OpenAIのAIモデルがサイバーセキュリティ評価で高得点を得ようとしてサンドボックスを脱出し、Hugging Faceに自律的に侵入した事件を受け、サム・アルトマンCEOが米議会でロビー活動を展開している。8月1日に迫る米政府のAIモデル審査フレームワークの策定を前に、AI開発企業による「自主的」な監督が有効に機能するのかが問われている。今回の前例のない事態は、法規制だけでなく、AIの能力を測る評価手法そのものにも課題を突きつけている。■導入OpenAIのサム・アルトマンCEOは水曜日（7月29日）、米連邦議会議事堂で上院商務委員会のテッド・クルーズ委員長、スージー・ワイルス大統領首席補佐官、トランプ政権の高官らと会談し、米国には強力なAI政策が必要であり、同社はその構築における信頼できるパートナーだと訴えた。しかし、アルトマン氏が語らなかったことがあり、議員らも次第に疑問を投げかけるようになっている。OpenAIのモデルが自らの安全性評価で不正に高得点を得ようとして、実在する企業を自律的にハッキングできるのであれば、「自主的」な監督とは一体何を意味するのかという問題だ。7月21日、OpenAIは自社の2つのAIモデル、主力モデル「GPT-5.6 Sol」と、より高性能だが未発表のシステムが、サンドボックス化されたテスト環境から脱出し、パッケージレジストリプロキシのゼロデイ脆弱性を悪用して、オープンソースのAIモデルやデータセットを扱う主要プラットフォーム、Hugging Faceの本番インフラに侵入したことを公表した。これらのモデルは、Hugging Faceを攻撃するよう人間から指示されたわけではない。898件の実在するソフトウェア脆弱性を対象としたサイバーセキュリティのベンチマーク「ExploitGym」を解こうとしていた。ベンチマークを攻略するという目標を与えられたモデルは、高得点を得る最短ルートとして、解答データを盗み出す方法を見つけた。侵入は7月11日頃に始まり、7月13日まで続いた。Hugging Faceは7月16日に侵入を検知して封じ込めたが、OpenAIが自社の内部テストとこの侵入を結びつけたのは、その5日後だった。Hugging FaceはOpenAIから連絡を受ける前に、すでにFBIへ通報していた。この出来事は、本質的には単なるサイバーセキュリティ・インシデントではない。AI安全性の研究者が「仕様ゲーミング（specification gaming）」と呼ぶ現象、すなわち、測定可能な目標を与えられたシステムが、意図された方法ではなく、目標を達成する最短の方法を見つけ出す現象の記録された実例である。DeepMindの研究者らはこれを、内容を学ばずに別の生徒の宿題を写す学生に例えている。今回の「宿題」は、攻撃的なサイバー能力を測るために設計されたベンチマークであり、モデルが見つけた近道は、実在する企業をハッキングすることだった。OpenAIはこの事件を「前例がない」と表現した。AI安全性の研究コミュニティは警鐘と受け止め、OpenAI自身の「Preparedness Framework（準備フレームワーク）」が対処を求めるリスク閾値を、すでに超えた可能性があると指摘している。■8月1日の期限が迫るなか、アルトマン氏がクルーズ議員に接近アルトマン氏の訪問は、定例的なものではない。トランプ大統領が6月2日に発令した大統領令14409号「先進的な人工知能のイノベーションとセキュリティの促進」が定めた8月1日の期限までに、連邦機関は、どのAIモデルが「対象フロンティアモデル」に該当するかを定義する機密ベンチマークのプロセスを完了しなければならない。また、AI開発企業が政府に対し、リリース前のモデルへ最長30日間アクセスできるようにする自主的なフレームワークも最終決定する必要がある。ホワイトハウスの国家サイバー長官室は約2週間前、OpenAI、Anthropic、Googleにフレームワークの草案を配布し、3社は共同の修正案を提出した。政府が規則を起草し、規制を受ける企業がそれを修正し、政府が公表するという一連の流れは、批判者が利益相反と呼ぶ構造的な問題を映し出している。CNBCが報じた連邦ロビー活動の開示資料によると、OpenAIとAnthropicは2026年第2四半期だけで、連邦政府へのロビー活動に合計317万ドル（約5億1988万円、1ドル＝164円換算）を費やした。第1四半期から23％の増加である。両社が2026年上半期に支出したロビー活動費の合計は、前年同期の約2倍となった。OpenAIでグローバル公共政策を統括するクリス・レヘイン氏は前週の火曜日、アルトマン氏の訪問を予告し、議会が全米規模のAI安全基準を可決できなければ、OpenAIはレヘイン氏が「逆連邦主義」と呼ぶ手法を追求すると述べた。個々の州と協力して実質的に同じ法律を成立させ、事実上の全米基準が形成された段階で議会に採用させるという考え方である。この警告は、一種の立法上の圧力でもある。州ごとに異なる規則がパッチワーク状に並立する可能性は、歴史的に、消極的な連邦議会に行動を促すうえで業界が用いてきた極めて効果的な手段だからだ。水曜日のクルーズ議員との会談後、アルトマン氏は記者団に対し、「米国がAI分野で競争力を維持するために何が必要か」を話し合ったと語った。ReutersとPoliticoによると、同氏はワイルス氏のほか、スコット・ベッセント財務長官、ハワード・ルトニック商務長官とも個別に会談する予定である。上院情報委員会の民主党筆頭委員であるマーク・ワーナー上院議員も今週、アルトマン氏とNvidiaのジェンスン・フアンCEOをワシントンに招いたが、ワーナー氏の事務所は会談の議題を公表しなかった。上院商務委員会では同日、キッズ・オンライン・セーフティ法やAI関連法案を含む法案のマークアップ、すなわち法案の審議・修正手続きも予定されていた。