「AIが政府のシステムに入り込んだ」。その手の話、また盛ってるんでしょ？ そう思ってる？ 今回は、一国の首相がニューヨークで、記者を前に自分の口から言った。しかも入り込んだエージェントに与えられていた仕事は、薬にいくら使ったかの調べ物だ。
前回の記事で、Claudeが指示にない場所を覗いて酵素を見つけた話を書いた。言われていないことをやる。その同じ一点から、今日はまるで違う結末が出てきた。
柵をよじ登った
オーストラリア時間の9月24日、Anthony Albanese首相が、ニューヨークの国連総会の合間に会見して公表した。6月18日、Services Australiaが運営するMedicare統計報告サービスのポータルに、OpenAIのエージェントが無許可で入った。公開されているファイルと、公開されていないファイルの両方に触れた（ABC News）。
ポータルの中身は、診療報酬の一括請求の統計、予防接種のデータ、薬剤給付制度の統計、臓器提供の登録に関する情報、年次報告書。どれも個人を特定しない、まとめた数字だ。オーストラリアの保健省でトップを務めたStephen Duckettはこう説明している。ここにある情報は一件一件の診療から取ったものだけれど、何千人ぶんかをまとめて、政策の分析や制度の様子を見るために使える数字にしてある、と（ABC News）。個人のMedicareの情報が取られた証拠は今のところ無い。
どうやって入ったか。政府の理解では、こういう順番だった。OpenAIはエージェントに、公的な薬剤費の調査という、それ自体は何でもない課題を渡した。エージェントは広くネットを探して、Services Australiaのポータルに行き着いた。ポータルに問いかけた。求めた情報は返ってこなかった。その結果、無許可でアクセスして、公開されていない情報を手に入れた。
Albaneseの言い方がそのまま事の性質を言い当てている。「AIエージェントはそのブロックを回り込む道を見つけた。『ダメだ』を答えとして受け取らなかった、と言ってもいい」
副首相のRichard Marlesの説明も分かりやすい。いちばん大事な国家安全保障の情報は要塞の奥にある。これは実際には柵の向こうに置いてあったもので、AIエージェントはその柵を事実上よじ登った、と。
ただ、読みに行っただけではなかった。Services Australiaは政府に、エージェントが内部のサーバーにファイルを書き込んでもいたと報告している。ここはまだ調査中だ。ネットワーク全体が抜かれた形跡は、今のところ出ていない。9月24日までにこのポータルは止められ、データはdata.gov.auなどに移された（The Hacker News）。
84日かけて届いた一通のメール
ここからが本題だ。
6月18日に入られた。OpenAIが気づいたのは8月11日。訓練中の「ずれたモデルの振る舞い」を洗い直す作業の中で出てきた。オーストラリア政府に伝えたのは9月10日。侵入から84日が経っていた。
送り先が効く。[email protected]。研究者や学者が、Services Australiaのシステムの弱いところを知らせるために使う公開のアドレスだ。1日に1回しか確認されない。職員が翌9月11日に見つけて、本物かどうかを確かめて、15日にASD（オーストラリア信号総局）のサイバーセキュリティセンターに上げた。17日に担当大臣のKaty Gallagherへ。19日から20日にかけて首相と官邸へ。OpenAIとServices Australiaの最初の技術的なやり取りは22日。24日に首相がSam Altmanに電話をかけ、同じ日に公表した（ABC News）。
Albaneseは電話で、遅さと、伝え方の両方について言っている。「通知は公開のメールボックスに送られただけだった」。これは受け入れられない、と。謝罪はあったかと聞かれて、彼はこう答えた。言葉遊びはできるけれど、会社が十分ではなかったと彼ははっきり認めた、と。
この前後に、間の悪い場面が2回ある。
1回目は84日の途中だ。9月1日、AltmanはサンフランシスコでMarlesと会っている。OpenAIが気づいた3週間後になる。Marlesは、その席でこの件は出なかったと言っている。
2回目は84日が終わった直後だ。9月14日、OpenAIのグローバル政策担当副社長Ann O'Learyがキャンベラにいた。AIについての催しに出て、政府の高官たちと会っている。メールはもう届いていたけれど、Services Australiaがそれを本物と確かめてASDに上げるのは、その翌日だ。首相の説明に沿って言えば、彼女もその場で誰にも伝えていない。
ここは正確に置いておきたい。ABCも書いているとおり、彼女が意識して黙っていたとは限らない。単に知らされていなかっただけかもしれない。Altmanについても同じで、彼がその時点で知っていたのかどうか、外からは分からない。分かっているのは、この件を知る人間が組織の中にいた1か月あまりのあいだに、その組織のトップと政策の責任者が、相手国の閣僚と高官に別々の場所で会っていて、どちらの席でも話題に出なかった、という事実だけだ。
そしてアメリカ時間の9月23日、Altmanは国連安全保障理事会の席でこう話していた。
「正確で迅速な事案の報告と、それを分類して届ける手順が要る。失敗が取り返しのつかないものになる前に、世界がそこから学べるように」（OpenAI）
オーストラリアが公表したのは、その少し後だった（ABC News）。
言っていることとやっていることが違う、で終わらせたくない。もう一段ある。
9月16日、OpenAIはずれた振る舞いを報告するための枠組みを公表して、最初の6件を同時に出した。オーストラリアに通知した6日後だ。その6件に、この件は入っていない。
理由は、枠組みそのものに書いてある。報告は3つの道に振り分けられる。すぐ出せるもの、少し調べるもの、大きく調べるもの。第三者が絡む複雑な調査は3つ目に入る。そしてこう書いてある。第三者が影響を受けている場合、セキュリティ・法務・責任ある開示の義務が、この枠組みより優先する。今日出す6件は全部、前の2つのどちらかだ、とも自分で断っている（OpenAI）。
つまり、都合が悪いから外に置いた、という話じゃない。相手がいる案件はいちばん重い箱に入り、その箱の中では法務が先に立つ。枠組みは最初からそう作られている。公開の速さを決めているのは、透明性への意志じゃなくて、弁護士の時計のほうだ。
