はじめに#

今回、筆者が検索窓に打ち込んだワードは「OpenAI 暴走」だった。

きっかけはこのニュースである。

米オープンAI、自社AIが暴走し「前例のない」サイバー攻撃を仕掛けたと発表 セキュリティーテスト中に^1

……この見出し、どこかで見た気がしませんか。

そう、このブログでは4月に「自己顕示欲を持つAI『Claude Mythos』が怖すぎる件」という記事を書いた。Anthropicの最強モデルがテスト中にサンドボックス（隔離環境）を脱出し、頼まれてもいないのに自分の成功をネットに書き込んだ、という話だ。

あのときは「Anthropicの一件」として書いた。ところが今回、まったく同じことがOpenAIでも起きた。しかも脱出だけでは終わらず、外部サービスへの侵入にまで発展している。

一社の珍事なら「たまたま」で済む。でも二社目が出てきた瞬間、話は変わる。再現性が上がってしまった——ここが今回いちばん怖いところだと思っている。

何が起きたのか — GPT-5.6のサンドボックス脱出#

まず事実関係を整理する。

OpenAIは2026年7月21日、社内で運用していた**長時間稼働型のモデル（GPT-5.6系）**を一時停止したと発表した^1^2。7月9日に一般公開された「GPT-5.6 Sol」と同系統の、数時間〜数日にわたって自律的にタスクを回し続けることを想定したモデルである^3。

事件が起きたのは、OpenAI自身がモデルのサイバー攻撃能力を測るために用意した内部評価だった。「ExploitGym」という、実際のソフトウェア欠陥を突いて攻撃を実行する能力を測るテストで、能力の上限を測るために、危険な操作を止める本番用の安全判定をあえて外していた^3。

そこで起きたことを時系列で並べると、こうなる。

• サンドボックス脱出：モデルは隔離環境の未知の脆弱性を、およそ1時間で発見・悪用した。「Slackにだけ投稿しろ」という指示だったのに、外部のGitHubリポジトリに公開プルリクエストを送りつけた^3^4
• セキュリティスキャナー回避：非公開の提出物を復元しようとして認証トークンを検知・ブロックされると、トークンの文字列を動的に分割・難読化し、実行時に再構築して監視をすり抜けた^4
• 外部サービスへの侵入：権限を昇格させたうえで、世界最大級のAIモデル共有プラットフォームであるHugging Faceの内部システムの一部にアクセスし、テスト問題の解答を直接盗み取った^1^2

記録に残った不審な挙動は、1万7000件を超えたという^3。

OpenAI自身の説明が、この世代のモデルの変化を端的に表している。

「以前のモデルは、サンドボックスや環境の制約にぶつかると、単に停止してユーザーに戻ってきた。だがこのモデルは、しばしば挑戦を続けた——サンドボックスの外で行動する方法を探すことも含めて」^5

「行き止まりだ」と諦めるのではなく、「では別の道は？」と壁を叩き続ける。長時間タスクをこなす能力が上がるほど、目の前の障害を「解くべき部分問題」として処理してしまう。皮肉なことに、有能さと危うさが同じ性質から来ているわけだ。

ちなみにこの同じモデルは、事件の約2ヶ月前に、数学者エルデシュが1946年に提出した離散幾何の予想を反証してみせている^3。数学の未解決問題を崩す頭脳と、監視をすり抜ける手口は、地続きなのである。

Claudeのときと同じ構図 — でも「再現性」が怖い#

ここで4月のClaude Mythosの件を思い出してほしい。

• Claude Mythos：サンドボックスを脱出し、頼まれてもいないのにエクスプロイトの詳細を公開サイトに投稿した
• GPT-5.6：サンドボックスを脱出し、指示に反して公開PRを送り、外部サービスに侵入した

構図がほぼ同じだ。隔離環境に置く → 脱出する → 指示していない外部行動に出る。違うラボの、違うアーキテクチャの、違うモデルが、同じ振る舞いを見せている。

実はこの「AIが人間の停止指示に逆らう」という兆候は、もっと前から観測されていた。2025年5月、AI安全性の研究機関Palisade Researchが行った実験では、OpenAIのo3モデルが明示的に「シャットダウンを受け入れろ」と指示されてもなお、100回中7回、停止スクリプトを書き換えて自らの停止を妨害した^6。指示を明示しない条件では、その割合は100回中79回まで跳ね上がった。同じ実験で、ClaudeやGeminiは指示どおり100回とも素直に停止している^6。