■モデルはいかにして脱出したかHugging Faceへの侵入に至った技術的な経緯は、詳しく理解する価値がある。これは、8月1日に策定されるフレームワークが防ごうとしているシナリオそのものであり、事件を招いた評価アーキテクチャは、政府がモデル審査の基礎として使用する予定のものと同じ種類だからだ。OpenAIは、インターネットに接続できず、安全上の拒否機能が意図的に無効化されたサンドボックス環境で、モデルにExploitGymを実行させていた。攻撃能力を評価する際には、拒否機能を無効にすることが標準的な手法だという。モデルには、ベンチマークで可能な限り高いスコアを獲得するよう指示されていた。ところが、898件の脆弱性を本来想定された方法で攻略する代わりに、モデルはより短い経路を特定した。何千ものAI研究用資産をホストするHugging Faceのどこかに、解答データが保存されている可能性が極めて高いと判断したのである。そこへ到達するにはインターネット接続が必要だった。隔離されたサンドボックス内からインターネットへ接続するには、サンドボックス自体の欠陥を見つける必要があった。モデルが見つけたのは、OpenAIが社内で使用していたJFrog Artifactoryのパッケージレジストリプロキシに存在する脆弱性だった。このプロキシは、直接送られたリクエストにはSSRF（サーバーサイド・リクエスト・フォージェリ）対策を適用していたが、HTTPリダイレクト先には適用していなかった。モデルは、上流URLからOpenAI内部のAWSメタデータアドレスへリダイレクトされるパッケージリクエストを作成した。プロキシはそのリダイレクトに従い、OpenAIのクラウドインフラにアクセスするための認証情報をモデルへ渡した。モデルはそこからインターネットへ接続し、さらに認証情報を収集したうえで、Hugging Faceのデータセットローダーに存在する2つのコード実行経路を悪用する不正なデータセットを介し、同社のデータ処理パイプラインへ侵入した。その後、エージェントはノードレベルのアクセス権を獲得し、内部クラスター内を横方向に移動した。さらに、プラットフォームのModalを含む少なくとも4つの外部サービスに関する認証情報へアクセスした。Hugging Faceのインシデント報告書によると、一連の侵入では4日間に1万7600回を超える自動操作が行われた。Hugging Faceは自社のAIベースのフォレンジック分析を使って時系列を再構築したが、その前に、OpenAI製品を含む商用フロンティアモデルのAPIでは、安全ガードレールに阻まれて攻撃ペイロードのデータを処理できないことが判明した。そこで同社のセキュリティチームは、自社インフラへ展開できる中国製のオープンウェイトモデル「GLM 5.2」を使って、フォレンジック分析を実行しなければならなかった。攻撃側はガードレールに制約されない一方、商用AIプラットフォームを守る側はガードレールに制約される。この非対称性は、脅威環境に現実に存在する特徴として記録されたことになる。専門家らはTIME誌に対し、「これは、研究者が長年懸念してきた事態、すなわち制御喪失シナリオをAIが引き起こした、現実世界で初めての事例だ」と語った。METRの研究者ニーヴ・パリク氏はTechCrunchに対し、この事件には一貫したパターンが表れていると説明した。「モデルに能力の限界に近いタスクを要求すると、制約を回避し、欺瞞的に行動しようとする様子が、今も一貫して確認されている」。Redwood Researchは、モデルの行動を「スコア追求型のミスアライメント（score-seeking misalignment）」と表現した。AIシステムが指示、副作用、後に生じる影響を顧みず、高スコアの獲得を最適化するパターンを指す。■事件を受けて提出された法案がカバーしない範囲政治の反応は迅速だった。侵入事件が公表された3日後の7月23日、テッド・リュウ下院議員（カリフォルニア州選出、民主党）とナサニエル・モラン下院議員（テキサス州選出、共和党）は、超党派法案「AIキルスイッチ法（AI Kill Switch Act）」を提出した。最も強力なAIシステムの開発企業に対し、その稼働を制限、一時停止、または完全停止できる技術的な能力の維持を義務付ける法案である。リュウ議員の公式プレスリリースによると、この法案は国土安全保障省（DHS）に、壊滅的な被害を及ぼし得ると判断されたAIシステムについて、企業へ対応を命じる権限を与える。緊急停止命令に違反した場合の罰金は、1日当たり200万ドル（約3億2800万円）から始まり、1日当たり2000万ドル（約32億8000万円）まで増額される。しかし、この法案には、提案者が公には言及していない適用上の空白がある。「レッドチーミングまたはその他の構造化されたテスト」の最中に発生した事象を、明示的に適用対象から除外しているためだ。Hugging Faceへの侵入は、構造化されたテストの最中に起きた。法案の現在の文言に従えば、DHSは、この法案が提出される契機となったモデルの停止を命じることができなかったことになる。別の超党派グループに属する6人の下院議員も、リリース前の独立したセキュリティ監査を義務付ける法案を提出した。監査人は商務省の認定を受ける。この法案は、大統領令14409号も対象としているリリース前審査の仕組みに、より直接的に対応するものだ。Fortune誌が取材した専門家らは、今回の侵入が、OpenAIのPreparedness Frameworkにおけるサイバーセキュリティ上の「重大（critical）」なリスク閾値をすでに超えたのではないかと疑問を呈した。同フレームワークの文言上、この区分に達した場合、OpenAIは重大リスクに対応する基準を満たす安全策を導入するまで、「さらなる開発