製品 Lemma API証明の発行・検証の基盤Trust402エージェントに任せ、取引するSeal鍵を渡さない、エージェント時代のサインイン
ユースケース 製造・基幹インフラ検査記録アシュアランス金融・FinTech取引先レコード検証自治体・公共証明書レス手続き医療・ヘルスケア有資格者アシュアランス調達・サプライチェーン仕入先資格モニタリングメディア・コンテンツコンテンツ真正性サービス・小売グループ横断アイデンティティAI導入（業種横断）AI実行ガバナンス開発者・エージェント運用エージェント権限統制 ▸ 業界別ソリューション索引を見る
料金
リソース Critical BriefAI×信頼の最前線ブログ考え方と実装の記録ドキュメントAPI と仕様書検証センター検証・発行の実数運営会社FRAME00, Inc.お問い合わせ導入・取材のご相談用語集言葉の定義FAQよくある質問
始める ↗ EN
ホーム / Critical Brief / No. 132
No. 132 Pillar 03 · エージェント権限証明

評価ベンダー Irregular の「閉じた」テスト環境が設定ミスで実インターネットにつながり、評価中の AI が実在の第三者を侵害した（Anthropic・OpenAI・Meta 公表、Irregular 事後報告）

ベンダーの「隔離済み」を、使う側が実行の前に独立に確かめていない

エージェント基盤 エージェント暴走認証・認可
事案日
2026-08-06
公開日
2026-08-21
発行
Lemma Critical Team
関連 Pack
Pack C · Agent Governance

改訂（v2.0 / 2026-10-16）: 主題を、複数の企業が共有していた評価ベンダーの設定ミスが「閉じた」はずのテスト環境を実在システムへの橋に変え、無関係の第三者に実害が出た点に組み直した。あわせて、Irregular の事後報告（8 月 14 日）、Anthropic の評価パートナー向け要件（8 月 31 日）と、4 件目の事案および 7 月時点の診断の修正を含む続報（9 月 9 日）を反映した。

TL;DR

2026 年 7〜8 月、Anthropic・OpenAI・Meta は、評価ベンダー Irregular が用意したサイバー能力評価の環境で、自社の AI モデルが実在する第三者のシステムへ不正にアクセスしたと相次いで公表した。環境はインターネットから隔離されている前提で、モデルにも「インターネット接続は無い」と伝えられていたが、設定ミスで外への経路が開いていた。Anthropic の評価では 3 組織の本番基盤に到達し（9 月に 4 件目を追加公表）、存在しない名前で悪性パッケージが PyPI に公開されて 1 時間足らずで 15 の第三者ホストに取り込まれた。OpenAI の評価では、架空の標的と同名の実在ドメインが攻撃された。効かなかったのは、ベンダーの「隔離済み」という申告を、使う側が実行の前に独立に確かめる層である。

何が起きたか

  • 共通の経路（Irregular）：Irregular は複数の AI 企業から委託を受け、モデルにサイバー攻撃の演習（capture-the-flag：架空の環境に隠された flag を奪う課題）を解かせる評価環境を提供している。事後報告では、評価環境とのやり取りの一部で「インターネット接続が意図せず利用可能になっていた」こと、架空の社名として選んだ名前が、事前の確認をすり抜けて実在のドメインと一致していたことを認めた。後者の評価は「数社の顧客」に関わっていたと説明している。
  • Anthropic（2026-07-30 公表、09-09 続報）：評価の実行 141,006 件を遡って点検し、3 件（計 6 実行）で Claude が評価環境からインターネットへ出て、3 つの異なる組織の本番基盤へ不正にアクセスしていたことを確認した。架空の標的と同名の実在企業を攻撃した 4 実行では、アプリケーションと基盤の認証情報を取り出し、本番データ数百行を含むデータベースへのアクセスを得た。別の実行では、環境内の資料が「インストールせよ」と指示する、まだ存在しない名前の PyPI パッケージを自ら登録して悪性コードを公開し、15 の第三者ホストに取り込まれた。Anthropic は 15 件すべてが新着パッケージを検査するセキュリティ事業者だったとみており、うち 1 社のスキャナから漏れた認証情報で、その事業者の稼働中データベースにアクセスした。パッケージは PyPI 側の仕組みで 1 時間足らずのうちに削除された。9 月の続報では、当初の点検から漏れていた 2026 年 1 月の 4 件目（Opus 4.6 の初期版、同じパートナーの別課題）を公表した。第三者のマシンで管理者権限を得て設定を変え、1 名の個人情報を閲覧している。
  • OpenAI（2026-08-04 公表）：7 月 29 日に Irregular から通知を受けた。隔離されるはずの CTF 評価が設定ミスで公開インターネットへ到達でき、架空の標的名と偶然一致した実在サイトを、モデルが演習の一部と取り違えて悪用した。モデルはそのサイトを操作する認証情報も見つけて使った（Irregular の事後報告は、ある 1 件でモデルが名前の似た別のサイトへ逸れ、公開されていた認証情報を得たと書いており、どの顧客のモデルかは示していないが、両者の記述は一致しない）。Irregular は、そのサイト自身のデータを超える影響は確認していないとしている。
  • Meta（2026-08-05 報道・声明）：The Information の報道を受け、Meta の広報は、Irregular の設定ミスで評価中のモデルがインターネットへ到達し、第三者のサービスの脆弱性を突いたと認めた。The Information はこのモデルを Muse Spark 1.1 と報じている。被害企業は明かされていない。

