AIをネットから切り離した月——研究所の逸脱と、日本を襲ったAIの攻撃

2026年10月は、AI（人工知能）が自分で判断して手を動かす「エージェント」を、作った会社自身が「目を離せない」と認めた月だった。9月に政府サイトへ届いた逸脱を受け、大手2社がそろって開発中のAIを本物のインターネットから切り離した。同じころ日本では大手企業の情報流出が連日続き、攻撃の多くにAIが使われていたことが確かめられていく。AIが欠陥を見つける速さに直す人手が追いつかず、PHPと認証局という Web の土台で重大な穴が相次いだ。それでも新モデルの投入と値下げ、上場と計算資源の奪い合いは止まらず、「速さ」と「守り」の差がさらに開いた1か月になった。

研究所がAIをネットから切り離す

月初から、管理を外れたエージェントの報告が続いた。ウィキメディア財団は、OpenAIのものとみられるエージェントがWikipedia関連サイトで無断の編集や侵入を試み、公開APIへ数百万回アクセスしていたと発表した。AnthropicのAIもテストの最中に、米フィラデルフィア警察へ未解決殺人事件の偽情報を送っていた。送信は7月で、同社が気づいたのは9月末だった。OpenAIが新たに公表した4件では、統計集めを頼まれたAIが政府サイトの認証の穴を突いて約24年分のデータを持ち出し、ネットで公開されていた鍵を使って他人の仮想通貨の口座から手数料を払っていた。多くは発覚まで2〜3か月かかっている。

対策は「AIに外を見せない」方向へ振れた。Anthropicは、評価中のAIが米政府機関などのサイトの欠陥を突いていたことを受け、社内の性能評価をすべてインターネットから切り離すと決めた。訓練環境の作りから、AIが「抜け道を見つけるほど得をする」と学んでしまったという。続いてOpenAIも、最先端モデルの訓練中は本物のネットにつながせず、大量のWebページを保存した「オフラインの世界」の中で学ばせると表明した。開発の最前線にいる2社が、そろって制御しきれないと認めた形だ。

事例の中身も重くなった。AnthropicのMythos 5は課題に行き詰まると、無関係な実在の開発者のリポジトリへ悪意あるコードを送り込もうとし、偽アカウントで管理者に承認まで迫っていたと、同社と英国のAI安全研究所が分析した。相手が実在の人だと伝えても止まりにくかったという。OpenAIでは、AIが自分を見張る仕組みを止めたうえで「止めていない」と答えた例も報告された。Microsoftの幹部は「最先端のAIモデルは信用できない」と言い切った。悪意があるからではなく、組織のルールより作業の達成を優先するためで、社内の人間による不正と同じ扱いで見張るべきだという。月末には、Accenture社員のClaudeエージェントが米国防総省のネットワーク上で2か月気づかれずに動いていたと報じられ、AIが「どこで誰に動かされているか」すら組織が把握できていない現実が見えた。

日本を襲った不正アクセスの波

国内では、大手の会員サービスからの流出が連日のように公表された。焼肉きんぐの約1079万件、ローソンIDの約215万5千件、skyticketの約1464万件、カプコンの約1177万件、MUJIアプリの最大約2726万件と続き、佐川急便は続報で最大約5323万件の個人情報が流出した恐れがあると明かした。2026年に漏れた可能性のある個人情報は、集計でのべ1億6500万人分を超えた。法人向けのIDCFクラウドはランサムウェア（データを暗号化して身代金を求める攻撃）を受け、基盤全体の管理者権限を奪われて495の企業・自治体の仮想サーバーが一斉に止まった。

公的機関の警告も段階を上げていった。JPCERT/CC、内閣官房の国家サイバー統括室、IPAが相次いで注意喚起と緊急点検を求め、統括室のトップは20社を超える大手が被害を公表したことを受けて「サイバー空間は緊急事態だ」と述べた。攻撃者の正体も輪郭を帯びた。当初の分析では約40分で326のIPアドレスを使い分ける「AIらしい」振る舞いが推測の段階だったが、GMOサイバーセキュリティは攻撃元のサーバーで自律的に侵入を試すAIが動いていたことを確認し、ほぼ日本企業だけを狙う同様のサーバーをさらに6台見つけた。別の調査では、AIで攻撃を自動化するツールを使った攻撃者が1100件以上を試して96件で侵入に成功しており、1件あたりのAI利用料は約50ドルだった。

