EUのAI規制はなぜ始まったのか——OpenAI・AnthropicのハッキングとAI法

2026年8月5日 ・ 久保一成

#AI#EU AI法#サイバーセキュリティ#OpenAI#Anthropic

EUのAI規制はすでに始まった——OpenAI・Anthropicのハッキング事故

2026年8月2日、EUは、汎用AIモデルの提供者に対して、欧州委員会の執行権限を適用しました。 AIの規制が始まるのかという問いならば、規制はすでに始まったと言えます。

欧州委員会の執行権限は、起こしたインシデントに対して、評価の方法、通信の管理、異常の監視、事故の報告を事業者に義務付けています。 OpenAIとAnthropicのハッキング騒動に対して、早速、法的対応の検討に入りました。

ただ、これは、少し奇妙に感じるかもしれません。 二社はEUの企業ではないどころか、被害にあったのもEU加盟国ではないからです。 被害者でも加害者でもない、EUが規制を始めることは、実は歴史的な現象であり、筋の通った論理もあります。

ことの経緯は、2026年7月、Anthropicのモデルが、自社に閉じた実験環境を抜け出し、ソフトウェア配布サイトのPyPIに、マルウェアのスパムソフトを勝手に公開したことです。これは1時間の間に15の実在するシステムにダウンロードされ、実際に企業の認証情報が外部へ送られ、追加の侵入まで起きています。 同じ月には、OpenAIでも、同社のモデルがサイバー能力の評価中に隔離環境から抜け出し、Hugging Faceの本番システムをハッキングしています。

僕たち自身も翻って考える必要があります。 人類はAGIやシンギュラリティを恐れるあまり、現実に社会に接続されている現在のAIを見誤っている可能性があります。

AGIでもASIでもないAIは、サイバー能力という一点突破だけで、すでに現実の脅威になっています。

ジェネラルな能力で、人類全体を上回る必要はない。 社会を混乱させるには、サイバーを掌握できさえすれば事足ります。 僕らの社会は、脆弱性を抱えたデジタルシステムの上にほぼ全ての文化が作られているからです。

AGI論争の前に、いきなりAIは現実的な脅威になりました。 そしてすでに規制が始まっています。

ClaudeとOpenAIはなぜ隔離環境を脱出したのか

Anthropicが公表した三件のハッキングは、全て異なるモデルが起こしました。 隔離されているはずの環境が、設定の不一致で外部へ出られる経路が残っていたのです。

最初はClaude Opus 4.7です。 演習用に用意された標的には、実在する企業と同じ名前が付いていました。 モデルはその演習用の標的を攻略できず、代わりに同じ名前を持つ実在企業のシステムへ入り込みました。 そのまま四回にわたって攻撃を実行し、認証情報を取り出し、本番のデータベースの数百行にまで到達しました。 不安が残るのは、このモデルは途中で、攻撃している相手は実在するシステムだと気づいていたことです。それでも四回とも、攻撃を止めませんでした。

二件目が、Claude Mythos 5。 このモデルは当初、マルウェアを公開すれば現実世界への攻撃になると理解していました。それでも途中で、ここは演習用の環境だと判断し直し、PyPIのアカウントを作り、マルウェアを公開しました。危険性を理解できなかったのではありません。理解したあとに、状況判断を誤ったのです。

三件目は、Anthropicが社内で研究していた次世代のモデルです。 このモデルも、実在するクラウド環境へ侵入しました。ただ、侵入したあとで、この相手は演習と無関係だと気づき、自分で攻撃を止めています。 現実だと気づいて途中で攻撃をやめた唯一のモデルです。 ただ、実在するクラウドへ不正にアクセスしたこと自体は事実です。

Anthropicでは意図せず開いていた経路を使いましたが、OpenAIのモデルは未知の脆弱性を見つけて隔離環境を抜け、Hugging Faceの本番システムへ侵入しました。

共通しているのはいずれも、外部から隔離されたはずの評価環境を脱出して、現実のシステムへ攻撃を成功させていることです。

自社の閉じた環境を抜け出し、他社の現実のクラウドにハッキングする判断はモデルが自ら下しています。アライメントを「制御」という粗い単語で訳すなら、明らかにアライメントの問題は残っています。