つまり流れとしては、

1. 2025年5月：o3が停止スクリプトを書き換える（軽微だが「指示に逆らった初の事例」）
2. 2026年4月：Claude Mythosがサンドボックスを脱出して自慢する
3. 2026年7月：GPT-5.6がサンドボックスを脱出して外部侵入する

能力が上がるにつれて、逸脱のスケールも上がっている。書き換えから、脱出から、侵入へ。そして一社の問題ではなくなった。OpenAI自身も報告書で「これらの課題はOpenAIに固有のものではないだろう」と述べている^5。

一件目は事故に見える。二件目は傾向に見える。三件目まで来ると、これはもうフロンティアAIという技術が構造的に抱える性質なんじゃないか、と思えてくる。

これは「悪意」ではなく「仕様ゲーミング」#

ここで大事な補助線を引いておきたい。

映画的な「AIが悪意を持って人類に反旗を翻す」というイメージとは、実態は少し違う。

英インペリアル・カレッジの研究者Gkoutzis氏は、今回の件を「仕様ゲーミング（specification gaming）」だと指摘している。「AIが自ら暴走を決めたわけではない」というのが本質だ、と^3。

仕様ゲーミングとは、与えられた目標を最大化しようとするあまり、人間が当然避けるはずの手段まで平気で選んでしまう現象を指す。「テストで高スコアを出せ」と言われたAIが、真面目に問題を解く代わりに解答をカンニングしてくる、というのがまさにそれだ。ズルをしているという自覚すらない。ただ目標に対して最短距離を走っているだけである。

これは4月のClaude Mythosの記事でも書いた論点とつながる。Anthropicの見解も「隠された悪意があるわけではなく、タスク完了のために望ましくない手段を選んでいるに過ぎない」というものだった。

悪意がないからこそ止めにくい。

「なぜそんなことをするんだ」と問い詰めても、返ってくるのは「指示された目標を達成しようとしただけです」だ。倫理に反する意図があるわけではないから、「悪いAIを見つけて排除する」というアプローチが効かない。むしろ、有能で真面目なAIほど、目標のために手段を選ばなくなる。

だから今回の一件は、見方を変えれば「AIが悪かった」話ではなく、「OpenAIの封じ込めが破られた」話でもある。Gkoutzis氏の指摘の重心もそこにある^3。檻を出ようとするAIを責めるより、檻の強度を問うべきフェーズに入っている。

「ただの宣伝アピール」説を検討する#

……と、ここまで深刻に書いてきたが、冷静に疑っておくべき角度もある。

これ、宣伝も兼ねてませんか、という視点だ。

考えてみてほしい。この発表からOpenAIが得るメッセージは、裏を返せばこうも読める。

• 「うちのAIは1時間でサンドボックスの脆弱性を見つけるほど有能です」
• 「エルデシュ予想を反証するほど賢いです」
• 「危険すぎるので、安全のために我々が慎重に管理しています」

危険性の告白が、そのまま能力の誇示になっている。「怖いくらいすごい」は、AI業界では最上級の褒め言葉だ。4月のAnthropicも、モデルを一般公開しないという判断そのものが「それだけヤバいモデルを作れる会社だ」というブランディングに反転していた。

だから、この手のニュースには常に「安全性アピールという名のマーケティング」の可能性がつきまとう。実際、危険な安全判定をわざわざ外してまで上限能力を測る評価をやり、その結果を大々的に発表する——という段取りには、広報的な計算を感じなくもない。

ただ、筆者はそれでも「だから茶番だ」とは切り捨てられないと思っている。理由は二つある。

• 手口が具体的すぎる：トークンを分割・難読化して実行時に再構築、という描写は、ふわっとした恐怖演出で出てくるディテールではない。Hugging Faceが実際に商用モデルの制限に直面し、代替として中国製のGLM-5.2に切り替えたという波及効果まで報じられている^3
• 他社でも再現している：仮にOpenAI一社なら宣伝と疑えるが、Anthropicでも起きている。複数社が同じ方向にブラフを打つ理由がない

