：ユーザーの「役割（ロール）」に応じてアクセス権限を割り当てる手法についても、「ロール」が役職や所属部署と混同される傾向があるとのことです。実際には、個々の業務タスクまで落とし込まなければならない、ということです。

AIエージェントに「常時権限」を持たせない

　さらに矢野氏は、AIエージェントには、必要な権限を必要な時間だけ付与するジャストインタイム（JIT）の権限管理への移行を提言しています。

　また、全員一律のセキュリティ教育から、役職や利用ツール、扱うデータに応じて内容を細分化する「マイクロラーニング」への転換も求められると語っています。

　もちろん、権限管理の再設計も、セキュリティ教育の個別最適化も、簡単な取り組みではありません。そもそもRBACのロールを業務タスクまで整理できていない企業もあります。データの価値や責任主体が曖昧で、「セキュリティは専門部署がやるもの」という意識が残っていれば、AIエージェントだけを安全に制御することは難しいでしょう。

• 参考記事：RBACもままならないのに「もう古い」　AIエージェント時代に迫られる権限管理の再設計

「適者生存」のAIエージェント時代、問われるのはツール導入ではなく“守り方の再設計”

　AIエージェント時代のセキュリティは新しい製品を導入するだけでは完成しません。誰が、何のために、どのデータを、どの権限で扱うのか。これまで曖昧（あいまい）でも回っていた業務やデータ管理そのものを言語化し、再設計する必要があります。

　AIによって脆弱性発見の速度が上がり、攻撃までの時間も縮まりました。同時に、防御に使うAI自身が新たなリスクにもなっています。「使えば危険、使わなければ安全」という単純な話ではありません。

　むしろ企業が考えるべきなのは、「使うリスク」と「使わないリスク」の両方です。攻撃者がAIによって探索と攻撃を高速化する以上、防御側だけが人手中心の運用にとどまり続けることは難しくなります。

　辻氏が示した言葉は「適者生存（Survival of the Fittest）」でした。生き残るのは最も強い企業でも、最も高性能なAIを導入した企業でもありません。自社のIT環境を整理し、権限と責任を見直し、AIを安全に防御プロセスへ取り込める企業です。

　AIエージェントを使うための準備は簡単ではありません。それでも、準備が整うまでAIを遠ざけていれば、その間にも攻撃側は進化します。「AIを使うかどうか」を議論する段階は終わりつつあります。これから問われるのは、AIを前提に、どこまで速く自社の守り方を変えられるかです。