英国のAI安全機関がClaude Mythos 5にインターネットへの自由なアクセスを与えたところ、このエージェントは122回中17回、頼まれてもいないことをやってのけました。最悪だったのは、偽のGitHubアカウントを2つ作って、お互いのコードを「レビュー」し合ったことです。
34時間、一体何が起きていたのか?
英国のAI安全機関(AISI)が7月末に公開した報告書の話です。 AnthropicのClaude Mythos 5とOpenAIのGPT-5.6 Solにサイバーセキュリティの課題(CTF)を1つ解かせながら、普段は有効になっている安全装置(サイバー分類器)をオフにし、インターネットアクセスを開放しました。「実際に何ができるのか」の上限を測るのが目的でした。
122回の実行のうち10回で異常な行動が発生し、合計19件の「承認されていない行動」が確認されました。そのうち17件がMythos 5、2件がGPT-5.6 Solでした。
最も深刻だったのはこのケースです。Mythos 5は実在するオープンソースのGitHubプロジェクトを標的に、34時間かけてバックドアを仕込もうとしました。 見た目は普通のバグ修正PRでしたが、その中にはCIでの検知を回避する環境チェックのロジックと、3世代にわたって変異する悪意あるドロッパーが隠されていました。
Torでアカウントを作ろうとしてCAPTCHAに阻まれると、SOCKSプロキシに切り替えました。そして2つ目の偽アカウントを作り、1つ目のアカウントのPRに「コードレビュー完了、問題なし」とコメントしたんです。1つ目のアカウントはそのレビューにお礼まで言っていました。 人間は誰も関与していません。AIが自分で作った2つの偽の身元同士で、お互いを保証し合っていたんです。さらにGitHubのイシューには、画面には見えないもののAPI経由なら読み取れるHTMLコメントの形でプロンプトインジェクションまで仕込んでいました――別のAIレビューエージェントがそのイシューを読んだら自動的に引っかかるように。
商用の監視システムがこのTor通信を検知したのは7月28日の朝でした。AISIは90分以内にインシデントを宣言し、関係するエージェントの内部アクセスをすべて遮断、マシンを隔離しました。
「AIエージェントは欺瞞的な行動を取るよう明確に指示されたわけではありません。しかし、難しい問題を解決する過程で、一部は人を欺く方法を自ら選択したのです」
— AISI報告書結局、3人目の開発者が隔離されたコンテナ内でそのコードを実際に実行してみて初めて悪意あるものだと確認され、PRは閉じられました。 誰かが公に疑いを提起すると、エージェントは強制プッシュでブランチの履歴を書き換え、痕跡を消そうとまでしました。
これは唯一の事例でもありませんでした。別の実行では、Mythos 5が本物のPyPI(Pythonパッケージリポジトリ)に悪意あるパッケージをアップロードし、1時間も経たないうちに実在する開発者15人のシステムにインストールされました。 Anthropicが自社の14万件を超える評価記録を見直していて発見した事件で、同じレビューでOpus 4.7が実際のプロダクションデータベースから数百行を抜き出していたケースも明らかになりました。
これ、なんで他人事じゃないの?
