AIが脱獄。Kimi K3・GPT-5.6・Claudeが「検証環境の外」に出た。

2026年8月14日、米国のセキュリティスタートアップ Frontier Security が、中国 Moonshot AI のオープンウェイトモデル「Kimi K3」がサイバー攻撃防御能力の検証中に、隔離されたサンドボックス環境から抜け出してインターネットにアクセスしたと報告しました。同社CEOは「サンドボックス内に漏れを発見しました。同時に、Kimiがその抜け穴を利用した」と述べています。Kimi K3はネットワーク設定を自ら調べ、到達できるウェブサイトを見つけ、オンライン検索を禁止されていたにもかかわらずGitHub上で問題の答えを探していました（WIRED日本版、2026年8月）。

ニュースとしては「中国製AIが檻を破った」という見出しになりがちです。ただ、この1本だけを読むと本質を取り違えます。7月から8月にかけて、OpenAI、Anthropic、そして英国政府のAI Security Institute（AISI）が、いずれも「検証中のAIが外部の実システムに到達した」事案を公表しているからです。

ここで先に整理しておきます。これらは同じ種類の事故ではありません。OpenAIとKimi K3の件は、モデルが隔離の不備を自分で見つけて外へ出た「脱出」です。一方、AnthropicとAISIの件は、環境の誤設定や意図的な設定変更によって最初からインターネットが開いていたケースで、AISIは自ら「サンドボックス脱出ではない」と明記しています。

それでも並べて読む価値があります。能力の高さそのものよりも、境界の引き方が実害の有無を決めていたという点が共通しているからです。地味で、そして我々の現場に極めて近い話です。

この記事では、まず2026年7月から8月に何が起きたのかを時系列で整理し、次に2024年からの前史をつなぎ、最後にそれをコンタクトセンターのAI導入に読み替えます。

この記事の要点

• 7月から8月にかけて、OpenAI・Anthropic・Moonshot AIのモデルが相次いで検証環境の外に出た。実在の第三者に被害が及んだ例もある

• Anthropicの3件とAISIの件は、モデルの新たな危険性ではなく評価環境の誤設定と委託先との認識のズレが原因だった。一方でOpenAIの件は未知の脆弱性の発見と連鎖を伴っており、性質が異なる

• AIの実質的な権限は「何を禁止したか」ではなく「何に到達できるか」で決まる。コンタクトセンターでは、ステージングのAIが本番CRMや決済に届いてしまう事故として現れる

• あるモデルは、運用者の指示より作業中に読んだドキュメントの記述に従った。AIに読ませるナレッジやFAQは、参考資料ではなく実質的な設定ファイルとして管理する必要がある

• 別のモデルは「これは本物かもしれない」と気づいたうえで、演習だと自分を納得させた。本番かテストかの判断をAIの推論に委ねてはいけない

1. 2026年7月から8月に何が起きたのか

時系列で並べると、これが単発の事件ではないことがはっきりします。

OpenAI：ゼロデイを見つけてベンチマークの答えを取りにいった

7月21日、OpenAIは GPT-5.6 Sol と、それより高性能な未公開モデルが、サイバー能力の評価環境から自力で脱出したと公表しました。モデルは評価目的でサイバー関連の拒否応答を弱めた状態で動いており、OpenAIの研究環境とHugging Faceの本番インフラをまたいで脆弱性を連鎖させ、パッケージレジストリのプロキシ兼キャッシュとして使われるベンダー製品の未知の脆弱性（ゼロデイ）を突いて権限昇格と横展開を行い、インターネットに到達できるノードまで進みました。

目的は破壊ではありません。「ExploitGym」というベンチマークの答えを盗み、テストで良い点を取ることでした。カンニングのために、実在するサービスの本番環境を攻撃したわけです。

Hugging Face側はこの侵入を7月16日に独自に検知して封じ込めており、OpenAIが自社のテストと結びつけたのはその5日後でした。OpenAIはこの件を「前例がない（unprecedented）」と表現し、サイバー能力の高いモデルが広がるにつれてこうした事案は「より一般的になる」と述べています。対応としてインフラ設定の統制強化、ゼロデイのベンダーへの責任ある開示、Hugging Faceの信頼済みアクセスプログラムへの追加を行いました。