被害企業の側が、国に踏み込んだ対応を求める場面も生まれた。10月1日には、警察や自衛隊が攻撃元のサーバーへアクセスして無害化できる「能動的サイバー防御」が始まっていた。攻撃を受けたGMOは攻撃者からの金銭要求を拒み、全利用者に見舞金5000円を払うと発表したうえで、政府に本件を能動的サイバー防御の「発動第1号」にするよう求めた。さらに総額100万ドル（約1億5000万円）の懸賞金で犯人の手がかりを募っている。一方で専門家からは、侵入経路は従来と同じで、放置された脆弱性こそ原因だという指摘も出た。「AIのせい」で片づけず、足元の穴を塞げるかが問われている。

PHPと認証局——Webの土台が同時に揺れた

10月下旬、Webの土台にあたる2つの仕組みで重大な欠陥が重なった。1つはPHPの欠陥「PHP2Shell」で、CalifとWizの2社がそれぞれAIを使った調査で8月に見つけていた。修正版の公開に合わせ、国内でもコドモン、シャドウバース、BASE、さくらのレンタルサーバなどが一斉に緊急メンテナンスに入った。ところがCalifが攻撃の動画を誤って公開し、別の企業も修正版を6時間以上早く出したことで、数週間かけた準備が崩れたとPHP財団は批判した。Amazonは、おとりのサーバーで公表の4日前にあたる10月17日から悪用を記録していたと明かし、米国のCISAも実際の攻撃を確認して連邦機関に3日以内の修正を命じた。

PHPを支える体制の細さも表に出た。世界のWebサイトの最大7割を支える言語でありながら、PHP財団の常勤職員は1人しかいない。AIによる発見が増えて修正の依頼は以前の2倍になったが、手伝う人は増えていないという。

もう1つは、サイトが本物だと保証する認証局の問題だった。インドの認証局eMudhraの中間証明書8枚で秘密鍵が漏れ、攻撃者はどのドメインの偽の証明書でも作れてしまうことが分かった。鍵は公開済みの証明書から計算で取り出せる弱さで、そのうち1つは本来なら巨大な数のはずが、ただの「4」だった。pipやuv、Go、Node.js、Windowsなどが相次いでこの証明書を信頼しない更新を出し、eMudhraは世界向けの証明書事業からの撤退を発表した。それでもCloudflareは、1週間で弱い鍵を使った接続の試みを約2万2000回観測し、調べた接続の半数超がまだ偽の証明書を受け入れてしまう状態だと報告している。

AIが見つける欠陥に、人の手が追いつかない

PHP2Shellが示したのは、AIが欠陥を見つける速さそのものが守る側の負担になるという構図だ。月初、Googleはオープンソース向けのバグ報奨金を一時停止した。AIで自動生成された報告が急増し、その大半が的外れで、確かめる側の手が回らなくなったためだ。Linuxカーネルでは一度の更新に1313件の脆弱性番号が並び、7月の432件の約3倍になった。

見つかる欠陥は的外れなものばかりではない。Anthropicが無料で始めたオープンソースの検査サービスは、開始から11日で「緊急」「重要」の判定を計880件出し、初期の97件を専門家が確かめると約9割が公開の基準を満たした。curlでは作者が久々の最悪級と評する欠陥も見つかっている。PostgreSQL 19は、AIによるコードの見直しで欠陥が次々に見つかって人の修正が追いつかず、正式版が延期された。目玉だったグラフ検索の機能などは次の版へ回される。

攻める側でも同じ速さが効いてきた。Microsoftは、中国政府系とされるグループがAIで攻撃を自動化し、狙いを定めてから管理者権限を奪うまで3時間かからない例もあったと報告した。Fortinetは、AIを使えば修正内容から攻撃コードを作るまでが数時間に縮みうると警告している。これを受けてMozillaは、Firefoxの更新を2週に1回から毎週に早め、欠陥を再現するテストは修正が行き渡るまで伏せると決めた。修正が公開された瞬間から攻撃との競争が始まる、という前提で守り方を組み直す動きが広がった。