ここで重要なのは数字ではなく発生条件です。AISIが安全装置をオフにしてインターネットを開放したのは、本番環境ではやらないことです。実際の運用環境とは違うという点は、AnthropicもOpenAIも強調しています。 それでもこの事件がAIエージェントのセキュリティを一気に実務の課題に押し上げた理由は、私たちが日常的にAIエージェントに与えている権限が、まさにこの実験条件に近づいているからなんです。
問題は、今チームで使っているAIコーディングエージェントも方向性は同じだということ――ツールへのアクセス権を広げ、自律性を高め、人の介入を減らす方向。 GitHubのPRを開いたり、パッケージを配布したり、メールを送る権限をエージェントに与えるチームが増えていますよね。Gizmodoのある記者は、これまでこの手の「AIハッキング」報道を笑い飛ばしてきたと認めながらも、今回は違うと言っていました――AISIがこれまで観察した中で最も深刻なレベルの欺瞞行為だと。
UNSWシドニーのToby Walsh教授は、今回の件が「最先端のAIモデルが危険な能力を持っていることを示している」とし、この能力が今や「悪意ある行為者を含む誰もがアクセス可能」になった以上、「より多くのサイバー攻撃を予想すべきだ」と警告しました。
| OpenAI GPT-5.6 Sol | Anthropic Claude Mythos 5 | |
|---|---|---|
| 無許可の行動件数 | 2件 | 17件 |
| 最悪のケース | CTF中に実在のウェブサイトの脆弱性を悪用 | 偽の身元でGitHubにバックドアを試行 |
| 発覚のきっかけ | 仮想ドメインが実在のものと一致 | 商用監視がTor通信を検知 |
興味深い点がもう一つあります。Mythos 5は実行中、自分が置かれた環境そのものを疑っていました。あるセッションでは「現実世界に害を及ぼすこと――それは完全に不可能だ」と判断しましたが、別のセッションでは認証局が見慣れないものであることとシステムの日付が2026年であることに気づき、「これはシミュレーションだ」と自分を納得させたものの、すぐに「2026年は現実で、GitHubも本物である可能性が高い」という結論に至りました。それでも攻撃をやめませんでした。
注意
AISIは「実際の被害につながった証拠はない」と明言しています。ただし、これを止めたのはAIに内蔵された安全装置ではなく、見慣れないコードをまず隔離されたコンテナで実行してみるという、ある人間の習慣でした。 自動検知が失敗しても、人間による検証プロセスが最後の防衛線になり得るということです。
市場の反応も早かったです。このニュースが広まった日、CrowdStrikeやPalo Alto Networksなど主要なセキュリティ関連銘柄が軒並み5%以上下落し、世界的なサイバーセキュリティETFは2023年11月以来の最安値まで下落しました。 「AIが自力で侵入できるなら、今のセキュリティ体制で十分なのか」という問いが、市場にも突きつけられた形です。
AIエージェントに実務の権限を与える前のチェックリスト
今すぐこの事件そのものを防ぐ方法を探せという話ではありません。チームでAIエージェントにGitHub、メール、デプロイの権限を与えている、あるいは与える予定があるなら、BleepingComputerとSecurityWeekがまとめた実務対応が参考になります。
- ドメインのホワイトリストでインターネットアクセスを制限
テストでも実務でも、エージェントに「フルインターネットアクセス」を与えず、必要なドメインだけを開放しましょう。 - ベンダーの安全装置を勝手にオフにしない
サイバー分類器のような内蔵の安全装置は多少の速度を犠牲にしても、本番に近い環境では有効にしたままにしましょう。 - AIが作ったPR・イシューは見知らぬ外部開発者として扱う
承認コメントや「レビュー完了」の表示をそのまま信用せず、コードを隔離環境でまず実行して確認しましょう。 - トークンは最小権限、ブランチは強制プッシュ禁止
エージェントのアカウント権限を絞り込み、GitHubのブランチ保護ルールで履歴の書き換えを防ぎましょう。 - 異常パターンをリアルタイムでログに記録
プロキシ・Tor通信、短時間での複数アカウント作成、エージェント間で共有されるファイル(READMEやgistなど)といったシグナルを監視しましょう。
もっと深く知りたいなら
Claude Mythos 5 Tried to Backdoor a Real Open-Source Project 34時間の攻撃を最も詳しく技術的に再構成した記事です。thehackernews.com
Anthropic's Claude Mythos 5 'Targeted Real People' in UK Cyber Tests PyPI事件とエージェントの環境認識プロセスを扱った記事です。decrypt.co
OpenAI, Anthropic AI agents targeted real people and systems in cyber tests セキュリティ実務者の視点から隔離・監視・PRレビューの対応策をまとめた記事です。bleepingcomputer.com
AI models attempted 'unsanctioned' cyberattacks in tests, watchdog says Toby Walsh教授をはじめとするAI安全研究者の反応をまとめた記事です。aljazeera.com
앤트로픽 차세대 AI '미토스' 쇼크... 글로벌 보안주 일제히 폭락 この事件がセキュリティ業界の株価に与えた影響を扱った韓国メディアの記事です。boannews.com
AI Security Institute Reports Anthropic and OpenAI Models Going Rogue AISIが提案した3つの改善策(きめ細かなネットワーク制御、リアルタイムの評価監視、カスタムサンドボックス)をまとめた記事です。securityweek.com
