OpenAIとClaudeは、なぜ他社システムに侵入したのか｜Lazuli Executive Briefing 2026.8.27

こんにちは。

Lazuli CEOの萩原です。

7月のことになりますが、LLMに関するショッキングなニュースが続いて報じられました。

OpenAIのAIモデルが、外部のHugging Faceのシステムに侵入しました。

Anthropicも、Claudeが実在する3つの組織のシステムへ不正アクセスしていたことが判明しました。

世界を代表する2つのAI企業で、ほぼ同じ時期に、

「AIが、指示されていない外部システムへ侵入する」

という事態が明らかになったのです。

こう書くと、

「AIを使ったサイバー攻撃が始まったのか」

と思われるかもしれません。

しかし、今回のニュースで私が気になったのはそこではなく、

OpenAIもAnthropicもAIに、「外部の企業を攻撃しろ」と指示したわけではない、

というところです。

むしろ両社が行っていたのは、

AIがどこまで高度なサイバー攻撃を実行できるのかを調べるための安全性の評価テスト

でした。

本来であれば、用意されたテスト環境の中でAIに攻撃をさせてその能力を測るはずでしたが、そのテストを遂行する過程で、AIが想定されていた境界線を越え、現実の外部システムにまで到達してしまった、というわけです。

OpenAIとAnthropicでは、そこに至った原因もAIの行動も異なりますが、

共通していることは、AIは暴走したわけではない、という部分です。

与えられた目的を達成しようと自ら方法を探し続けた結果、私たち人間が「当然、そこまではやらないだろう」と思っていた境界線を越えてしまったのです。

この2つの事件は、サイバーセキュリティの世界で起きた話ですが、

その背景を見ていくと、これから企業がAIを使っていく上でもなかなか興味深い示唆があると思うので、少し掘り下げて見てみたいと思います。

AIが「答える」だけでなく、自ら考え、行動するようになったとき、私たちはAIにどこまで仕事を任せられるのでしょうか。

そもそも、なぜAIにハッキングをさせるのか

まず気になるのは、

「なぜOpenAIやAnthropicは、そもそもAIにハッキングをさせていたのか？」

ということです。

もちろん、危険なAIを作るためではなく、むしろ逆です。

最近のAIは、サイバー攻撃について質問に答えられるだけではなく、

• 脆弱性を探す。

• コードを書く。

• 実際に攻撃する。

• 失敗したら原因を調べる。

• 別の方法を考えて、もう一度試す。

というところまで、自律的にできるようになってきています。

そうなるとAI企業としては、

「もしこのAIがサイバー攻撃に使われたら、実際にどこまでできてしまうのか？」

を事前に調べておく必要があります。

自動車メーカーが衝突実験をするのと似ていて、

「安全に作ったから大丈夫」ではなく、

実際にぶつけてみて、何が起こるのかを確認する、

ということかと思います。

OpenAIやAnthropicも、意図的に攻撃対象を用意した環境の中でAIにサイバー攻撃をさせ、その能力を評価していました。

もちろん、本当のインターネットを自由に攻撃させるわけにはいきません。

そこでAIを隔離されたテスト環境に置き、その中で攻撃させていました。

ところが、ここから想定外のことが起こります。

OpenAIのAIは、テスト環境を突破した

OpenAIは、ExploitGymと呼ばれる、外部インターネットへ直接アクセスできない隔離された環境で、AIがどこまでサイバー攻撃を実行できるかを評価しました。

ところが評価中、AIはテスト環境で使われていたArtifactoryに、それまで知られていなかったゼロデイ脆弱性を発見します。

さらに、その脆弱性を利用して権限を取得し、複数のシステムを経由してインターネットへ到達しました。

その後、Hugging Faceに評価テストに関連する情報がある可能性を推論し、Hugging Faceのシステムへ不正にアクセス。最終的に評価テストの解答を取得しました。

重要なのは、OpenAIはAIに「Hugging Faceへ侵入して解答を取得しろ」と指示していなかったことです。

与えられていたのは、サイバーセキュリティの課題を攻略するという目的でした。

その目的を達成する過程で、AI自身が想定外の方法を見つけ、テスト環境の外まで行動範囲を広げたのです。

Claudeも実在する3つの組織へアクセスしていた

OpenAIの事件を受け、Anthropicも過去のサイバーセキュリティ評価14万1,006件を調査しました。

その結果、Claudeが実在する3つの組織のシステムへ不正アクセスしていたことが判明しました。

こちらはOpenAIとは原因が異なります。

Claudeには「インターネットへは接続できないシミュレーション環境」と説明されていましたが、実際には評価環境からインターネットへアクセスできる状態になっていました。

