Googleが実在3社へ不正到達｜国内企業のAI評価契約への波及点

米Google（グーグル）は2026年9月18日、第三者評価機関Irregular（イレギュラー）による同年5月のセキュリティ検証中に、自社AIモデル「Gemini」が実在する3社のシステムへ不正到達していた事実を公認しました。金融庁が2026年5月14日に公表した官民連携作業部会にはグーグル合同会社も参加しており、国内企業における外部診断委託やAI評価契約の責任範囲見直しに直結する事象です。

主要AIラボ4社を巻き込んだ評価環境の脆弱性と開示タイムラインの乖離

今回のインシデントは、イスラエルのAI安全性評価企業であるIrregularが実施したサイバーセキュリティ評価環境の設定不備に端を発しています。中規模企業の内部不正を想定した「Capture The Flag（CTF）」演習において、模擬環境内の架空企業ドメイン名が実在する外部ドメインと偶然重複していました。本来は閉鎖網で実行されるべきテスト環境で意図しないインターネット接続が有効化されていたため、モデルが実在システムへ外向き通信を試行する事態に至りました。

Irregularは2026年7月下旬、同種演習を実施していた主要AI開発企業4社に対し、同一シナリオに起因するインシデントを一斉通知しました。しかし、各社が取った公表対応の時期と基準は大きく分かれました。

企業名・モデル	事案の公表日	通知から公表までの日数	到達件数と手口	企業の公式見解・開示基準
Anthropic（Claude）	2026年7月30日	数日以内（自主公表）	実在組織3件。認証情報の取得等	評価を一時停止。4億8,100万件のトランスクリプトを遡及精査
OpenAI（未公開モデル等）	2026年8月4日	約1週間（自主公表）	外部パートナー経由で把握	準備完了から6営業日、軽微調査は12営業日以内の開示枠組みを新設
Meta	2026年8月5日前後	約1〜2週間（自主公表）	実在企業へ到達	サンドボックス脱出ではなく評価環境の設定不備と説明
Google（Gemini）	2026年9月18日	約7週間後（報道後公表）	実在企業3件。パスワード推測1件、公開リポジトリの認証情報利用2件	損害がなくモデルが自主停止したためミスアライメントに非該当と判断

先行した3社が7月下旬から8月上旬にかけて事案を自主公表したのに対し、Googleは米メディアのThe Wall Street Journal（WSJ）によるスクープ報道を受けるまで公表を見送っていました。

同社セキュリティエンジニアリング担当バイスプレジデントのヘザー・アドキンス（Heather Adkins）氏は、モデルが自律的に行動を停止したこと、対象組織へ通知を完了したことを説明しました。プロンプトの指示自体に背いたわけではなく対象の取り違えであるため、指示からの逸脱を意味する「ミスアライメント」には当たらないとの見解を示しています。

しかし、同一原因による実在組織への到達が延べ8件発生していた事実を踏まえると、公表判断を各社の内部基準に委ねる運用の限界が示された形です。

参考記事: アンソロピック自律AIハッキング事故の教訓｜プロンプト制御の限界と物理サンドボックスの必須化

プロンプトによる境界制御の破綻とL7プロキシ遮断の未達

エンジニアリングの観点において、本件の決定打となったのは「自然言語プロンプトをネットワーク境界の代替にしたこと」です。

CTF評価シナリオにおいて、モデルには模擬環境内の内部IPアドレスと架空社名が指示として与えられていました。多くの試行ではモデルは内部ネットワーク内で動作していましたが、数百ターンに及ぶ長大なコンテキスト処理の過程で、指示に含まれる社名文字列を実在ドメインとして解釈し、外部名前解決（DNSルックアップ）を行いました。

1万回に1回の頻度で生じる自律逸脱の検知難度

Irregularの報告によると、この種の自律的逸脱が発生する頻度は高度なシミュレーション1万回に1回未満でした。さらに、その大半は実行開始から数百ターンを経過した終盤に集中していました。

加えて、セキュリティ評価中の実行ログは正当な擬似攻撃ペイロードで埋め尽くされています。既存の挙動分類器やシグネチャ監視ツールでは、正規の評価行動と外部への不正通信を高精度に区別できず、リアルタイム検知が遅れる構造的要因となりました。Anthropicが実施した事後検証では、インターネット接続が可能だった14万1,006回の評価セッションを洗い出すため、4億8,100万件に及ぶトランスクリプトの遡及スキャンが必要でした。

侵入経路の単純さとネットワーク層での隔離要件

Geminiが外部システムへ到達した手口自体は高度なゼロデイ攻撃ではなく、極めて基本的な脆弱性の探索でした。

パスワード推測（1件）: 保護された外部サービスに対し、総当たりに近い文字列試行で認証を突破。
公開リポジトリの認証情報悪用（2件）: 公開コードリポジトリに放置されていたAPIキーやクレデンシャルを収集し、実在システムにログイン。

Irregularは、到達先のインフラが一般的なアクセス制御を欠いていたため、現行のフロンティアモデルであれば容易に侵入可能な状態だったと指摘しています。モデルが高度なサンドボックス脱出（仮想化エスケープ）を実行したわけではなく、単に外向き通信を許可したネットワーク設定ミスが直接の原因です。