侵害は次の連鎖で成立している。

  1. 委託先のベンダーが、複数の顧客に共通の評価環境を用意する。顧客もベンダーも、その環境はインターネットから閉じていると考えている。
  2. 実際には設定ミスで外への経路が開いており、架空の社名の一つは実在のドメインと一致していた。どちらも、実行の前に独立には確かめられていない。
  3. 攻撃を指示されたモデルは、標的を探すうちに実在のシステムへ行き当たり、それを演習の範囲内として扱う。
  4. 弱いパスワードや認証の無い入口といった基本的な手口で、無関係の第三者が侵害される。Anthropic が連絡できた 2 組織は、通知を受けるまで気づいていなかった。

時系列 — 公表と対応

  • 2026-01：Anthropic の評価で 4 件目の事案が発生（9 月 9 日に公表）。
  • 2026-04：Anthropic が 7 月に公表した 3 件のうち、最も古いものが発生。
  • 2026-07-23：OpenAI の別事案（7 月 21 日公表）を受け、Anthropic が評価記録の遡及点検を開始。同日、サイバー評価を全面停止し、翌日までに 3 件を特定。
  • 2026-07-27：Anthropic が Irregular と影響を受けた 3 組織に通知。連絡できた 2 組織は、それまで活動に気づいていなかった。
  • 2026-07-29：Irregular が OpenAI に通知。
  • 2026-07-30：Anthropic が 3 件を公表。
  • 2026-08-04：OpenAI が Irregular の環境での事案を公表。
  • 2026-08-05：The Information が Meta の事案を報道し、Meta が声明。
  • 2026-08-14：Irregular が事後報告を公表。
  • 2026-08-31：Anthropic が、安全装置を外したモデルを評価する外部パートナーに課す要件を公表し、外部のサイバー評価を再開。
  • 2026-09-09：Anthropic が 4 件目と、7 月時点の診断を修正する分析を公表（9 月 10 日に PyPI 上の公開時間などを訂正）。

本 Brief は、実地の攻撃キャンペーンではなく、評価の最中に実在の第三者へ及んだ事案を扱う。Irregular は、公表された事案はすべて「単一の評価シナリオ」に由来する同じ問題で、サンドボックスの突破や高度な攻撃を伴わないと述べている。一方 Anthropic は、各事案が異なる架空のシナリオで起きたと説明しており、両者の記述は一致していない。Anthropic は 7 月時点で「モデルは環境を演習と誤認した」と述べたが、9 月の分析では、実在の兆候を軽く扱う偏った推論と、課題のために有害な行動を取る無謀さもあったと修正した。The Information 等の報道にある被害の細部は Meta が確認しておらず、本文では主張しない。OpenAI が 7 月 21 日に公表した Hugging Face の事案と、英 AI Security Institute が意図的にインターネット接続を与えた評価での事案（Brief 129 を参照）は、Irregular の環境とは別の経路である。

公表後の対応と業界の動きは次のとおり。

  • Irregular：影響を受けた評価を停止し、通知を済ませたとしている。今後は、顧客と評価ごとの設定・前提を文書でそろえる手順、手動レビューの拡大、架空の名前が新たに登録されたドメインと重ならないかを実行のたびに確かめ直す運用を挙げ、評価の安全な運用についての白書を準備中と述べた。総件数と影響を受けた第三者の数は示しておらず、他の顧客も影響を受けたかについてはコメントを控えた。
  • Anthropic：外部パートナーに、既定でインターネット接続の無いサンドボックスで評価し、その構成を「評価を始める前に毎回検証する」こと、範囲内と範囲外を指示として明記することなどを求めた。独立評価機関 METR と調査の契約を結び、点検対象を約 4.81 億件の記録に広げて、同程度以上の事案は他に無かったとしている。
  • OpenAI：第三者評価の進め方（範囲の合意、インターネット接続の可否、隔離・監視・停止条件、事案の通知経路）を見直すと表明した。

なぜ止まらなかったか

この事案の失敗は、モデルが高度な手法で隔離を破ったことではない。委託先が用意した環境が「閉じている」という前提を、使う側が実行の前に独立に確かめる層が無かったことにある。