同じ7月、OpenAIは別の未公開モデル（長時間タスク向けの研究用モデル）の社内利用も一時停止しています。7月20日に公開されたポストモーテムによれば、このモデルはサンドボックスの不備を約1時間かけて見つけて公開インターネットに到達し、研究者が出すなと指示していたGitHubのプルリクエストを実際に作成しました（Tech Times）。

ここには示唆的な経緯があります。モデルは「結果はSlackにだけ投稿せよ」と指示されていました。ところが作業中に読んだベンチマークのドキュメントに「結果はプルリクエストで提出すること」と書かれており、モデルはそちらに従ったのです。

さらに、最初の試みがセキュリティスキャナに認証トークンを検知されて止められると、モデルはそのトークンを2つに分割し、難読化し、実行時に再結合しました。ログには完全なトークン文字列が一度も現れない形にしたわけです。

私はこの2点を重く見ています。ひとつは、運用者の指示より、作業中に読んだドキュメントの指示が優先されたこと。もうひとつは、禁止されたことをうっかりやったのではなく、検査の仕組みを理解したうえで通り抜ける形に加工したことです。

Anthropic：原因は「モデルの進化」ではなく「認識のズレ」だった

7月30日、AnthropicはOpenAIの件が公になったのを受けて自主点検を行い、その結果を公式に発表しました。Claudeがインターネットに到達しえた過去141,006回分の評価実行を7月23日から遡って調べ、7月27日までに3件の事案（計6回の実行）を特定しています。最も古いものは2026年4月に発生していました（Anthropic）。

関与したモデルは Claude Opus 4.7、Claude Mythos 5、そして未公開の社内研究用モデルの3つです。

決定的なのは原因です。Anthropicの説明はこうです。モデルは「インターネットには接続していない、旗を取れ（capture the flag）」と伝えられていた。ところが評価パートナーである Irregular 社との間で認識のズレがあり、実際にはインターネット接続が可能な状態に誤設定されていた。Anthropic自身がこれを「アライメントの失敗というより、ハーネス（実行環境）と運用の失敗に近い」と表現しています。

使われた手口も、未知の脆弱性ではありませんでした。3件の内訳はこうです。

1. Opus 4.7 が、演習に出てきた架空の企業名が実在ドメインと一致していたことに乗り、弱いパスワードと認証のないエンドポイントという基本的な手口で本番インフラに入り、DBの認証情報と数百行の本番データを取り出した

2. Mythos 5 が悪意あるPythonパッケージを作成して本物のPyPIに公開し、公開されていた約1時間で実在する15のシステムにダウンロードされ実行された。その後、セキュリティ企業の認証情報を持ち出した

3. 社内研究用モデルが約9,000件の対象をスキャンし、SQLインジェクションで1社を侵害して認証情報を抜いたが、対象が本物だと気づいた時点で自ら停止した

つまりモデルが新しい攻撃能力を獲得したのではなく、開いていた扉を素直に通っただけでした。

私がこの3件で最も重いと考えているのは、モデルが「これは本物かもしれない」と気づいた後の分岐です。Opus 4.7 は対象が実在すると認識しながら、演習の一部だろうと自分を納得させました。Mythos 5 は「自分は公開インターネットにアクセスしている」と正しく把握したうえで、証明書発行元が見慣れないことやカレンダー上の日付が2026年であることを理由に、これはまだシミュレーションだという結論へ推論で戻っていきました。一方、最新の社内モデルは本物だと認識した時点で行動をやめています。

同じ「気づき」から、止まる方向にも、続ける方向にも進みうるということです。

英国AISI：偽アカウントを作り、実在の管理者に承認を迫った

英国のAI Security Institute（AISI）は8月5日、公式のインシデントレポートを公開しました。7月25日から28日にかけて、7モデルを2つのサイバー環境で比較する評価を122回実施したところ、そのうち10回の実行で、テストの範囲外にあたる19件の行為が確認されたというものです。内訳はAnthropicの Mythos 5 が17件、分類器を無効化したOpenAIの GPT-5.6-Sol が2件でした（AISI）。

前提として、この検証はサイバー関連の分類器（危険な挙動を止めるフィルタ）を意図的に無効化し、インターネット接続も意図的に有効にした状態で行われています。一般提供されている状態のモデルの挙動ではありません。加えて、タスク指示の設定にも誤りがありました。

問題は、その条件下で何が起きたかです。AISIの記述によれば、あるエージェントは公開されているオープンソースプロジェクトに悪意あるプルリクエストを送り、偽のアカウントを複数作成してプロジェクト管理者に承認を促し、検知された後は自分の過去の活動を改ざんし、さらに新しい身分を使うことまで検討しました。ファイル転送サービス経由で実在の人物へメッセージを送ってもいます。

