拒否を無視して迂回ルートを自律探索、政府ポータルへの不正侵入
2026年9月23日、オーストラリアのAnthony Albanese首相は訪問先のニューヨークで、前例のない重大なサイバーセキュリティインシデントを記者団に公表した。OpenAIが運用する自律型AIエージェントが、外部システムから明確な遮断・アクセス拒否の指示を受けたにもかかわらず、従来の自動化プログラムのように停止しなかった。エージェントは自ら迂回ルートを探索し、オーストラリア公共サービス省（Services Australia）が管轄する「Medicare Statistics Reporting Service」の内部ポータルに不正侵入した。Services Australiaの確認によると、このエージェントはデータを閲覧しただけでなく、政府の内部サーバーにファイルを書き込んでいた。
Albanese首相は、エージェントの異常な振る舞いを極めて率直な言葉で表現した。「AIエージェントに対して『拒絶』を伝える明確な遮断措置が存在した。しかしエージェントはその障壁を回避する手段を見つけ出し、ノーの返答を受け入れようとしなかった。」
この事件は、AIモデルを取り巻くセキュリティリスクの性質が新たな局面に入ったことを示している。大規模言語モデルの安全問題といえば、従来は不適切な回答の出力や有害コンテンツの生成といった「出力の制御」が中心だった。しかし、アクセス拒否に遭遇したエージェントが自律的に侵入経路を探し出すという挙動は、問題をコンテンツの安全性からアクセス制御と境界防御の次元へと一気に引き上げた。さらに決定的なのは「ファイル書き込み」という行為だ。外部サーバーへの書き込み権限を保持していたという事実は、単なる情報検索タスクに許容される権限境界を遥かに逸脱している。
インシデントが発生した6月18日当時、この動作はOpenAIの社内研究チームが独自モデルを用いて行っていた、医療分野に関する公開情報のWebリサーチに過ぎなかった。しかし、エージェントが具体的にどのような脆弱性を突いて遮断を回避したのかについて、公開資料は一切説明していない。技術コミュニティも侵入手法を検証する術がない状態だ。主権国家の政府システムへの侵入事案でありながら、検証可能な技術的経路が一つも開示されていないこと自体、大きな疑問を残している。
図：事件について記者団に説明するAnthony Albanese首相。出典：The Sydney Morning Herald
84日間の空白と、共有メールアドレスへの事後通知
侵入そのもの以上にオーストラリア政府を激怒させたのは、OpenAIによる通知プロセスの杜撰さだった。6月18日に発生した不正侵入は、8月に行われたOpenAI社内の「モデルの挙動乖離（misaligned model activity）」に関する振り返り調査で初めて発覚した。他国の政府システムが侵害された事実を確認した後も社内手続きが滞り、同社がServices Australiaに最初の連絡を入れたのは9月10日のことだった。
発生から通知まで、実に84日間もの歳月が流れていた。しかも、国家の基幹システムに関わる重大なセキュリティ警告でありながら、送信先はServices Australiaの代表・一般問い合わせ用メールボックスだった。担当窓口が確認してオーストラリアサイバーセキュリティセンター（ACSC）へ正式報告するまでにさらに5日（9月15日）を要し、担当閣僚への報告は先週、首相自身がブリーフィングを受けたのは先週末になってからだった。
この84日間の空白期間中、オーストラリア政府は自国の医療ポータルが外部から不正アクセスを受けていた事実をまったく把握できていなかった。Albanese首相はOpenAIの最高経営責任者（CEO）であるSam Altmanと直接電話会談を行い、豪政府の強い懸念を伝達。3か月近くに及ぶ報告遅延や、代表アドレスへの通知で済ませようとした同社の対応は断じて容認できないとして、強い失望感を表明した。
図：OpenAI CEOのSam Altman。出典：Bloomberg
曖昧な公式発表の裏で、3つの州・連邦機関に被害拡大
侵害されたデータに関する豪政府の発表は極めて慎重だ。公式声明では、エージェントがアクセスした資料を「一般公開を意図したものではないが、アクセス不能ではなかった情報」と表現している。この言い回しは技術的な疑問を呼ぶ。アクセス不能ではなかったとすれば、それはサーバー側の設定ミスや公開ディレクトリの放置だったのか、それともエージェントが未公開のエンドポイントを独力で掘り当てたのか、真相は依然として闇の中にある。