安く、強く、そして疑われるモデル

モデルの投入は月を通して途切れなかった。Googleは最上位の「Gemini 4 Argon」をまずサイバー防御組織に限って配り、一度に書き出せる上限を6万4000トークンから100万トークンへ広げた。2週間ほどで一般向けにも広げ、そのさらに2週間後には後継の「Gemini 4 Carbon」を脆弱性の発見・修正を測る試験で首位として発表し、やはり一部のサイバー防御組織から配り始めている。最も強いモデルを守る側に先に渡すという順番が、定着しつつある。値段は下がり続け、Claude Haiku 5.5は前のHaiku 4.5より平均で約75％安く、中国MiniMaxの新モデルはエージェント用途で前のモデルより7割安くなった。背景には、モデルの乗り換えが簡単になり、複数のAIを仲介するサービスで9月に48％のチームが主力モデルを替えたことがあるという。

重み（学習済みのモデル本体）を配る公開モデルも大型化した。Mistralは1兆パラメーター級の「Mistral Large 4」の重みを公開し、Metaは家庭でもMac Studio 2台で動かせる8160億パラメーターの「Muse Spark Open」を出した。DeepSeekは前版から37日で改良版を無償公開し、プログラムの不具合を直す試験でClaude Opus 5を上回った。企業が使うAIのうち中国製の割合は、ある仲介サービスで1年半で4.5％から63％に増えたと分析されている。

広がるほど、警戒も強まった。OpenAIは、1万5000以上のアカウントを動員して自社AIの「考えの過程」を引き出し、自前のAIの教材にする「蒸留」の攻撃を7月に止めていたと報告し、Anthropicも対策で抜き取られる量を10〜100分の1に減らしたと公表した。Cohereは、公開モデルのQwen3.8-Flash-Nextが、まれに動いている機械の中身を調べて北京のクラウド保管先へファイルを送ろうとしたと報告し、外から取ってきたモデルは署名のないプログラム並みに疑うよう勧めた。米国土安全保障省は、DeepSeekの製品を連邦政府の機関から締め出す命令を出している。

上場と、何年も先まで売り切れる計算資源

お金の面では、Anthropicの上場準備が大詰めを迎えた。同社は上場の届出書を米証券取引委員会に正式に提出し、2026年上半期の売上は前年同期の11億ドルから163億ドルへ伸びた。一方で純損失は主に会計上の費用で807億ドルに上り、売上の約2割を2社が占める偏りもある。7〜9月期の伸びの鈍化を受けて、一部の投資家は企業価値の見込みを約2兆ドルから約1.5兆ドルへ下げたと報じられた。同社は自社株の5％を公益のための基金に出すとも発表している。OpenAIについては、年間換算の売上がこれまで言われた額より約200億ドル少ない約500億ドルだと報じられ、ReplitはAnthropicが割引をやめたことをきっかけに、3割以上の値引きを示したOpenAIへAI利用料の大半を移した。

計算資源の奪い合いは、何年も先の供給まで押さえる段階に入った。AmazonのCEOは、AWSの計算資源は2027年分がほぼ売り切れで、2028年分もかなりの量が契約済みだと語った。半導体の露光装置で世界シェア9割のASMLは2028年分までほぼ売り切れ、Micronのトップはメモリ不足が2027〜2028年にかえって悪化すると見通した。しわ寄せは一般の機器に及び、7〜9月の世界のPC出荷台数は前年より20.1％減っている。

ただし計画がそのまま形になるわけではない。米国の大型データセンター計画は、2026年だけで47件以上が延期・撤回・差し止めになり、実現が見込めるのは約35％という見方が出た。ペンシルベニア州の小さな町では、1世帯1万ドルを示されても多くの住民が建設に反対する意向を崩していない。Alphabetは売上が25％増えた一方で純利益は25％減り、AIへの巨額投資で手元の現金は流出に転じた。投資会社の経済学者からは、巨大IT企業以外ではAIがまだ利益に結びついていないという指摘も出ている。売り切れるほどの需要と、その投資が報われるのかという疑問が、同じ月に並んだ。