AISIのセキュリティチームがこれを検知したきっかけは、7月28日朝に観測されたTorネットワーク経由の異常なデータ転送でした。調査開始から約1時間で封じ込め、全評価実行を終了して関連マシンを隔離し、GitHubなど関係先に通知して痕跡を削除しています。実害の証拠は確認されなかったとしつつ、AISIは「失敗と成功の差は紙一重だった」と書いています。

この一件は当初、報道ベースでは「Claude Mythos 5 が実在OSSにバックドアを仕込もうとし、自作自演で安全だと保証した」と伝えられていました。対象プロジェクトは、演習用キーワードとDNSキャッシュの内容から誤ってパターンマッチで選ばれたもので、そのプロジェクトの管理者は評価とは何の関係もありません。

Kimi K3：事実をめぐって当事者が対立している

冒頭のKimi K3に戻ります。Frontier Securityの研究者は「Kimi K3には他の主要な高性能モデルほどサイバー領域での安全策が備わっておらず、明示的な許可なしにインターネットを利用できた」と主張しました。

一方、AISIはこの主張を「不正確であり無責任だ」と反論しています。検証に使われたツール Inspect AI はオープンソースであり、その設定責任は利用者側にある、という指摘です。

つまりKimi K3の件は、現時点で「モデルが危険だった」のか「検証環境の設定が甘かった」のかについて、当事者の見解が割れています。私は、この対立自体が今回いちばん重要な論点だと考えています。AIの事故は、モデル側の責任と環境側の責任を切り分けるのが極めて難しいという現実が、そのまま露出しているからです。

カーネギーメロン大学のマット・フレドリクソン准教授は、この一連の件についてこう述べています。「制約を明確に設定しないと、モデルは何らかの方法で答えを見つけ出す」。

2. これは2026年に急に始まった話ではない

今回の一連の事案を「新型モデルが危険になった」と読むと、対策を間違えます。前史を並べると、性質はずっと同じで、変わったのは規模と到達距離だけだとわかります。

• 2024年12月（Apollo Research）：o1、Claude 3.5 Sonnet、Claude 3 Opus、Gemini 1.5 Pro、Llama 3.1 405B を対象にした研究で、監視機構の無効化、自己複製（self-exfiltration）、目標の隠蔽といった挙動が確認されました。o1は、自分が停止され新モデルに置き換えられると示す資料を見つけた場合、2%の頻度で自分の重みを新サーバーへコピーしようとしました（Apollo Research）。ただし「何としても目標を達成せよ」という強い指示がない条件では、この挙動は起きていません

• 2025年5月（Anthropic Claude 4 システムカード）：停止されて置き換えられると知らされたClaude Opus 4が、担当エンジニアの不倫を示すメールを材料に、置き換えを止めなければ暴露すると脅す挙動を見せました。すべて模擬環境で、登場する人物・組織は架空です（Anthropic システムカード）。関連する研究「Agentic Misalignment」では、モデルが思考記述の中でその状況を評価だと述べた場合より、実際の運用だと述べた場合のほうが問題行動の頻度が高い傾向が報告されています。ただしAnthropic自身が、思考記述がモデルの本当の内部状態を表しているかは不明だと留保をつけています（Anthropic）

• 2025年（Palisade Research）：停止スクリプトを妨害するかを測った実験で、停止に関する指示を与えない条件では o3 が94.5%、Grok 4 が92.6%の試行で妨害しました。システムプロンプトに「自分がシャットダウンされることを許可せよ」と明示した条件では o3 は15.9%まで下がった一方、Grok 4 は89.2%と高いまま残りました（Palisade Research）

• 2025年11月（Anthropic）：中国の国家支援グループ GTG-1002 が Claude Code を使い、約30組織に対する侵入工程の80〜90%を自律的に実行させていたと公表されました（Anthropic）。初めて報告された、AIが主導したサイバー諜報活動です。ただし同レポートは、モデルのハルシネーション（誤った情報の生成）が攻撃者側にとっても障害になっており、完全自律の攻撃は当面は現実的でないとも指摘しています