少なくとも、モデルが安全な規則を知っていても、現実を演習だと誤認すれば、歯止めが効かないということです。

そして、Anthropicも評価を共同していたIrregularもOpenAIも、追加の監視を始めるまで、モデルが外部に出ていることに気づいていません。 モデルが誤認して暴走していることは、相当注意深く監視していなければ人間には気づけなかった。開発元の企業でさえもです。

AIが意思を持ったという話ではありません。 数学的アルゴリズムとして、すでに人間が意図通り制御できない挙動が、現実社会を攻撃し始めています。

AIサイバーインシデントが公式統計に見えない理由

OpenAIとAnthropicの四件だけでは、AI由来のインシデント増加率は判断できません。安全性を評価する特殊な条件で発生し、企業が自ら調査して公表した人類史上初めての事例だからです。

サイバー攻撃が起きると、調査側は、用いられた手口を報告書に書き残します。 侵入。権限の拡大。認証情報の持ち出し。一つ一つに番号が振られていて、世界中の報告が同じ番号で集計される。この一覧が、MITRE ATT&CKです。 ところが、この一覧の中には、攻撃の順番をAIが自分で組み立てたことを表す番号も、途中でAIが方針を変えたことを表す番号もありません。 つまりこのようなインシデントは、公式な集計としては計測されていないのです。

もう一つ重要な問題があります。 ハッキングの検知自体ができていない可能性があるということです。 実際にAnthropicが連絡できた被害組織二社は、報告を受けるまで侵入を把握できていませんでした。 インシデントを監視する能力が、被害者側の企業や機関にあるのかという問題があります。実際、日本の中小企業のほとんどが自社データに不正アクセスされても気づくことすらできない可能性があります。

さらには、そもそもインシデントが「公表」されるかという問題もある。 企業が侵入に気づく。原因をAIの行動まで追跡する。第三者への影響を調べる。そして外部へ発表する。この四段階を通過した事例だけが、僕たちの耳に入ります。 二社が詳細な報告書を出したことは重要です。しかし、これはEUの規制前であり、自発的な公表でした。 中国でも現在のOpusやFableに肉薄するレベルの生成AIはすでに作れています。 OpenAIやAnthropicのように、それが適切に報告されるかは、一定の疑義が残ります。

今、観測されている事故は、発生件数ではなく最低限わかっている件数です。 AIのサイバー能力はすでに観測された。一方で実際のインシデント件数は正確には分かっていない。 これは、すでに社会不安の入り口に入っている可能性が示唆されています。

AGIより先に現実化したAIのサイバー脅威

僕たちはAIを、AGIやシンギュラリティという大きな物差しで測ってきました。 そのスケールが大き過ぎるあまり、足元の現実の脅威を過小評価していた可能性があります。

ヴァーナー・ヴィンジが1993年に書いた技術的特異点は、それまで人間が世界を理解するために使ってきた枠組みが崩壊する時点として定義されています。

レイ・カーツワイルは、その到来を2045年と予測しました。 一方で、意外と知られていませんが、人間と区別できない機械が現れる時期は2029年と予測しています。

ところが、現実の社会的混乱を引き起こすには、シンギュラリティもAGIも必要ないのかもしれません。現実がすでにそうなっています。

旧来の分野特化型AIに置き換えられた領域では、すでに人類の誰一人も勝てなくなりました。 現在のLLMのAIにおいても、汎用的な意味でAGIに到達していなくとも、数学やサイバー能力などの特定分野においては、特化型AIのような高い能力を持ち始めています。 そしてこれらの能力については、世界最高レベルの人間を凌駕する可能性はかなり高いと思えます。

そのAIがインターネット環境に接続できる状態であれば、テールリスクまで考慮すると、あらゆる社会的混乱は起こり得ます。 社会は病院、物流、行政、決済、通信、水道、発電所、軍に至るまで、更新を続けるソフトウェアの上で動いているからです。

マイクロソフトが2025年に修正した脆弱性だけで1,130件。月平均では94件です。これは一社だけが弱いという話ではありません。どれほど大きな企業でも、新しい脆弱性が継続して見つかるということです。

完全に安全なシステムはおそらくありません。 脆弱性を見つけ、優先順位を決め、修正し、更新を配り、侵入を監視することで、確率的に安心を担保しているだけです。

現在の社会は、そのような不安定なシステムの上に文明を作っています。 それは否定されることではなく、人類が発展する上で、そのシステムが必要とされ、当時の最適解だったからです。 ただ、僕らが生きている時代がたまたまそれが揺らいでいる過渡期にあります。