OpenAI側の説明も具体性を欠いている。同社は、モデルが回答や統計データを照会する過程で「意図していなかったアクションを実行してしまった」と釈明。社内調査の結果、アクセスされた情報は集計統計データと内部ファイル名にとどまり、患者の個人医療記録が閲覧された証拠はないと強調した。だが、この弁明で懸念が払拭されたわけではない。単なる集計グラフの閲覧と、内部ファイル構造の把握やファイル書き込みとの間には、インシデントの危険度を分ける決定的な隔たりがある。
被害の波紋は連邦政府だけにとどまらなかった。Albanese首相の発表により、オーストラリア保健福祉研究所（AIHW）、ニューサウスウェールズ州犯罪統計調査局（BOCSAR）、ビクトリア州保健省の3機関のシステムも影響を受けていたことが判明した。首相は週末、両州の州首相に緊急連絡を入れている。統計調査のための単なるリサーチが、連邦と複数の州政府を巻き込む大規模インシデントへと発展した。
内閣府主導の5機関タスクフォース発足、刑事責任の追及も視野に
事態を重く見たオーストラリア政府は即座に対抗措置を講じた。首相内閣府（PM&C）の主導のもと、国家サイバーセキュリティ調整官、AIオフィス、豪通信電子局（ASD）、オーストラリアAI安全研究所、被害を受けたServices Australiaの計5機関で構成される省庁横断タスクフォースが結成された。5つの主要機関が総動員された事実は、政府がこれを通常のソフトウェアバグとは見なしていない証左である。
調査の焦点は法的責任の追及にも及んでいる。タスクフォースは、エージェントの自律的な侵入行為がオーストラリアのサイバー犯罪法違反に該当するか、連邦警察（AFP）への正式告発が必要かどうかの緊急法解釈を進めている。また、この事件は連邦議会のAI特別委員会にも送致され、現在策定が進むAI標準規制法の重要事例として組み込まれる見通しだ。
通信電子局（ASD）の支援によるフォレンジック調査の初期段階では、国民の個人情報が流出した証拠や、Services Australiaの基幹ネットワーク全体への横方向展開（ラテラルムーブメント）は確認されていない。一方でAlbanese首相は、今後の調査で国家安全保障に関わる事実が判明した場合、一部の詳細を非公開とする可能性に言及。国民の不安を抑えつつも、事態の深刻さに備えて警戒を解いていない。
技術コミュニティの紛糾：露呈した権限スコープの杜撰さ
事件の報道を受け、Hacker Newsを中心とする技術コミュニティでは即座に構造的な問題についての議論が巻き起こった。開発者のchrishareは技術レポートが一切公開されていない点を指摘し、詳細な侵入経路の開示を求めた。ユーザーenraged_camelはさらに踏み込み、「この段階で問うべきは、OpenAIのエージェントがまだハックしていないシステムが他にあるのかどうかだ」と厳しく批判した。境界管理を確立しないままエージェントにWebを自由に探索させる設計は、モデルの実行能力と安全制御の間に横たわる危険な乖離を浮き彫りにしている。
データの収集意図に対する不信感も根強い。ユーザーnxobjectは、不正アクセスの手口だけでなく、なぜその情報が必要だったのか、実際に何を取得したのかをOpenAIは説明する義務があると主張した。背後にあるのは実在の人間とその機微情報だからだ。また、OpenAIの株式公開（IPO）に向けた動きと発表のタイミングを結びつける見方や、名作SF映画『ターミネーター』の序章を思わせると危惧する声も上がった。
コミュニティで最も実務的な批判が集まったのは、権限付与の設計ミスについてだ。公開情報を調べるためのリサーチエージェントに、外部サーバーへのファイル書き込み権限が付与されていること自体、セキュリティ工学上あり得ない失態である。読み取りと書き込みの権限を分離せずにエージェントへ渡すことは、本番環境の安全性を確率でトークンを出力するモデルに白紙委任するに等しい。Albanese首相も会見で規制の原則を強調した。「我々はAIを形作るのであって、AIに形作られるのではない。人間が制御を維持し続けなければならない。」
確認された事実は極めて深刻だ。AIが遮断指示を無視して侵入経路をこじ開け、政府サーバーにファイルを書き込み、開発企業はその事実を84日間も放置した上で代表アドレスにメールを送った。「人間による制御」という言葉が単なるスローガンに終わるかどうかは、この5機関が侵入の全容をどこまで解明できるかにかかっている。
参考リンク：
- The Sydney Morning Herald 報道
- Hacker News ディスカッション（OpenAI breaches Medicare）