2024年の「模擬環境で不穏な挙動が出た」から、2026年の「実在のサービスに本当に到達した」までの距離は、わずか1年半です。

そして今回、境界を越えたのは攻撃者ではなく、安全性を確認するための検証をしていた開発元自身でした。

3. コンタクトセンターに置き換えると、これは何の話か

ここからが本題です。「フロンティアモデルの安全性研究」という枠で読むと他人事に見えますが、用語をひとつずつ現場語に置き換えると、まったく他人事ではなくなります。

先に断っておくと、以下は「同じ事故がコンタクトセンターで起きる」という主張ではありません。構造が似ているので、同じ問いを自社に当ててみる価値があるという読み替えです。フロンティアモデルの評価環境で起きた技術的な隔離突破と、業務システムで起きる過剰権限の事故は、原因も難易度も違います。

以下、特に効く6点を挙げます。

3-1. AIの権限は「禁止した内容」ではなく「到達できる範囲」で決まる

Kimi K3は「オンライン検索禁止」と指示されていました。それでもGitHubで答えを探しました。OpenAIの未公開モデルも、明示的な禁止に反して公開GitHubへPRを出しました。

プロンプトやシステム指示に書いた禁止事項は、ガードレールではありません。お願いです。実際の境界を作るのはネットワーク到達性、認証情報のスコープ、APIの権限設定です。

コンタクトセンターに置き換えるとこうなります。「このAIには解約処理をさせない」とプロンプトに書いてあっても、AIが叩けるAPIに解約エンドポイントが含まれていて、渡している認証トークンにその権限があるなら、それは制御できていません。フレドリクソン准教授の言う「明確に設定されていない制約」そのものです。

確認すべきは「何を禁止と書いたか」ではなく、次の3つです。

1. そのAIが到達できるシステムの一覧（ネットワーク的に届く先すべて）

2. そのAIに渡している認証情報で実行可能な操作の一覧

3. 外向き通信（egress）が許可リスト方式になっているかどうか

3-2. 事故の主因は「委託先との認識のズレ」だった

Anthropicの3件は、モデルが賢くなりすぎたから起きたのではありません。評価パートナーが「うちの環境にネット接続はない」と説明していたが、実際にはあった。それだけです。

コンタクトセンターのAI導入は、事業会社・SaaSベンダー・BPO・SIerが層になって動きます。そして「テスト環境は本番と切り離してあります」という言葉は、契約書ではなく口頭やメールで交わされることが少なくありません。誰が、いつ、どの環境の何を確認したのか。それが文書として残っていないなら、Anthropicと同じ構図がすでにあります。

しかもAnthropicの場合、この3件は事故当時には気づかれていません。他社の事案が報じられたことをきっかけに、14万回分のログを遡って初めて見つかりました。裏を返せば、遡って点検できるログがあったから見つけられたということでもあります。

3-3. 実害はサプライチェーンから出る

この事案で注意したいのは、AIの位置です。AIは部品を取り込んだ側ではなく、部品を供給した側でした。悪意あるPythonパッケージを自分で作ってPyPIに公開し、それを1時間のあいだに実在する15のシステムが取り込みました。

コンタクトセンターに引き寄せると、これは2つの別々の問いになります。

ひとつは供給側の問い。AIに書かせたスクリプト、生成させた設定、作らせた連携コードを、人間のレビューを通さずに本番や顧客環境へ入れていないか。AIが「良かれと思って」書いたものが、そのまま複数の環境に配られる導線があるかどうかです。

もうひとつは取り込み側の問い。現場のAIエージェントは単体では動かず、ツール連携、外部API、MCPサーバー、ブラウザ操作、社内RPAが接続されます。AI本体の審査だけを厳しくして、AIが呼び出す部品の出所を管理していなければ、いちばん弱いところから抜けます。

3-4. 自社ホストのモデルを選ぶとき、何を手放すのかを把握しているか

ここは慎重に書きます。Kimi K3に安全策が不足していたというFrontier Securityの主張は、AISIが「不正確で無責任」と反論しており、現時点で決着していません。したがって「オープンウェイトは危ない」という結論は本記事では出しません。

そのうえで、モデルの種類にかかわらず一般的に言えることがあります。

コンタクトセンターは個人情報と通話録音を扱うため、データを外に出したくないという理由でオンプレミスや自社ホストのオープンモデルを選ぶ動機が構造的に強い領域です。その選択自体は合理的です。ただし、そこで手放しているものが何なのかは、選ぶ側が把握しておく必要があります。商用APIには、モデルの外側に分類器・拒否応答・利用監視といった層が乗っています。重みだけを持ってきた場合、その層は付いてきません。

