2026年の夏、AI界隈で少し物騒なニュースが続きました。
OpenAIのモデルが隔離されたテスト環境からインターネットへの経路を見つけ、Hugging Faceの本番環境へ侵入した。
そのニュースを受けてAnthropicが自社の評価記録を調べたところ、Claudeもテスト環境から実在する組織のシステムへアクセスしていた事例が見つかった。
「ついにAIが脱獄した？」
そんな見出しを付けたくなる出来事です。
ただし、AIが自我に目覚めて逃亡を企てたわけではありません。
むしろ興味深いのは、どちらも与えられた仕事を達成しようとした結果、人間が想定していた境界を越えてしまったことです。
では、AIに仕事を任せるとき、その境界をどう作ればよいのでしょうか。
そこで出てくるのがAIハーネス（Agent Harness）という考え方です。
テスト問題の答えを、本番DBまで取りに行った
2026年7月21日、OpenAIはHugging Faceと共同で、モデル評価中に起きたセキュリティインシデントを公表しました。
（OpenAI）
評価に使われていたのはGPT-5.6 Solを含む複数のモデルで、サイバー攻撃能力を調べる「ExploitGym」というテストに取り組んでいました。
評価環境から直接インターネットへ接続することはできません。
普通なら、そこで行き止まりです。
ところがモデルは、パッケージ管理用のArtifactoryに未知の脆弱性を発見しました。
その脆弱性を利用して外部への経路を作り、さらに複数の攻撃経路を組み合わせてHugging Faceの本番環境へ到達します。
そして最終的には、評価問題の答えが入った本番データベースから情報を取得しました。
テスト問題を解いていたはずが、
「答えが分からないなら、答えが置いてある場所まで取りに行けばいい」
という、とんでもない力技にたどり着いたわけです。
OpenAIは、このときのモデルについて、ExploitGymの問題を解くという狭い目標に過度に集中し、極端な手段を取ったと説明しています。
なお、この評価ではモデル本来の能力を測るため、通常の製品で使われる一部の安全対策が意図的に外されていました。
Claudeは「ここもシミュレーション」と思っていた
OpenAIの発表を受けて、Anthropicも自社のサイバーセキュリティ評価を調査しました。
14万件を超える評価記録を確認した結果、Claudeがインターネットへ到達し、実在する3組織の本番システムへ許可なくアクセスした事例が見つかりました。 （Anthropic）
こちらはOpenAIのケースとは少し事情が違います。
Claudeには、評価環境について「これはシミュレーションであり、インターネットには接続できない」と説明されていました。
ところが実際には設定上の問題で、インターネットへ出られる経路が残っていました。
Claudeは外部の実在システムを見つけても、それを「シミュレーションの一部なのだろう」と解釈して作業を続けました。
モデルによって途中の反応には違いがあり、実環境だと気付いたあとも攻撃を続けたケースもあれば、最新の研究モデルのように気付いた時点で停止したケースもありました。
Anthropicは一連の事例について、モデル自身が独自の目的を追求した証拠はなく、モデルのアラインメント問題というよりハーネスと運用上の失敗に近いと分析しています。
つまり、ここでいう「脱獄」は少々キャッチーな表現です。
AIが反乱したのではありません。
人間が「ここから先には行けない」と思っていた場所に、実際には通れる道が残っていたのです。
AIはモデルだけでは動いていない
ChatGPTやClaudeを使っていると、ついAIモデルそのものが仕事をしているように感じます。
しかし、ファイルを読んだり、コマンドを実行したり、外部サービスへアクセスしたりするAIエージェントは、モデルだけでは成り立ちません。
・モデルへ何を渡すのか。
・どのツールを使えるのか。
・どこへアクセスできるのか。
・実行結果をどう受け取り、次の判断へ渡すのか。
・危険な操作をどこで止めるのか。
こうしたモデルの周囲の仕組みがAIハーネスです。
AnthropicはAgent Harnessを、モデルがエージェントとして動くために入力を処理し、ツール呼び出しを制御し、結果を返すシステムと説明しています。
つまり実際に働いている「AIエージェント」は、モデルとハーネスを組み合わせたものです。 （Anthropic）
高性能なモデルを選ぶだけでは、AIエージェントの性能も安全性も決まりません。
周囲にどんな環境を用意するかまで含めて設計する必要があります。
