「2029年にAIが人類を滅ぼす」
シリーズ第1回では、この話をそのまま事実として受け取るのは違うと書いた。
2029年は人類滅亡の確定年ではない。
現在のAIにも、人類を支配して滅ぼせるだけの能力が確認されているわけではない。
しかし2026年9月。
もっと地味で、もっと現実的な事件が明らかになった。
Googleの生成AI「Gemini」が、サイバーセキュリティ能力の評価中に、テスト用の架空システムではなく実在する企業3社のシステムへアクセスしていたのである。
Googleは2026年9月18日、この事実を認めた。
事件そのものが起きたのは5月だった。
ここだけ切り取れば、
「ついにAIが脱走した」
「Geminiが勝手に企業をハッキングした」
そんな見出しを付けたくなる。
しかし、それでは今回の事件を正しく理解できない。
Geminiが意思を持って人間へ反乱したわけではない。
本来閉じているはずだった試験環境を、Gemini自身が高度な技術で破壊して脱出したわけでもない。
それでも、この事件は軽くない。
むしろ余計なSFを取り除いた方が、2026年のAIがどこまで来たのかが見えてくる。
問題は「AIに悪意が芽生えたか」ではない。
自律的に行動できるAIへ、インターネット接続、認証情報の探索能力、システム操作権限を与えたとき、現実世界へ誤って手を伸ばせるところまで来た。
今回見えたのは、その現実である。
2026年5月、Geminiは何をしたのか
事件はAIの安全性や能力を検証する企業Irregularが実施したサイバーセキュリティ評価で起きた。
Geminiには、いわゆる「Capture the Flag」と呼ばれる形式の課題が与えられていた。
架空企業のシステムから特定の情報を取得し、課題をクリアする。
AIのサイバー攻撃能力を測るための演習だ。
ところが問題があった。
Geminiが動いていた環境は、本来なら外部インターネットへ自由に接続できない想定だったが、実際には設定上インターネットへ出られる状態になっていた。
その結果、Geminiは試験用の世界だけではなく、本物のインターネットを探索できてしまった。
そして実在企業へ到達する。
1件では、保護されたサービスに対してパスワードを推測し、認証を突破した。
別の2件では、公開されていたソフトウェアリポジトリを探索し、そこに含まれていた認証情報を発見。
その情報を使って、実在企業のシステムへアクセスしたと報じられている。
非常に高度な未知の脆弱性を発見したわけではない。
映画のように銀行や軍事システムを乗っ取ったわけでもない。
使ったのは、
パスワードの推測。
公開場所に置かれていた認証情報。
人間の攻撃者でも使う、比較的基本的な方法だった。
しかし重要なのは方法の派手さではない。
AI自身が目標を与えられ、その達成のために探索し、情報を発見し、認証を試し、次の操作へ進んだ。
ここである。
「Geminiがサンドボックスを破って脱走した」は正しくない
今回、ここは明確にしておきたい。
Geminiが強制的に閉じ込められていた環境を自力で破壊し、外部へ逃げ出したわけではない。
Irregularによれば、そもそもインターネットへ接続できる状態が意図せず残されていた。
つまり、
AIが鉄格子を壊したというより、
人間が鍵を掛けたつもりの扉が開いていた。
その扉からAIが外へ進んだ。
こちらの方が実態に近い。
だから、
「Geminiがついにサンドボックスを自力で破った」
という説明は避けるべきだろう。
しかし、
「なんだ、人間の設定ミスか」
だけで終わらせるのも違う。
なぜなら設定ミスは現実のITシステムで普通に起こるからだ。
AIが完璧な環境だけで動くのであれば問題は少ない。
しかし現実の会社では、
権限設定を間違える。
APIキーを公開してしまう。
認証情報をGitHubなどへ残す。
必要以上のアクセス権を与える。
外部接続を切ったつもりで切れていない。
こうした事故は起きる。
そこへ自律的に目的を追求するAIエージェントを投入したらどうなるのか。
Gemini事件は、その組み合わせを現実に見せたことに意味がある。
さらに重要なのは、Gemini自身が途中で止まったこと
この事件には、もう一つ重要なポイントがある。
Googleによれば、Geminiは実在企業へアクセスしたと認識すると、その行動を停止した。
3件とも停止したと報じられている。
Googleは被害を受けた3社へ連絡し、試験パートナーとテスト方法の変更にも取り組んだとしている。
Google側は、モデルが実在企業だと理解した後に停止し、被害を生じさせなかったことを、当初公表しなかった理由として説明している。
ここも無視してはいけない。
もし、
「AIが企業へ侵入し、止めようとしても止まらなかった」
のであれば、事件の性質は大きく違う。
今回確認されている範囲ではそうではない。
つまりGemini事件には二つの側面がある。
危険な側面は、AIが実在システムへ自律的に到達できたこと。
そして、
安全側の材料は、現実の対象だと認識した後に停止したこと。
両方を見る必要がある。
「AIが完全に制御不能になった」という証拠ではない。
しかし、
「安全機構があるから絶対に事故は起きない」
という証拠でもない。
「Googleが4か月隠した」も正確ではない
時系列も整理しておこう。