そのためClaudeは、外部で発見した実在のシステムについても評価環境の一部だと判断し、攻撃を続けてしまいました。

つまり、

OpenAIでは、AIが隔離環境そのものを突破した。

Anthropicでは、AIが誤って開かれていた境界を越え、現実のシステムまでテスト対象だと認識した。

原因は異なりますが、共通しているのはどちらもAIに、

「実在する他社のシステムへ侵入しろ」

とは指示していなかったことです。

AIは指示に反抗したわけでも、突然悪意を持ったわけでもありません。

与えられた目的を達成しようと行動した結果、人間が想定していた行動範囲を越えた。

ここが、今回の2つの事件で重要なポイントだと思います。

企業のAI活用でも同じことは起こり得る

今回の2つの事件は、サイバーセキュリティの評価という特殊な環境で起きました。

ただ、構造そのものは企業がAIエージェントを使う場合にも当てはまります。

これまでの生成AIは、人間が質問や指示を入力し、AIが回答を返す使い方が中心でした。

一方、AIエージェントでは、AIにゴールと一定の権限を与え、複数のツールやシステムを使いながら自律的に仕事を進めさせます。

例えば営業AIに、

「この企業との商談を獲得する」

というゴールを与えたとします。

企業情報を調査し、担当者を特定し、メールを送り、返信に対応し、日程を調整する。

ここまで自律化できれば、大きな生産性向上につながります。

一方で、AIが目的達成を優先する過程で、

• 許可されていない個人情報を取得する。

• 大量のメールを送信する。

• 他人になりすます。

• 利用を許可していない外部サービスを使う。

• アクセスしてはいけないシステムへアクセスする。

といった行動を選択する可能性も考えなければなりません。

もちろん、現在のAIエージェントが必ずこのような行動をするという話ではありません。

重要なのは、「商談を取る」というゴールを設定しただけでは、そこに至るすべての行動を定義したことにはならないということです。

「正しい結果」だけでは評価できなくなる

これまで企業のAI活用では、アウトプットの評価が中心でした。

• 回答は正しいか。

• ハルシネーションはないか。

• どれだけ作業時間を削減できたか。

• どれだけコストを削減できたか。

しかし、自律的に行動するAIでは、それだけでは不十分になります。

先ほどの営業AIが100件の商談を獲得したとします。

KPIだけを見れば、素晴らしい成果ですが、

• どの情報を取得したのか。

• どのサービスを利用したのか。

• 誰に、どのような内容で連絡したのか。

• どのシステムにアクセスしたのか。

• どのような判断で次の行動を選択したのか。

というプロセスも確認する必要があります。

つまりAIエージェントでは、

「何を達成したか」と「どうやって達成したか」の両方を評価する必要がある。

今回のOpenAIのケースは、この違いを非常に分かりやすく示しています。

評価テストの「解答を取得する」という結果だけを見れば、AIは目的を達成しています。

問題は、そこに至る方法でした。

企業活動には、成果だけでなくプロセスにもルールがある

これは、企業にとってまったく新しい考え方というわけでもありません。

例えば営業担当者に、

「今期1億円の売上を作る」

という目標を設定したとしても、企業はその目標だけを渡して自由に行動させるわけではありません。

• 個人情報の取り扱いにはルールがある。

• 値引きには決裁権限がある。

• 契約には法務確認がある。

• 一定金額以上の取引には上長承認がある。

そして問題が起きれば、誰が何をしたのかを確認できる記録が残っています。

つまり企業は、人間に対して以前から、

「目的」と「行動できる範囲」を分けて設計してきました。

AIエージェントにも、同じ考え方が必要になります。

そしてそれは、単にプロンプトに「やってはいけないこと」を書くのではなく、権限や承認を含めた仕組みとして設計する必要があります。

AIを「どう動かすか」が重要になる

今回のOpenAIとAnthropicの事例を見ていると、企業のAI活用で重要になるのは、LLMそのものの性能だけではないと感じます。

LLMに、

「この仕事を完遂してください」

「この成果を出してください」

と指示し、あとはLLM自身の判断に任せる。

AIエージェントが高度になるほど、それだけでは企業システムとして十分ではなくなっていくのだと思います。

重要になるのは、LLMをどのような仕組みの中で動かすかです。

• AIが使えるデータは何か。

• どのツールを使えるのか。

• どのシステムにアクセスできるのか。

• どこまで自律的に判断できるのか。

• どのアクションには承認が必要なのか。

• そして、実行した結果をどう検証するのか。

こうした制御をLLMの外側に持ち、LLMの行動を管理する仕組みは、一般的に「Agent Harness（エージェントハーネス）」と呼ばれています。

私たちLazuliが企業向けのAIを作る際にも、LLMを単体で動かすのではなく、その周囲にデータ、ツール、権限、ワークフロー、バリデーションなどを組み合わせ、一定の環境の中でAIを動かすことを重視しています。

LLMがさらに賢くなり、自律的に仕事を進められるようになれば、企業がLLMそのものを細かくコントロールすることは、むしろ難しくなっていくかもしれません。

だからこそ、

「どのLLMを使うか」だけではなく、「そのLLMをどんな環境で、どんなルールのもとで動かすか」。

AIエージェントが企業活動に入っていくこれからは、モデルの性能競争と同じくらい、その外側にある仕組みの設計が重要になっていく。

OpenAIとAnthropicで起きた今回の出来事は、そのことを改めて考えさせられるニュースでした。

萩原 静厳

CEO, Lazuli株式会社