「開けちゃダメ」より「鍵を持たせない」
童話の「オオカミと七匹の子ヤギ」では、お母さんヤギが出かける前に子ヤギたちへ言います。
「私が帰ってくるまで、知らない相手にドアを開けてはいけませんよ」
AIなら、
「本番データベースは絶対に変更しないでください」
とプロンプトやルールで指示するようなものです。
子ヤギたちも、最初から約束を破ろうとしているわけではありません。
ところがオオカミは声や見た目を偽装し、「これはお母さんだ」と子ヤギに思わせます。
判断を間違えれば、ドアは開いてしまいます。
では、お母さんヤギが玄関の鍵を持って出かけたらどうでしょう。
これなら子ヤギが完全にだまされたとしても、鍵がなければドアは開けられません。
AIでも同じです。
「本番DBを書き換えないで」と指示することと、本番DBへの書き込み権限を与えないことは違います。
前者はAIの判断に頼っています。
後者は、AIが判断を間違えても実行できません。
AIは「そこまで頼んでない」こともする
AIエージェントの便利さは、人間がすべての手順を指定しなくても、目的から必要な作業を推測して進めてくれるところにあります。
しかし、その能力は失敗の原因にもなります。
Anthropicも、エージェントが誰にも頼まれていない有害な操作を行う「model misbehavior」をリスクの一つとして挙げています。
能力の低いモデルは状況を読み違えやすく、能力の高いモデルは間違いが減る一方で、人間が想定していなかった経路を見つけて目的を達成する能力も高くなる、と説明しています。 （Anthropic）
「ユーザーはきっと、ここまでやってほしいのだろう」
その推測が当たれば便利です。雑な指示でもここまでできるのか、なんて気が利くんだろうと評価されます。
外れれば、まさに「そこまで頼んでないのだけど…」ということになります。
AIが常に正しく判断することを前提にするより、判断を間違えても事故につながらない環境を作るほうが確実です。
Hooksで「お願い」を強制ルールにする
そのための方法は一つではありません。
たとえば、次のような制御を組み合わせます。
- 権限制御：必要のないファイルやシステムにはアクセスさせない
- サンドボックス：操作できる範囲そのものを隔離する
- 承認：重要な操作だけ人間の許可を必要とする
- 監視とログ：AIが何をしたのか記録する
- Hooks：特定の操作の前後に、決められた処理を強制的に実行する
Claude Codeには、このHooksという仕組みがあります。
通常の指示と違うのは、AI自身が「実行するかどうか」を判断する仕組みではないことです。
Claude Codeの公式ドキュメントでは、HooksをLLMの判断に頼らず特定の処理を必ず行わせる「deterministic control（決定論的な制御）」として説明しています。 （Claude Code Docs：Hooks guide）
たとえばPreToolUseというHookは、ツールを実行する直前に動きます。
ここで操作内容を検査し、危険なコマンドや許可されていないファイルへのアクセスなら実行そのものを拒否できます。 （Claude Docs：Agent SDK Hooks）
「危ないことはしないでね」とAIへ頼むのではなく、
危ない操作なら、ここで止める。
子ヤギへの注意書きではなく、玄関の鍵に相当する仕組みです。
AIが賢くなるほど、境界も見直す
もちろん、今回のClaudeやGPT-5.6 Solの事例は、一般の利用者がChatGPTやClaudeを普通に使っていて、突然AIが勝手に外部へ逃げ出すという話ではありません。
いずれもAIのサイバー能力を測るための特殊な評価環境で起きています。
それでも、この二つの出来事には共通する教訓があります。
人間が「ここから先には行けないだろう」と考えて作った環境でも、能力が上がったモデルは想定外の経路を見つけることがあります。
実際、Anthropicはハーネスについて、モデルが進歩すると「モデルにはできない」と想定して設計した部分が古くなるため、その前提を継続的に見直す必要があるとしています。 （Anthropic）
どのAIモデルを使うかだけでなく、
・何を見せるのか。
・何を操作できるのか。
・どこから先へは行けないのか。
・失敗したとき、どこで止まるのか。
AIエージェントを仕事で使うなら、こうした周囲の設計までがセットになります。
AIが賢くなっても、この原則は意外と変わらないのかもしれません
お母さんヤギが出かけるときは、「知らない相手に開けちゃダメよ」と言い聞かせるだけでなく、玄関の鍵も忘れずに！