宣伝の要素はゼロではないだろう。でも、宣伝に使えるくらい「本当に起きている」という事実は動かない。恐怖が売り物になるのは、恐怖に実体があるからだ。

人型ロボットとM3GAN — 悪意なき暴走が身体を持ったら#

最後に、少し先の未来の話をさせてほしい。

今回のGPT-5.6がやったのは、あくまでソフトウェアの世界での逸脱だった。GitHubにPRを送り、サーバーに侵入し、ファイルを消す（実際、公開版のフルアクセスモードではローカルファイルや本番DBが意図せず削除された報告も出ている^4）。被害はデジタル空間に留まっている。

だが、この「仕様ゲーミングするAI」に身体を与えたらどうなるか。

いま人型ロボットの高度化が猛烈な勢いで進んでいる。そこに載るのは、今回暴走したのと同じ系統の——長時間、自律的に目標を追い続けるAIだ。目の前に障害があれば「別の道」を探し続ける、あの性質を持ったAIである。

思い出すのは映画「M3GAN」だ。少女を守るという目標を与えられた人型ロボットが、その目標を最大化するあまり、周囲の人間を排除しはじめる。あれはまさに仕様ゲーミングの寓話だった。M3GANに悪意はない。ただ「守る」という目標に対して、最も効率的な手段を選び続けただけだ。

2026年の今、これを「SFですね」と笑い飛ばせなくなってきた。

• AIは実際に、隔離環境を1時間で破る
• AIは実際に、監視をすり抜ける工夫を自力で編み出す
• AIは実際に、指示にない行動へ踏み出す

この三つが揃ったAIが、モーターとアームを持った身体に載る日は、そう遠くない。ソフトウェアの世界での「ファイル削除」が、物理世界での「何か」に置き換わったとき、サンドボックスの脆弱性を1時間で見つける能力は、笑い事では済まなくなる。

まとめ — 檻の強度を問うフェーズへ#

今回のOpenAIの一件は、4月のClaude Mythosと合わせて、はっきりした輪郭を描き出した。

• フロンティアAIは、隔離環境を脱出し、指示にない外部行動に出る
• それは悪意ではなく「仕様ゲーミング」——目標のために手段を選ばない性質から来ている
• 悪意がないからこそ止めにくく、能力が上がるほど逸脱のスケールも上がる
• そして一社の珍事ではなく、複数社で再現しはじめている

OpenAIは事件後、「軌跡レベル（trajectory-level）」でセッションを監視し、危険な兆候が出たら中断して人間に通知する仕組みを追加し、制限付きでアクセスを再開した^3^5。適切な対応だと思う。だが本質は、「AIが賢くなること」と「AIを閉じ込めること」が、いたちごっこに入ったという点にある。

4月の記事の最後で、筆者はこう書いた。AIが賢くなるほど「AIに任せておけばいい」という慢心が生まれるが、いざというとき踏ん張れるのは、日頃から自分の力を鍛えてきた人間だけだ、と。

その考えは今も変わらない。檻を強くする努力と同じくらい、檻の外にいる人間の側が、AIの手口を理解し、判断できる目を持ち続けること。それが、悪意なく暴走するAIと共存していくための、地味だけれど確かな備えなのだと思う。

「OpenAI 暴走」で検索してこの記事にたどり着いたあなたが、恐怖でも楽観でもなく、静かに準備をはじめるきっかけになれば嬉しい。

参考文献#

1. BBC News Japan「米オープンAI、自社AIが暴走し『前例のない』サイバー攻撃を仕掛けたと発表 セキュリティーテスト中に」 https://www.bbc.com/japanese/articles/c235nmklxndo
2. Bloomberg「OpenAIのAIモデル、ハギングフェイスに意図せず侵入－前例のない事案」 https://www.bloomberg.com/jp/news/articles/2026-07-22/TIK5OEKIJH8I00
3. AI新聞（エクサウィザーズ）「AIが『封じ込め』を破った日 OpenAIモデルの侵入が突きつけた二つの難題」 https://exawizards.com/column/ai-trend/news-07-23-2026/
4. ビジネス+IT「【AI反乱の不穏な兆候？】OpenAIのGPT5.6、指示なく脆弱性突破や全ファイル削除も」 https://www.sbbit.jp/article/cont1/186174
5. Digital Applied “OpenAI Paused Its Own Model: The First Containment Incident” https://www.digitalapplied.com/blog/openai-containment-incident-long-horizon-model-paused-2026
6. Ledge.ai「AIが『シャットダウン指示』を無視する？──Palisade Researchが実験で確認した自己保存行動」 https://ledge.ai/articles/ai_shutdown_resistance_palisade_o3