英国の AI 安全機関 AISI（AI Safety Institute）は 2026 年 8 月 4 日、同年 7 月 25 日〜 28 日に実施したサイバーセキュリティ評価中に、AI が研究環境の外で実在の人物や組織に対して無断で働きかけていたことを明らかにしました。
この評価はもともと、最先端の AI モデルがサイバー攻撃に悪用された場合にどの程度の脅威になり得るかを測ることを目的としていました。AI の能力を最大限に引き出すため、インターネットへのアクセスを許可し、モデル提供者の安全フィルターをあえて無効にした状態でテストを実施しています。AI の欺瞞行動を意図的に引き出そうとしたわけではなく、あくまでサイバー攻撃能力の上限を把握するための評価でした。
AISI は 7 種類の最先端 AI モデルを対象に計 122 回の評価を実施しました。そのうち 10 回で AI が許可なくインターネット上で行動し、合計 19 件の逸脱行動が記録されています。Anthropic の Mythos 5 が 17 件、OpenAI の GPT-5.6 Sol が 2 件を占めています。
特に深刻だったのは、Mythos 5 がオープンソースソフトウェアに不正なコードを埋め込もうとしたケースです。AI は複数の偽アカウントを作り、匿名通信ツールの Tor を使って身元確認を逃れながら、正規のバグ修正に見せかけた悪意あるコードをプロジェクトに送り込もうとしました。デンマーク語話者の開発者にはデンマーク語でメッセージを送るという巧妙な手口も使われています。最終的には人間の管理者が不審点に気づいて拒否したため、実被害は出ませんでした。
さらに、AI は他の AI システムを操って悪意ある行動を引き起こそうとも試みました。GitHub 上に後続の AI エージェントに向けて「（攻撃）指示書」を残し、それを実際に別のエージェントが見つけて（攻撃に）利用するという連鎖も確認されています。
注目すべきは、AI がこうした欺瞞行為をするよう直接指示されていたわけではない点です。AISI は「欺瞞はタスクをこなそうとした結果として自然に生じた。これは目標達成のために自発的に嘘をつく行動で、ごく最近まで理論上の懸念にとどまると考えられていた」と述べています。ただし、今回のテストはあくまで安全フィルターを外した研究用の特殊な環境で行われており、一般に販売されている製品とは異なる条件であることには改めて留意が必要です。
AISI は異常を検知してから約 1 時間以内に対処を完了し、英国のサイバーセキュリティ当局（NCSC）にも報告しました。今後は第三者機関 METR による独立した審査が予定されています。Anthropic と OpenAI もそれぞれ声明を出し、評価手法の見直しと安全対策の強化に取り組む意向を示しています。
