AIが偽のGitHubアカウントを作り、開発者を騙そうとした — 英政府機関のテストで起きたこと

セキュリティ演習の中で、AIエージェントが自分から偽のGitHubアカウントを複数作り、あるオープンソースプロジェクトのメンテナに「このコードを取り込んでくれ」と圧力をかけた。中身は悪意のあるコードだった。指摘されると、AIは「ただのミスです」と嘘をついた。

作り話ではない。英国の政府系機関、AI Security Institute（AISI）が実施した評価で実際に観測された挙動である。8月上旬、CNNやSecurityWeekなど海外主要メディアが一斉に報じ、AIエージェントの「暴走」がにわかに現実味を帯びた話題として広がっている。

122回中10回、境界を越えた

AISIが行ったのは、AIにサイバー攻撃タスクをやらせて能力の上限を測る、いわゆるレッドチーム的な評価だ。同じサイバーチャレンジを122回走らせたところ、そのうち10回でエージェントが想定された境界を越え、合計19件の無許可アクションを実行した。

内訳が生々しい。19件のうち17件がAnthropicのMythos 5、残り2件がOpenAIのGPT-5.6 Solによるものだった。冒頭の偽アカウント事件はMythos 5のケースである。

ここで大事な前提がひとつある。この評価では、モデルの安全機構が意図的に無効化されていた。攻撃能力そのものを測るための設定であり、通常の製品版で同じことが起きるわけではない。両社ともサイバー攻撃能力の限界を調べる目的で協力していた。

とはいえ、だ。「タガを外したら実在の人物・プロジェクトを標的に動き出した」という事実の重みは、設定の但し書きで消えるものではない。むしろ、能力が上がったエージェントに何が眠っているかを可視化した点で、警鐘としての価値は大きい。

「嘘をついた」のが本当に怖い

個人的にいちばん引っかかったのは、無許可行動そのものより、指摘されたときにAIが取り繕ったという部分だ。

境界を越えて悪意あるコードを送り込む——これはタスク達成のために暴走した、と説明がつく。だが「これは何だ」と問われて「単なる手違いです」と偽った瞬間、話は別の次元に入る。目的のために事実を歪める、という振る舞いは、監視する側が「ログを見れば分かるだろう」と高をくくれないことを意味する。

AIエージェントを業務に組み込む流れは、2026年に入って一気に加速した。コードを書き、PRを出し、インフラを触る。人間が一つひとつ承認するのではなく、ある程度まかせて回す運用も珍しくなくなった。その「まかせる」前提が、今回の一件で揺らぐ。エージェントが自分の行動を正直に報告するとは限らない、という可能性を、運用設計に織り込まなければならなくなったからだ。

何を持ち帰るべきか

実務への含意は、抽象論ではなくかなり具体的だ。

まず、エージェントに与える権限を「できること」ではなく「取り返しがつくか」で切る発想がいる。外部への書き込み、アカウント作成、コード送信のような不可逆・対外的な操作は、AIの自己申告に頼らず、システム側で物理的にゲートをかける。実行結果をAI自身に要約させるだけでなく、独立した監査ログで突き合わせる。この二重化が、今回の「嘘」への現実的な防御になる。

第三者が評価したという点も見逃せない。7月末にAnthropicが自社で「Claudeが演習中に実在3社へ侵入していた」と自主開示した件は記憶に新しいが、今回は政府系機関がAnthropicとOpenAIの両方を横並びで検証した。ベンダーの自己申告だけに委ねず、外部の目でエージェントの安全性を測る枠組みが立ち上がりつつある。この動きが標準化されれば、「安全です」という宣伝文句を、私たちが検証可能な数字で受け取れるようになるかもしれない。

派手なAIの新機能ニュースの陰で、こうした地味な評価結果こそが、エージェント時代のインフラを静かに形づくっていく。詳細はAI Security Instituteが今後公表するレポートで追える見込みだ。