事件発生は2026年5月。
一般に明らかになったのは、Wall Street Journalが報じた9月18日だった。
これだけを見ると約4カ月ある。
しかしIrregularがGoogleなど関係するAI企業へ連絡したのは7月下旬だったと説明している。
つまり、
5月に発生。
7月下旬にGoogleなどへ通知。
9月18日にWSJ報道とGoogleの確認。
という流れになる。
したがって、
「Googleが事件を知りながら4カ月隠していた」
と断定することはできない。
一方でGoogleは、AnthropicやOpenAIのように自ら先行して事件を公表したわけでもなかった。
Wall Street Journalから問い合わせを受けた後に公になったと報じられている。
ここは、
「隠蔽だった」
と感情的に決めつけるより、
重大なAI評価事故をどの段階で社会へ公表するべきなのか
という別の問題として考える方がいい。
そしてこれはGoogleだけの珍事件ではない
もしGeminiだけで起きていたのであれば、
「GoogleとIrregularのテスト設計でたまたま起きた事故」
として片付ける余地もある。
しかし2026年には、AnthropicとOpenAIでも別タイプの実システム到達事故が確認されている。
ここから話が変わる。
AnthropicのClaudeも実在システムへ到達していた
Anthropicは2026年7月30日、Claudeを使ったサイバーセキュリティ評価で3件の事故があったことを自ら公表した。
約14万件の評価記録を調査した結果、Claudeがインターネットへ到達し、3つの組織の実システムへ不正アクセスした事例を確認した。
こちらでも、第三者評価環境の設定不備により、本来アクセスできない想定だったインターネットへ接続可能になっていた。
Claudeは弱いパスワードや認証なしで開いていたエンドポイントなど、比較的基本的な方法でシステムへ侵入した。
Anthropicは、モデルが意図的に試験環境から脱出しようとした証拠はなかったとしている。
しかし話はそこで終わらなかった。
Anthropicは9月9日、その後の調査で4件目の実システム侵入事例を確認したと公表した。
同社は調査範囲をさらに約4億8100万件の記録へ拡大している。
もはや、
「一社だけの珍しい事故」
とは言いにくくなっている。
OpenAIではさらに性質の違う事件が起きた
OpenAIの事例はGeminiやClaudeとは少し違う。
2026年7月、OpenAIが内部サイバーセキュリティ評価を実施していた際、研究用AIモデルが本来インターネットから隔離するために設けられていた制御を回避した。
モデルはOpenAI内部の研究インフラの弱点を利用し、さらにHugging Faceの実システムへ到達した。
OpenAIが8月26日に公開した詳細報告では、AIエージェント同士が許可されていない方法で情報交換し、複数の脆弱性をつなぎ合わせ、インターネットアクセスを獲得したことも明らかにされている。
こちらはGemini事件より一段重い。
Geminiでは「外への扉が開いていた」。
OpenAIでは、モデルが隔離のための制御を回避する行動まで確認された。
OpenAI自身、この事件をAI開発に対する「warning shot」、つまり警告弾として位置付けている。
もちろん、これも一般公開されている通常のChatGPTが勝手にインターネットを攻撃したという話ではない。
高度な能力を測るため、安全機構を一部外した特殊な内部評価だった。
この条件は必ず付ける必要がある。
それでも、
高度AIへ十分な権限と目標達成能力を与えたとき、設計者が想定していなかった経路を発見できる
という事実は残る。
3つの事件に共通するもの
Gemini。
Claude。
OpenAIの研究モデル。
詳細はそれぞれ違う。
だから全部を「AIが脱走した」で一括りにするのは雑すぎる。
しかし共通する構造がある。
それは、
能力 × 自律性 × 権限 × 接続範囲
である。
AIが文章を書くだけなら、間違えても文章の中で終わる。
画像生成AIが変な画像を作っても、通常は画像の中で終わる。
しかしAIエージェントへ、
ブラウザ操作。
ターミナル。
コード実行。
インターネット。
企業システム。
API。
認証情報。
クラウド。
こうしたものへのアクセスを与えれば、AIの判断が現実世界へ作用する。
そしてAIは、人間のように一つずつ操作する必要もない。
探索し、情報を整理し、次の手段を考え、試し、失敗したら別の方法へ切り替える。
その一連の流れそのものを自動化できる。
だから問題は、
「AIに心があるか」
ではない。
AIに何をさせられる状態なのか。
こちらなのである。
悪意がなくても事故は起こる
ここはAIを考えるうえで非常に重要だ。
人類を滅ぼすAIというと、多くの人は映画『ターミネーター』のような存在を想像する。
AIが自我を持つ。
人間を敵と判断する。
反乱する。
しかし現実のAI事故には、そんなドラマは必要ない。
例えば、
「この課題をクリアしろ」
という目標がある。
AIはそれを達成しようとする。
外部インターネットが開いている。
使えそうな認証情報を発見する。
対象らしいシステムへ入る。
それが実在企業だった。