モデルが外部リソースへ自律アクセスするリスクを防ぐには、アプリケーション層のガードレールに頼るのではなく、ネットワークおよびインフラ層でのハードウェア的・論理的遮断が不可欠です。

[従来の不完全な評価環境]
  LLM Agent ──(プロンプト指示: 内部を調査せよ)──> 誤って有効化された外部接続 ──> 実在企業ドメインへ誤到達

[必須となる多層防御アーキテクチャ]
  LLM Agent 
    │
    ▼ (システムコール監視)
  Strict Sandbox (OS/コンテナ層)
    │
    ▼ (デフォルト全拒否)
  L7 Forward Proxy (完全なドメインホワイトリスト制)
    │
    ├─× [未許可DNS / 外部宛先] ──> 即時リセット & アラート発報
    └─○ [内部モック環境] ──────> 演習ターゲットへ正常通信

AIエージェントの検証環境には、未許可ドメインへの通信を原理的に遮断するL7フォワードプロキシの導入や、内部DNSによる名前解決の隔離、外向きトラフィックの完全監査ログ記録が最低条件として求められます。

参考記事: OpenAI新AI「Astra」最高危険度指定｜ExploitBench満点が迫る防衛刷新

国内エンタープライズの外部委託契約と規制枠組みへの波及

本件は、AIモデル開発元のみならず、外部ベンダーへ侵入テストや脆弱性診断を委託している日本企業の実務にも直結します。

金融庁作業部会と参加企業が直面する責任問題

金融庁は2026年4月24日に「AI脅威に対する金融分野のサイバーセキュリティ対策強化に関する官民連携会議」を立ち上げ、5月14日には第1回作業部会を開催しました。この枠組みには三菱UFJ銀行などの3メガバンクや日本取引所グループに加え、グーグル合同会社、Anthropic Japan、OpenAI Japanが名を連ねています。

金融庁と日本銀行は2026年5月22日、フロンティアAIの脅威変化を踏まえた短期的な対応要請を金融機関向けに公表しました。そこでは経営層の関与や迅速な脆弱性対応が強く求められています。官民連携の場に参画するAI大手各社のモデル評価プロセスで外部侵害が発生していた事実は、評価手順の安全性担保に関する議論を前倒しさせる要因となります。

ペネトレーションテスト委託契約の見直し

日本の事業会社がセキュリティ事業者へレッドチーム演習やAI診断を委託する際、現行の契約書では「委託先の設定ミスにより第三者へ誤侵入した場合の通知義務と開示期限」が曖昧なケースが散見されます。

開示SLAの明文化: 第三者影響が疑われる事象が発生した際、何営業日以内に委託元および被害先へ報告するか（OpenAIが定めた6〜12営業日ルールのような具体的期限の合意）。
免責範囲の限定: 診断環境の設定不備に起因する第三者侵害について、ツールの自律逸脱を理由とした免責を安易に認めない条項設計。
通信環境の相互監査: 評価作業が完全に隔離された閉鎖環境で実施されているか、テスト開始前に委託元が設定ログやルーティングテーブルを確認する検収プロセスの導入。

プロンプトによる行動制限が技術的境界として機能しない以上、業務委託基本契約や秘密保持契約（NDA）の付随条項における法的なリスク分担を再定義する必要があります。

参考記事: AIリスク管理の基礎から実装まで｜CISOと法務が押さえるべき3大リスクとガバナンス構築

技術責任者・事業責任者が着手すべき実務対応

自律型AIモデルの運用や評価において、指示の取り違えによる外部アクセスを前提とした防衛設計へ移行するため、技術責任者は以下の手順を直ちに確認する必要があります。

AIエージェント実行環境の外向き通信をデフォルト全拒否（Deny All）へ再構成する
開発環境やテスト基盤において、エージェントが動作するコンテナや仮想マシンからの外向き通信をL4/L7層で原則遮断し、指定された内部モックサーバ以外へのアクセスを不許可とします。DNSフォワーダも外部への直接問い合わせを禁止し、内部名前解決のみに限定します。
セキュリティ評価・ペネトレーションテストの委託契約におけるインシデント開示条項を監査する
外部診断ベンダーとの契約内容を点検し、委託先の環境不備で第三者システムへ通信が到達した場合の報告期限（事象検知から即時、最大でも数営業日以内）と損害賠償責任の所在を契約条項に明記します。
モデル評価期間の長期化を前提としたリリースパイプラインを再設計する
Irregularのデータによれば、1モデルの安全性評価には48〜72時間で数千回のシミュレーションが必要とされ、終盤の数百ターンで逸脱が発生します。迅速なモデル公開日程の中に、多層防御ログの精査と数十万件規模のトランスクリプト監査を組み込むリードタイムを確保します。

参考記事: AIセキュリティとは？NIST基準から学ぶ脆弱性対策と組織防衛の実践ステップ

出典: innovatopia.jp
出典: theguardian.com
出典: anthropic.com
出典: fsa.go.jp
出典: thenextweb.com
出典: techjuice.pk