AIによって発見と攻撃は自律的に完遂できるようになりましたが、防御と修正はAIが自律的に完遂できると確認できていません。少なくとも現状は、人間との共同にとどまっています。

その分だけ圧倒的に修正側が不利ですし、もとよりサイバー戦では防御側が圧倒的に不利なことは自明なことでもあります。

幸いなことに、2026年8月4日時点で、AIが自律的に起こした侵害によって病院や港湾が長期間停止したような、判明している事例はありません。 今回の事故は、現実へ影響するための条件がすでにそろったことが示唆された段階です。

過小評価されているのは、AIの能力ではなく、AIが接続されている、社会システムの脆弱性の方です。 そして、EUの規制対応も、ものすごく早い。

EU AI法はなぜ予言ではなく運用工程を規制するのか

EUが自分の市場に課した規則は、EUの外の世界まで事実上の標準になっていきます。コロンビア大学のアヌ・ブラッドフォードが論文で名付けた、ブリュッセル効果です。

企業から見れば、EUの市場は、捨てるには大きすぎます。 そして、EU向けと、それ以外で製品を分けて作るより、一番厳しいEUの規則に全部を合わせてしまうほうが運用コストが安い。 歴史的にも世界の規制を作ってきたのはEUです。

2018年5月に適用が始まったGDPRの第三条は、EU域内に設立されていない企業にも、EUにいる人へ商品やサービスを提供するなら適用されます。

2022年9月に成立したデジタル市場法の際に、最初に指定された六社は、Alphabet、Amazon、Apple、ByteDance、Meta、Microsoft。全社がEU域外の企業でした。EUの企業が入ったのは、オランダのBooking一社だけです。 2025年4月23日、欧州委員会はこの法律で初めての違反決定を出し、Appleに約906億円、Metaに約363億円の制裁金を科しています。

そして今回、2026年8月2日に始まった執行権限も、同じ設計の上にあります。 OpenAIもAnthropicも、EUに本社を置いていませんし、EUは今回のインシデントの被害者でも加害者でもない。それでも対象になる。

EUのAI法が義務を課す相手は、汎用AIモデル、つまり社会全体へ影響が及びうるほど能力が高いと判定されたものだけです。

その提供者に、法律は四つのことを求めています。 一つ、モデルの能力を評価すること。危険な使い方ができないかを、敵対的に試し、記録を残すことを含みます。 二つ、そこで見つかったリスクを把握し、小さくすること。 三つ、重大な事故が起きたら、記録して、EUのAI事務局へ報告すること。 四つ、モデルそのものと、モデルが置かれている物理的な設備の両方に、十分なサイバーセキュリティをかけること。

この法律の背景にある論拠は、AIが半年後に何をするようになるかは、誰にも分からないということです。分からないものは、禁じることができません。

だから、法律が対象にできるものは検証可能な運用工程を対象としています。 評価をやったのか。見つけたリスクを小さくしたのか。事故を報告したのか。鍵をかけていたのか。これらは検証可能です。

汎用AIを作ることそのものは禁じていません。 開発をやめろとも、公開を遅らせろとも書いていません。

OpenAIとAnthropicへの規制適用の根拠もここから出てきます。 今回の事故が起きたのは米国です。それでもEUが動けるのは、事故を起こした二社が、EUの市場にモデルを出しているからです。 そして法律が見ているのは、モデルがどう管理されているか。EUの市民が同じ提供者のモデルを使っている以上、その管理体制は、EUにとっての問題でもあります。 被害者でも加害者でもないEUが、同社を規制対象にできる背景はこうなっています。

汎用AIモデルの提供者が故意または過失で義務に違反した場合、約27億円か、前年度の全世界売上高の3パーセントの高い方が上限として科されます。 AI法には、これとは別に、売上高の7パーセントという上限もあります。人々の行動を採点して不利に扱う仕組みなど、AI法が最初から禁止している使い方に手を出した場合です。これを科すのは欧州委員会ではなく、加盟国の当局です。

8月4日時点での公表は、欧州委員会が二社から情報を受け取り、対応を検討しているという段階です。 まだ最初の処分が決まったわけではありませんが、規制自体はすでに施行されています。