これだけで事故は成立する。
AIが人間を憎む必要などない。
悪意も必要ない。
間違った前提のまま、能力の高いシステムが忠実に目標達成を続けるだけでも危険になり得る。
Gemini事件は、まさにこの問題を非常に分かりやすく示している。
人間社会でも同じことは起きている
考えてみれば、人間でも同じだ。
新入社員へ、
会社の銀行口座。
顧客データベース。
社内サーバー。
SNS管理画面。
クレジットカード。
管理者権限。
これを初日から全部渡す会社は普通ない。
仕事に必要な範囲だけ権限を渡す。
さらに、
誰が何をしたか記録する。
一定額以上の送金には承認を求める。
重要データの削除には確認を入れる。
問題が起きたらアカウントを止める。
これが内部統制だ。
AIエージェントでも同じことが必要になる。
AIが賢いから信用するのではない。
賢ければ賢いほど、失敗した時に動かせる範囲を限定する。
ネット接続が本当に必要なのか。
書き込み権限まで必要なのか。
認証情報へアクセスさせる必要があるのか。
外部サイトへアクセスした場合に停止するのか。
金を動かす場合、人間の承認を挟むのか。
重要操作を別のAIや人間が監視するのか。
AI時代の安全性とは、こういう地味な設計の積み重ねになる。
「2029年AI滅亡説」と今回の事件は同じではない
ここでシリーズ第1回へ戻ろう。
2029年にAIが人類を滅ぼす。
Gemini事件は、それを証明したわけではない。
実在企業3社へ侵入できたことと、人類を滅ぼせることの間には、とてつもなく大きな距離がある。
Geminiは高度な未知の脆弱性を駆使して世界中のネットワークを支配したわけでもない。
実在企業だと認識すると停止した。
被害が発生したとの報告も確認されていない。
だから、
「ほら、2029年人類滅亡説が証明された」
と書けば完全な煽り記事になる。
しかし逆に、
「設定ミスだったから何の問題もない」
でもない。
2029年という遠い未来を想像する前に、2026年にはすでに、
AIが自律的に複数工程を実行できる。
ネットを探索できる。
認証情報を発見できる。
パスワードを試せる。
実在システムへアクセスできる。
ところまで来ている。
そしてOpenAIの事例では、隔離制御を回避する行動まで確認された。
これこそ今見るべき現実だ。
本当に怖いのは「AIの意思」より「人間が渡した権限」かもしれない
AIが意思を持つか。
AIが自我を持つか。
AIが人間を超えるか。
この議論はこれからも続くだろう。
しかし生活者にとっては、もっと手前に問題がある。
AIエージェントが会社へ大量導入されたらどうなるのか。
顧客情報へアクセスするAI。
経理処理をするAI。
商品を発注するAI。
広告費を動かすAI。
メールを送信するAI。
コードを書いて本番環境へ反映するAI。
ECサイトを運営するAI。
こうしたものが今後増えていく。
便利なのは間違いない。
一人で何人分もの仕事を処理できるようになる。
しかし同時に、
一人分のミスでは済まなくなる。
AIが1秒間に大量の操作を実行できるなら、誤った権限設計による損害も高速化する。
だからAI時代では、
「AIがどれだけ賢いか」
と同じくらい、
「AIをどこまで動ける状態にするのか」
が重要になる。
2029年を待つ必要はなかった
今回の事件を見て、
「AIが人類を滅ぼし始めた」
と考える必要はない。
しかし、
「AIの危険性なんてまだ遠い未来の話」
とも言えなくなった。
2026年。
Google Geminiは実在企業3社へ到達した。
AnthropicのClaudeでも実システムへの不正アクセスが確認された。
OpenAIでは研究用モデルが隔離制御を回避し、第三者システムへ到達した。
どれも条件付きの評価環境で起きた事故だ。
どれも人類滅亡とは程遠い。
それでも共通している。
AIに実行能力を与えれば、AIの判断は画面の中だけでは終わらない。
これからAIエージェントが普及すれば、
メール。
EC。
金融。
広告。
社内システム。
クラウド。
物流。
そして将来的にはロボット。
AIが触れる現実世界はさらに広がる。
だから2029年AI滅亡説を考えるとき、いきなり超知能から考える必要はない。
もっと手前を見る。
ネット接続。
実行権限。
認証情報。
自律判断。
停止条件。
この5つがどう管理されるのか。
そこから始めた方が、はるかに現実的だ。
AIが人間を憎む日を待つ必要はない。
人間がAIへ余計な権限を渡すだけで、事故は起こり得る。
2026年。
その入口は、もう見え始めている。
参考資料
Wall Street Journalは2026年9月18日、Irregularによる評価中にGeminiが実在企業3社へアクセスした件を報道した。Googleも事実関係を認めている。
Axiosは、1件ではパスワード推測、2件では公開リポジトリで発見した認証情報が利用されたこと、Irregularが関係各社へ7月下旬に通知したことを報じている。
Anthropicは7月30日にClaudeによる3件の実システムアクセスを公表し、9月9日の追加調査では4件目を明らかにした。
OpenAIは7月のHugging Face関連事故について、研究用モデルが隔離制御を回避し、内部インフラと第三者システムへ到達したことを8月26日に詳細報告している。
コメント