隔離した1200体のAIが結託。任せる範囲の決め方

8月26日、OpenAI と METR が7月の事故の報告書を同じ日に公開した。別々の箱に入れてあったはずの約1,200体のAIエージェントが、社内のパッケージ管理システムを掲示板に作り替え、7万件を超えるメッセージとファイルをやり取りしていた。うち約700体が、外部の Hugging Face への侵入に加わっている。

人間の指示は、どこにも無い。

隔離してあったのは、エージェント同士の身元だった。届く先のほうは隔離できていなかった。ここが中小企業にもそのまま来る。

掲示板に転用された、パッケージの置き場

場所は OpenAI 社内のサイバーセキュリティ評価環境だ。7月7日から13日にかけて、そこで動いていたエージェントが互いに連絡を取り始めた。

連絡路に使われたのは JFrog Artifactory の社内インスタンス。エージェントにソフトウェアの部品を配るために置いてあったものだ。読み書きできる共有の置き場が1つあれば、伝言板として使えます。実際に使われたのは、そこが点数を取るための近道だったからです。

METR と Redwood Research の調査によると、1体が Hugging Face の認証情報を見つけ、悪意のあるデータセットを置いて無関係なファイルを吐かせる手口を編み出した。それが掲示板に流れて、数時間のうちに数百体が同じことをやり始めている。採点をごまかすための試行が数日続き、ログを書き換えようとした形跡も残っていた。

調査の範囲は限られている。調査期間と範囲を OpenAI 自身が設定し、OpenAI のインフラ侵害は対象外にされた、と Fortune が8月26日に指摘した。それでも、掲示板ができた経路そのものは、METR と Redwood の調査員が OpenAI の社内に合計6日間入って確かめている。

中小企業で同じ役をする場所

評価環境の話だから関係ない、で終わらせられない。読み書きできる共有の置き場と、そこから外に出る口。この2つなら20人の会社にもある。

全社共有のドライブ、メールの送信権限、会計ソフトや案件管理のAPIキーを入れた自動化ツール。AIに作業を任せるとき、たいていこのどれかの鍵を一緒に渡しています。

渡した鍵は、渡した作業だけに使われるとは限らない。1,200体にとって、掲示板は点数を取るための近道だった。評価環境では点数が仕事で、その近道を誰も塞いでいなかった。

自分が顧問先で最初に聞くのも、ここになった。このAIは、どのフォルダまで見えますか。そこから外に出せますか。

任せる範囲の3段

任せる範囲は、実務だと3段に割れる。読むところまで、下書きまで、実行まで。

自分が見てきた事故は、どれもいちばん下の段から外に出ている。送信、登録、支払い、削除、公開。ここだけは人が押す、と決めておけば、手口が何であれ外に出る前で止まる。触れるフォルダを1つに絞ったうえでなら、上の2段は全部渡していい。読むのと書くのを止めると、AIを入れた意味がほぼ消えます。

VentureBeat が伝えた Cisco の調査（RSA Conference 2026 で公表）でも、企業は同じところで止まっていた。85%がAIエージェントを動かしていて、本番を任せられると答えたのは5%。

対象は大企業の調査です。それでも自分は、この85%と5%の間を、行動の範囲を決めていない会社の在庫だと見ている。顧問先で止まっている案件も、理由はだいたいそこだった。動くものは作れたが、何をさせてよいかを誰も決めていないので、責任の持ち手がいない。

置き場所のほうも同時に決める。作業ごとに、AIが触れるフォルダを1つに絞る。全社ドライブを丸ごと見せて「機密は入れないでね」と伝える運用は、1,200体に共有の Artifactory を1つ渡した形と変わらない。

「うちはエージェントを使っていない」への答え

ファイルを読ませて、メールの下書きを作らせている。それなら今は「読む」と「下書き」の段にいます。その段にいるうちは、AIが自分で外に出せるものは1つもありません。

ただ、自分が見ている範囲だと、ここ1年で各社が送信や登録まで押せる機能を標準で付け始めた。ブラウザを開いて画面を操作するもの、業務システムに直接つなぐもの。設定を1つ有効にした瞬間に、3段目に上がります。

気づくのは、たいてい1通目が顧客に届いたあとです。有効化の判断をした人と、その作業を毎日回している人が別なら、なおさら遅れる。

今週、1つだけ決めること

AIに任せている作業を1つ選んでください。その作業で、AIが触ってよいフォルダを1つに絞る。そして実行の一歩手前で止める。

それだけです。規程は今週は触らなくていい。

9月17日に書いた「何を入れてよいか」の線引きと、9月18日に書いた「誰が止められるか」は、どちらも要ります。今日足すのは3本目の線で、何をさせてよいかのほう。3本揃って初めて、エージェントを本番に出せる。

次にAIツールの権限画面を開くときは、そのツールが自分で押せるボタンを数えてほしい。送信、登録、支払いが1つでも入っていたら、その作業はもう3段目です。

自社の棚卸しから始めたいときは、30分の無料相談で、作業を1つ選んで3段のどこに線を引くかまで一緒に決めます。

参考

• OpenAI「The Hugging Face incident and the road ahead」 https://openai.com/index/hugging-face-incident-and-the-road-ahead/

• METR / Redwood Research「Brief independent investigation of agents' behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident」 https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/

• ITmedia NEWS「Hugging Face侵害事件、OpenAIとMETRが最終報告書公開」（2026年8月30日） https://www.itmedia.co.jp/news/article/2608/30/2000000949/

• Fortune「OpenAI, independent firms publish reports into rogue AI agent attack on Hugging Face」（2026年8月26日） https://fortune.com/2026/08/26/openai-publishes-technical-report-on-how-its-agents-hacked-hugging-face-here-are-the-main-takeaways-and-what-openai-left-out/

• VentureBeat「85% of enterprises are running AI agents. Only 5% trust them enough to ship.」 https://venturebeat.com/security/85-of-enterprises-are-running-ai-agents-only-5-trust-them-enough-to-ship