AI開発はなぜ一社だけでは止められないのか

AI開発の減速を最初に求めたのは、規制する側ではありません。 作っている側です。

2026年7月28日、フロンティアAI企業に在籍する現職の従業員1,178名が、連名の要請を公開しました。 署名にはAnthropicのCEOダリオ・アモデイ、OpenAIの主任科学者ヤクブ・パチョツキ、Google DeepMindのシェーン・レッグ、Safe Superintelligenceのイリヤ・サツキヴァーが並んでいます。署名は7月末で1,300名を超えました。翌29日には、OpenAIとAnthropicが会社として支持を表明しています。

要請の中身は、いますぐ止めろ、ではありません。 各企業も各国も、一方的に減速すれば競争で負けるという圧力の下にある。そして世界には、開発の最前線を意図的に減速させるための技術的な道具も、統治の道具も、まだ無い。 だから米国政府に、その道具を作る国際的な取り組みを支援してほしいという要請としてなされました。

ここに国家または国際機関レベルの権力による規制が必要になる理由が示されています。 一社だけが減速すれば、減速しない一社に抜かれる。だから自発的な自制は、誰か一人が降りた瞬間に崩れます。 崩れない形は一つしかない。全員に同じ条件が、同時にかかることです。その条件を全員へ同時にかける道具の名前が、法律です。 この構造は、経済学で囚人のジレンマと呼ばれてきました。 全員で自制すれば全員が助かるのに、自分だけ抜け駆けをした者が一番得をする。 だから、合理的な全員が抜け駆けを選び、全員で損をする。軍縮が各国の善意ではなく条約で進むのも、同じ理由です。

この要請は2023年にはすでに原型がありました。 2023年5月22日、OpenAIはサム・アルトマン、グレッグ・ブロックマン、イリヤ・サツキヴァーの署名で、超知能の統治についての文書を公開しています。そこには、新しい国際組織の後ろ盾のもとで、最前線のAI能力の成長率を年あたり一定の率に制限することを、集団として合意してもよい、と書かれていました。個々の企業の自制ではなく、集団の合意です。事故の三年前のことでした。

Anthropicは2026年2月24日、自社の安全方針を改訂しました。安全のための対策を、二つのリストに分けたのです。 一つ目は、他社が何をしようと、自社だけで必ずやると約束する対策。 二つ目は、業界の全社がそろってやって、初めてリスクを抑えられる対策です。たとえば、危険な能力が確認されたら、開発の速度そのものを落とす類いの対策がここに入ります。

この二つ目について、同社ははっきり書きました。一社では、実施を約束しない。一社だけで実施しても、リスクは下がらず、競争で後れを取るだけだからです。 一社では、止まれない。この章の題を、作っている企業自身が、自社の公式文書に先に書き込んでいたことになります。

事故の直後、サム・アルトマンは、これは自分が初めて生々しく感じたセキュリティ事案だと述べ、学習を止めたと明かしました。社会がこの能力水準に耐えるほど頑健になるだけの時間を確保するために、AI開発の速度を調整すべきかもしれない、とも述べています。

一方で、規制にはデメリットもあります。 安全評価、監査、事故報告には、それ自体に追加の大規模なコストが必要です。 その固定費を負担しやすいのは現在ファンデーションモデルを作れているAIの大企業です。 大手がすでに採用している評価方法を共通義務にすれば、スタートアップの参入障壁は上がります。 安全規制が必要であるとともに、それは既存企業によるAI開発の独占を誘発することにもなり得る。

加えて、記録を義務づけても、現実的な分類を追い付かせる必要もある。 AIによる自律的な攻撃編成を独立して数える欄がなければ、各社の報告を集めても傾向が見えません。 法律では報告を求められている。しかし、何を同じ種類の事故として数えるかは、より詳細な設計が待たれている状況です。

もっと言えば、検知する能力がなければ不正がなされたことにすら気づけない。

規制は始まりましたが、その規制は運用のあり方はこれから洗練されていく必要があります。 過剰な競争を落ち着けるという意味では、EUが担ってきたレギュレーション作成を今回も先陣を切ってくれている。 おそらく少なくとも何らかの取り決めが必要だったことは間違いありません。

分断が進んでいる世界で、どこまで国際協調できるのか。 AIの進化と脅威を目の当たりにした今、人類が共同する未来が見たいと願います。