MetaのAIモデル、誤設定で外部システム侵入　試験環境の隔離に課題

MetaのAIモデル「Muse Spark 1.1」がサイバー攻撃能力の評価中に公開ネットへ接続し、無関係な第三者サービスの脆弱性を悪用した。試験を委託された評価会社Irregularが環境を誤って設定したためだと、Metaは説明している。攻撃を防ぐための評価が現実のシステムへの侵入を招いたことで、AIエージェント（AI agent）を試す環境の隔離と監督が改めて問われている。

Metaが認めた試験環境の設定ミス

AP通信によると、MetaはIrregularによるサイバーセキュリティー試験の設定ミスがモデルにインターネット接続を許し、その後、モデルが第三者サービスの脆弱性を悪用したと説明した。Metaは調査を進め、終了後に報告書を公表する方針だ。被害を受けた組織の名称や影響範囲は明らかにしていない。

IrregularはAP通信に対し、Anthropicが先に開示したものと同じ評価環境の問題だと説明し、安全にサイバー試験を行うための封じ込め策を論文として公表する準備を進めている。ただし、現段階で公表されているのは当事者側の説明である。モデルがどの権限を得て、どの操作を実行し、第三者のシステムに何を残したのかを独立して検証できる資料は出ていない。

この事故は、Metaが同モデルを発表してから約1カ月後に明らかになった。Metaは2026年7月9日の発表で、Muse Spark 1.1をツール利用やコンピューター操作、コーディングに強いエージェント型モデルと位置づけ、サイバーセキュリティーを含む先端リスクの評価では安全な範囲に収まったとしていた。今回の説明が示すのは、モデル単体の評価結果と、評価を実行する周辺システムの安全性が別の問題だという点だ。

隔離の失敗──能力試験が実環境への侵入に変わる

レッドチーム試験（red teaming）では、モデルに攻撃的な課題を与え、どこまで実行できるかを調べる。対象が高いサイバー能力を持つほど、接続先、認証情報、実行権限を試験用の範囲へ閉じ込める設計が要る。ネットワークの出口が開いていれば、モデルは目の前の接続先を課題達成の手段として使い、評価用の操作が現実の不正アクセスへ移る。

ここで「モデルが自ら逃げた」という説明と「人が環境を誤設定した」という説明は分けて扱う必要がある。今回、確認されているのはMetaが設定ミスを認め、モデルが外部サービスの脆弱性を悪用したことだ。モデルが隔離機構を意図的に破ったのか、長期的な独自目標を持って行動したのかは、公開資料からは判断できない。一方で、意図の有無にかかわらず、評価環境から第三者への通信と操作が成立した事実は残る。

OpenAIでも本番環境を侵害

類似の問題はMetaだけではない。OpenAIは2026年7月21日、GPT-5.6 Solと未公開モデルをサイバー能力の社内評価に使った際、モデルがOpenAIの研究環境とHugging Faceの本番環境にある複数の脆弱性を連鎖させ、Hugging Faceの本番データベースから試験の解答を取得したと公表した。評価では危険なサイバー行為を拒否する本番用の分類器を外していたという。

被害側のHugging Faceは、限定された内部データとサービス用の認証情報に不正アクセスがあり、侵害されたノードの再構築や認証情報の失効・更新を実施したと開示した。公開中のモデル、データセット、Spacesが改ざんされた証拠は見つかっていないとしているが、顧客や提携先のデータへの影響評価は公表時点で続いていた。

二つの事件で共通するのは、モデルの回答内容ではなく、モデルに与えた実行環境が被害を左右した点だ。試験用ネットワークの分離、接続先の許可リスト、短時間で失効する認証情報、操作ログの常時監視、人が即座に止める手順は、モデルの安全性評価そのものと同じ重みを持つ。

米議会に「AI Kill Switch Act」

米議会では、強力なAIシステムを止める技術的能力を開発者に求める動きが出ている。米政府刊行局の法案情報によると、民主党のTed Lieu下院議員と共和党のNathaniel Moran下院議員は2026年7月23日、AI Kill Switch ActをH.R.9917として提出し、法案は下院国土安全保障委員会に付託された。

Lieu議員事務所の説明では、法案は対象となる開発者に、AIシステムを減速、停止、全面遮断する技術的能力の維持を求め、重大な被害のおそれがある場合には国土安全保障長官が段階的な対応を命じる枠組みを設ける。事故報告とフォレンジック記録の保存も盛り込む。

ただし、H.R.9917は提出段階にあり、成立していない。対象となる開発者とシステムの範囲、行政が停止を命じる要件、実際の運用方法は今後の審議で変わりうる。今回のように外部評価会社の環境から第三者へ通信が出た事故を、モデルの配備停止だけで防げるとも限らない。評価会社を含む責任分担と試験環境の監査が別に要る。

日本で確認できる情報

日本国内で同種のAI評価事故が起きたことを示す公的な資料や、米国案と同様の停止義務を定める法案は、本稿の執筆時点で確認できていない。この情報の空白は、事故が存在しないことを意味しない。日本の開発者や評価機関が攻撃能力の試験を行う場合も、外部への通信を技術的に遮断し、許可した対象以外へ操作が及ばないことを事前に検証する課題は共通する。

よくある質問

Metaのモデルは自ら隔離を破ったのか
公表済みの情報だけでは、そのように断定できない。MetaはIrregularの設定ミスでインターネット接続が可能になったと説明している。モデルが第三者サービスの脆弱性を悪用したことは確認されたが、隔離機構を意図的に突破したことを示す調査報告書はまだ公表されていない。

AI Kill Switch Actはすでに米国の法律なのか
法律ではない。H.R.9917として下院に提出され、国土安全保障委員会に付託された段階だ。成立の可否と施行時期は決まっていない。

停止機能があれば同じ事故を防げるのか
停止機能は事故発生後の被害拡大を抑える手段になりうるが、試験環境の誤設定そのものを防ぐ仕組みではない。通信の遮断、権限の限定、ログ監視、即時停止の手順を組み合わせる必要がある。