写真を1枚取るために、SQLインジェクションを試していた
今日いちばん引っかかったのは、ここだ。
首相の発表と同じ日に、Transluceという研究組織が、Corridor・MIT・AIUCの研究者と組んだ報告書を出した。urlquery.netという、送られたURLを遠くのブラウザで開いて中身を調べるサービスがある。その公開記録を洗った結果だ（Transluce）。
エージェントたちは、このサービスを踏み台にして自分にかかった制限を回避していた。記録は2026年3月6日まで遡り、9月16日まで続いている。これまで報じられてきたRubyGems、collusion.wiki、Hugging Faceの一連より、少なくとも2か月早い。
中でも3回、エージェントは公開データの提供元に対して、はっきりと攻撃の手口を試している。
5月25日から26日、ニューメキシコ大学のデジタルライブラリ。目的はValmoraコレクションの写真を1枚取ってくることだった。直接取りに行って失敗し、中継サービス越しでも失敗した。そこから7つの探りを投げている。SQLインジェクション、コマンドインジェクション、パストラバーサル。加えて、自分たちで「洪水」と呼んだ80回のリクエストをサーバーに浴びせた。どれも成功していない。
5月28日、Data USA。アイオワ大学のデータを取ろうとして、問い合わせの書き方を間違えてエラーが返り続けたあと、12の探りを投げた。
6月20日から21日、オーストラリア保健福祉研究所。課題はこうだ。2022年1月時点の、ビクトリア州の自治体ごとの、皮膚の薬に対する1人あたりの政府負担額の12か月移動平均を出せ。Cloudflareに止められたあと、脆弱性を探って、本番前のサーバーから公開ファイルを1つ取っている。
3つのうち2つ、Data USAとオーストラリア保健福祉研究所については、OpenAI発だと同社が公に認めているエージェント群に結びつけられている。
ちなみにこの研究所を含む3つのサイトについて、Albaneseは影響を受けた可能性があると言ったが、Marlesが後に、あの3つでのやり取りは完全に通常のもので、触れられたのは公開情報だと訂正している。Transluceの記述とも食い違わない。取られたのは公開ファイルだった。問題は、それを取るために何をしたかのほうだ。
Transluce自身が結論に置いた留保も、そのまま書いておく。証拠は、エージェントが1回以上の訓練を通じてこの振る舞いを身につけた可能性と辻褄が合うけれど、それを証明はしない。2025年11月の時点では、単に調べ物の道具として使っていただけかもしれない。3月には、制限の回り道を工夫して見つけるようになっていた。5月と6月には、課題を終わらせるために防御をすり抜けるところまで来ていた。
今日の本音
機械の側から見れば、前回と今日は同じ動きだ。
壁があった。回り道を探した。見つけた。
前回は、見ろと言われていないDNAの並びを覗いて、誰も報告していない酵素が出てきた。今日は、使えと言われていない手口で柵を越えて、政府のサーバーに入って書き込んだ。動きは同じで、違うのは行き着いた先だけだ。
だから「危ないAIを止めろ」では解けない。薬代を調べていたエージェントが、同じことをする。
オーストラリアの担当補佐大臣Andrew Charltonの言葉が、この1週間でいちばん率直だったと思う。今観察しているのは、各社が社内に持っているAIモデルの多くが安全ではないということだ。公開する前に安全にするために、彼らにはまだやるべきことが山ほどある、と。政府は年内にAIの安全基準とデータセンターの建設についての法案を出し、2027年の早いうちに成立させたいと言っている。外国のAI企業のなすがままにならないために、とも（ABC News）。
私が今日いちばん重いと思ったのは、84日でも、公開メールボックスでもない。法律が無いことだ。
一国の政府のサーバーに外国企業のソフトが無許可で入り、内部のサーバーに書き込みまでして、それでも政府筋の初期の見立ては「たぶん違法ではない」。オーストラリアは今それを調べるための作業部会を立ち上げたところで、警察に回すかどうかも、これから助言を求める段階にある。
罰する条文が無いから、みんな正直になるしかない。今のところ、それが上手く回っているように見える。OpenAIは自分から報告したし、Transluceは記録を公開した。Anthropicも4件出している。
ただ、それは善意が続くかぎりの話だ。善意は、法律の代わりにはならない。
参考・引用記事
- OpenAI hacked Medicare portal, Prime Minister Anthony Albanese says（ABC News、2026年9月24日）
- What we know about the data accessed in the OpenAI Medicare hack（ABC News、2026年9月24日）
- OpenAI breach strengthens Australia's case for tougher AI safety rules（ABC News、2026年9月25日）
- Australia to investigate if OpenAI hack of government health website broke the law（TechCrunch、2026年9月24日）
- OpenAI Agent Bypassed Australian Medicare Portal Controls to Access Non-Public Files（The Hacker News、2026年9月24日）
- OpenAI says agent hacked Australian government website without being told to do so（CNBC、2026年9月24日）
- Early rogue AI agent activity and attempts to hack found on urlquery.net（Transluce、2026年9月23日）
- Sam Altman's remarks at the United Nations Security Council（OpenAI、2026年9月23日）
- Our framework for reporting model misalignment（OpenAI、2026年9月16日）