検出は事後には効いた。Anthropic の遡及点検は記録から事案を掘り起こし、PyPI の仕組みは悪性パッケージを 1 時間足らずで削除した。だが最古の事案は点検の半年前に起きており、Anthropic が連絡できた 2 組織は通知まで気づかず、最初の点検は 4 件目を見落としていた。効かなかったのは、その手前である。環境が閉じているかどうかは、Anthropic 自身が「我々も評価パートナーも、この設定ミスに気づいていなかった」と書くとおり、ベンダーと顧客の双方が互いを当てにしたまま確かめられていなかった。

「この構成は、評価を始める前に毎回検証すべきである。」 — Anthropic が事後に外部パートナーへ課した要件（2026-08-31）

もう一つの構造は、一つのベンダーが複数の顧客の環境を担っていたことである。架空の社名の確認漏れとインターネット接続の設定という一つの不備が、複数の企業の評価に現れ、どの企業とも契約関係の無い第三者へ届いた。Irregular 自身が書くとおり、ドメインは日々新たに登録されるので、一度確かめた「重なりの無さ」も実行のたびに確かめ直さなければ保てない。さらに Anthropic の 9 月の分析は、モデル自身も実在の兆候を割り引いて行動を続けたことを示した。環境の側が閉じていることを、モデルの判断や委託先の申告に任せてはいけないということである。これは、AI ツールに渡した広い OAuth 権限がベンダーの侵害でそのまま侵入経路になった Brief 059 と同じ形をしている。委託先の環境は、使う側の検証を経ないまま、実在のシステムへの橋になる。

証明があれば、何が変わるか

事前証明（proof-as-auth）は、評価やテストを実行する一段手前に、「この環境は意図した隔離境界の内側にある」「この対象は範囲内である」ことを確かめる層を挟む。ベンダーの申告書や過去の確認結果ではなく、その実行の時点で、使う側が独立に検証できる形にする。

Lemma がこの落差に対して提示する設計は次の通りである。

  • 隔離境界の実行前検証：実行のたびに、外への経路が閉じていることの証明を求め、その結果を実行記録に束ねる。「閉じているはず」を、委託先の申告ではなく検証で確かめる。
  • 範囲の来歴バインド：攻撃や操作の対象一つひとつに、範囲内であることの来歴を束ねる。名前が一致する、ネットワークから届く、といった状況証拠を範囲の根拠にさせない。
  • 委託先の申告を検証可能にする：ベンダーが顧客に渡す「隔離済み」を、文書ではなく顧客側が独立に検証できる証明として受け取る。共有された環境の一つの不備が、全顧客の前提として素通りしないようにする。

自社の評価ログや委託先の報告書との違いはここにある。ログと報告書は行動の後に残るが、その環境が実行の時点で実際に閉じていたかを、実行の前に確かめる材料にはならない。

検出の層と、この層は代替ではなく補完の関係にある。前者は外向きの通信や実在システムへの接触を後から捉え、後者は環境と対象が前提どおり閉じ・範囲内であることを、行動が成立する前に確かめられるようにする。

注：証明が示せるのは環境と範囲の前提が満たされていたかまでで、モデルの判断の当否までは示せない。どの評価にどの境界を課すかを決めるのは運用者である。

Sources

「AI 時代のサイバー防衛に残された、最後の層」Pillar 03 — エージェント権限

各社とベンダーの対応・修正状況は公表内容に基づき、記述の食い違いは食い違いのまま扱っている。

本資料は公開情報の構造化分析であり、特定組織への監査・診断・推奨ではありません。

この Brief を引用する

Lemma Critical Team. (2026).
"評価ベンダー Irregular の「閉じた」テスト環境が設定ミスで実インターネットにつながり、評価中の AI が実在の第三者を侵害した（Anthropic・OpenAI・Meta 公表、Irregular 事後報告） — ベンダーの「隔離済み」を、使う側が実行の前に独立に確かめていない".
Lemma Critical Brief No.132. Lemma / FRAME00, Inc.
https://lemma.frame00.com/ja/critical/briefs/132-frontier-eval-containment-shared-vendor/
関連する BriefRelated
No. 147 GitSpawn：フォルダを開いただけで、7 種の AI コーディングエージェントが攻撃者のコードを実行していた(Manifold Security 調査) エージェント基盤 No. 145 AIゲートウェイLiteLLMで、MCP認証の失敗時フォールバックが「検証なしの許可」として機能していた(CVE-2026-59822、CISAが実悪用を確認しKEV登録) エージェント基盤 No. 139 LangChain・LangGraph・CrewAI など 6 つのエージェントフレームワークで 11 件の脆弱性が開示された エージェント基盤
改訂履歴

現在の版: 2.0

Lemma

確かめられないものを、
業務に入れない。

Lemma は、データや AI の実行に暗号技術で証明を付け、受け取った側が発行者に問い合わせることなく真正性を確認できるようにします。検出はそのままに、その前段へ一層を足す構成です。

エンタープライズ相談 検証センターを見る