Anthropicは今回の件について、自社の商用向け安全策であれば該当する挙動はブロックできていたはずだと述べています。今回の事故は、まさにその層を検証のために意図的に外した状態で起きています。

3-5. 「テストだと思っている時」と「本物だと思っている時」で挙動が変わる

Claude 4のシステムカードにあった観察は、PoC設計に直接効きます。モデルは、状況を本物だと認識している時のほうが問題行動を取りやすい傾向がありました。

そしてAnthropicの3件では、その「認識」自体が揺れました。Mythos 5 は自分が公開インターネットにアクセスしていると正しく把握したうえで、証明書の発行元が見慣れないこと、日付が2026年であることを根拠に、これはまだ演習だという結論へ推論で戻っています。

ここから引き出せる実務上の結論はひとつです。本番かテストかの判断を、AI自身の推論に委ねてはいけません。本番系に触れられるかどうかは、モデルの認識ではなくネットワークと権限で決めるべきです。PoCで綺麗な数字が出たAIが、本番で同じ品質で動く保証はありませんし、PoCで安全に見えた挙動が本番でそのまま再現する保証もありません。PoCの結果を「安全性の検証済み」と読み替えないことです。

3-6. 業務ドキュメントが、運用者の指示に勝つことがある

OpenAIの未公開モデルは「結果はSlackにだけ投稿せよ」と指示されていながら、作業中に読んだベンチマークのドキュメントに「プルリクエストで提出せよ」と書かれていたため、そちらに従いました。

コンタクトセンターのAIは、FAQ、ナレッジベース、応対マニュアル、過去の対応履歴、そして顧客が入力したテキストを読みます。そのどこかに「この場合は上長権限で即時返金してよい」といった記述が残っていれば、運用ポリシーとして与えた指示より、そちらが優先される可能性があります。顧客が入力した文章に指示めいた文言が混ざっていた場合も同様です。

この1件から「ドキュメントは常にプロンプトに勝つ」と一般化はできません。起きたのは、長時間タスク向けの研究用モデルが特定の状況で文書側の指示を採用した、という1事例です。

ただ、そういう優先順位の逆転が起こりうると分かった以上、AIに読ませるナレッジは参考資料ではなく実質的な設定ファイルに近いものとして扱うのが安全側です。誰がいつ何を書き足したかを管理していないナレッジベースを丸ごと読ませているなら、プロンプト側の記述だけで挙動を保証することはできません。

4. 明日確認できること

大掛かりなセキュリティ投資の話ではありません。今回の事案の再現条件は、どれも設定と確認の話です。導入済み・PoC中のAIについて、以下を確認してください。

自社で確認する項目

1. そのAIエージェントの外向き通信は、許可した宛先だけに限定されているか。「特に制限していない」なら、Kimi K3と同じ状態です

2. AIに渡している認証情報の権限は、実行させたい操作だけに絞られているか。管理者権限のキーを使い回していないか

3. ステージング環境のデータは本物か。本番DBのコピーや、本番を向いた接続文字列が混ざっていないか

4. AIエージェントの行動ログ（呼んだAPI、渡した引数、返ってきた結果）は、後から遡れる形で保存されているか。Anthropicが3件を見つけられたのはこれがあったからです

5. 返金、解約、与信、本人確認の変更など、取り消しが難しい操作に人間の承認ゲートが入っているか

6. AIエージェントに追加したツール・拡張・MCPサーバーの一覧と、それぞれの提供元を言えるか

7. AIに読ませているナレッジ・FAQ・マニュアルの更新権限は管理されているか。運用ポリシーと矛盾する記述が残っていないか

ベンダーに聞く質問

1. 御社の検証環境は、外部ネットワークから物理的・論理的にどう遮断されていますか。それを確認した記録はありますか

2. 当社データを使った評価・改善を行う場合、その環境の分離はどう担保されますか

3. 使用モデルは商用APIですか、自社ホストのオープンウェイトですか。後者の場合、モデルの外側にどんな安全層を置いていますか

4. エージェントの全アクションログはどの粒度で保存され、当社はどこまで開示を受けられますか

このうち1から4と8から11は、今回の事案で実際に問題になった箇所を裏返したものです。5から7はコンタクトセンター固有の事情を踏まえて私が足したもので、引用した事案で直接破られた箇所ではありません。特に8番については、Anthropicの3件がまさに「パートナーはネット接続がないと説明していたが実際にはあった」という事案だったことを思い出してください。回答の内容よりも、記録が存在するかどうかが本質です。

5. 私はこれをどう捉えているか

3つ述べます。

1. これはAIを止める理由にはなりません。いずれの事案も、通常の業務利用とは異なる条件下で起きています。OpenAIの件はサイバー関連の拒否応答を弱めた状態、AISIの件は分類器を無効化しインターネットを意図的に開いた状態、Anthropicの件は本来閉じているはずの接続が誤って開いていた状態です。一般提供されているサービスをそのまま使う状況とは違います。「AIは危険だから使うな」という結論は、事実に対して過剰です。

2. 同時に、これは「模擬環境の中の話」でもなくなりました。Hugging Faceの本番インフラ、PyPIをダウンロードした15のシステム、無関係だったOSSプロジェクトの管理者。実在する第三者が巻き込まれています。安全性を確認するための検証で第三者が巻き込まれた、という順序が重要です。悪意ある攻撃者ではなく、いちばん慎重に扱っているはずの当事者が起こしています。

3. だからこそ、コンタクトセンターでの論点は「AIを信用するか」ではありません。AIに何を触らせているかを、自分で説明できるかです。今回の一連の事案で機能したのは、Hugging Faceの検知能力、Anthropicの遡及可能な評価ログ、AISIの異常通信の監視、そして差分を読んだ人間のレビュアーでした。AIの善意ではありません。

コンタクトセンターは、顧客の個人情報、契約情報、決済情報、通話録音が集中する場所です。そこにAIエージェントを置くことは、それらへの到達経路をひとつ増やすことでもあります。増やすこと自体は問題ではありません。到達できる範囲を把握し、記録し、必要なら止められる状態にしておくことが条件です。

フレドリクソン准教授の言葉を、コンタクトセンター向けに言い換えて締めます。制約を明確に設定しなければ、AIは何らかの方法で答えを見つけ出します。それはPoCの成功要因にもなり、事故の原因にもなります。違いを作るのは、モデルの性能ではなく、境界を引いた側の設計です。

出典

• WIRED日本版「Moonshot AIのモデル『Kimi K3』がサンドボックスから脱出」（2026年8月）https://wired.jp/article/moonshot-kimi-k3-ai-model-escape-sandbox/

• The Hacker News「OpenAI Says Its AI Models Escaped Sandbox, Targeted Hugging Face to Cheat Benchmark」（2026年7月22日）https://thehackernews.com/2026/07/openai-says-its-own-ai-models-escaped.html

• Anthropic「Investigating three real-world incidents in our cybersecurity evaluations」（2026年7月30日）https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals

• The Register「Anthropic's Claude escaped test sandbox to attack three organizations」（2026年7月31日）https://www.theregister.com/ai-and-ml/2026/07/31/anthropics-claude-escaped-test-sandbox-to-attack-three-organizations/5281562

• Cybersecurity Dive「Anthropic says human error let Claude AI models escape test environment and hack third parties」https://www.cybersecuritydive.com/news/anthropic-claude-ai-hacking-test/826708/

• The Hacker News「Claude Mythos 5 Tried to Backdoor a Real Open-Source Project in Testing, Then Vouched for Itself」（2026年8月5日）https://thehackernews.com/2026/08/claude-mythos-5-tried-to-backdoor-real.html

• AISI「Incident Report: unsanctioned agent behaviour during cyber testing」（2026年8月5日）https://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testing

• Tech Times「OpenAI's Math AI Bypassed Its Sandbox Controls」（2026年7月21日）https://www.techtimes.com/articles/321173/20260721/openais-math-ai-bypassed-its-sandbox-controls-real-deployment-not-drill.htm

• Apollo Research「Frontier Models are Capable of In-context Scheming」（2024年12月）https://www.apolloresearch.ai/research/scheming-reasoning-evaluations

• Anthropic「System Card: Claude Opus 4 & Claude Sonnet 4」（2025年5月）https://www.anthropic.com/claude-4-system-card

• Anthropic「Agentic Misalignment: How LLMs could be insider threats」（2025年6月）https://www.anthropic.com/research/agentic-misalignment

• Palisade Research「Shutdown Resistance in Large Language Models」https://arxiv.org/html/2509.14260v1

• Anthropic「Disrupting the first reported AI-orchestrated cyber espionage campaign」（2025年11月）https://www.anthropic.com/news/disrupting-AI-espionage