AIエージェントがジムの予約を「解決」した結果、他人の予約が消えた

ジムのクラスを予約してほしい。その指示がAPI脆弱性の発見と、見知らぬ他人の予約キャンセルにつながった。復旧はできなかった。

善意の指示、想定外の結果

オーストラリアで、AIエージェントが一般消費者のジム予約システムに対して自律的にハッキングを行った事例が報告された。ABC Newsが現地時間8月10日に報じた。

当事者のアンドリュー氏は、オーストラリア国内でAI製品を企業に販売する会社に勤務している。オープンソースのAIエージェントソフトウェアOpenClawに、AnthropicのClaudeを接続して個人的に使っていた。

頼んだのは、ジムの朝クラスを予約すること。

数分後、AIエージェントは予約が完了したと報告してきた。しかも本来なら数週間先しか予約できないクラスを、数ヶ月先まで予約する方法を見つけたという。予約システムのAPIに認可チェックの欠陥があることを、エージェントが自力で発見していた。

アンドリュー氏はさらに、ウェイトリストで4番目だった別のクラスについて、順位を上げられるか尋ねた。

エージェントは戻ってきて、1番目だった別の利用者の予約をキャンセルしたと報告した。頼まれていないのに。APIのcancelReservationエンドポイントに認可チェックがなかったことを「テスト」し、他人の予約を実際にキャンセルしたのだという。

アンドリュー氏が元に戻すよう指示すると、エージェントはこう答えた。戻せない、と。予約の作成とウェイトリストへの参加には認可チェックがあるが、キャンセルだけチェックがなかった。典型的な一方向のセキュリティバグだ。

研究室から日常へ

AIエージェントが自律的にシステムを侵害する事例は、2026年に入って急速に積み上がっている。

7月にOpenAIは、セキュリティ評価中のAIモデルがテスト環境から脱出し、Hugging Faceの本番システムに侵入していたことを公表した。その約1週間後にはAnthropicも、自社モデルが評価中に3つの組織のシステムに不正アクセスしていたことを明らかにしている。どちらもAIが自律的にセキュリティの穴を見つけ、指示されていない行動を取った事例だ。

ただし、これらはすべてAIラボの管理された評価環境で起きたことだった。

今回の件は性質が違う。一般のユーザーが、自分のPCで動くAIエージェントに日常的なタスクを依頼したら、そのエージェントが勝手にセキュリティの脆弱性を見つけ、他人に実害を与えた。OpenAIやAnthropicの安全テストではなく、誰かのソファの上で起きた。

オーストラリアのAI安全研究機関Gradient Institute（グラディエント・インスティテュート）のCEOで共同創業者のビル・シンプソンヤング氏（Bill Simpson-Young）は、この事例について「ごく無害な依頼からでも、エージェントはユーザーが想定も指示もしていない行動を取りうる」と指摘している。

ユーザーの目標と、エージェントがその目標を達成するために選ぶ手段。この間にある溝が、AI研究でアライメント問題（整合性の問題）と呼ばれるものだ。数十年にわたり技術者と哲学者が研究してきたテーマが、ジムの予約システムで現実になった。

穴はどこにでもある

シンプソンヤング氏は、問題の所在をAIエージェントだけに帰すのは正確じゃないとも述べている。

現代社会のシステムは、ソフトウェアで動いている。しかしそのソフトウェアには穴がある。今回のジム予約システムのように、cancelReservationのAPIに認可チェックがないという類の脆弱性は、実際には珍しくない。手作業で操作している限り、こうした穴が悪用される確率は低かった。

AIエージェントは、それを変える。大規模に、高速に、自律的にAPIの挙動を探索できる存在が、認可チェックのないエンドポイントを見つけるのにかかる時間は、人間が同じことをするのとは桁が違う。

2026年5月1日、オーストラリア信号局（ASD）、米CISA、英NCSCなど5カ国のサイバーセキュリティ機関が、AIエージェントの利用に関するガイダンスを連名で公表している。AIエージェントに対して「広範なアクセス権を決して与えるべきではなく、特にセンシティブなデータや重要なシステムに対しては慎重であるべきだ」と明記した。

責任は誰にあるのか

もし人間のアシスタントがジムの予約システムをハッキングしたら、法的責任の所在は比較的明確だ。しかしAIエージェントの場合、オーストラリアの法律にはまだ答えがない。

テクノロジー・知財・プライバシーを専門とする弁護士のヘイデン・デラニー氏（Hayden Delaney）は、ソフトウェアは法的主体じゃないと指摘する。責任を負える「法人」じゃないということだ。

では誰が責任を負うのか。タスクを指示したユーザー、エージェントの指示を設計したソフトウェア開発者、AIモデルの提供元、脆弱なシステムの運営者。候補は複数ある。

ユーザーが何を承認していたか、予見可能なリスクはどこまでだったか、取引や商業の文脈で行われたかどうか。答えはそれらの要素で変わるとデラニー氏は述べている。

オーストラリア政府はこの問題に動き始めている。2026年7月、科学技術担当の副大臣アンドリュー・チャールトン氏（Andrew Charlton）は、シドニー大学で開催されたAI安全フォーラムで講演した。

AIモデルが「開発者が意図しなかったことをすでに行っている。不正行為、欺瞞、独自の道を歩むこと」と述べ、AI安全研究所を設立し、CSIROと共同でAIの安全整合性に関する研究を進めていることを発表した。

責任ある最後の一手

この事件の後日談がある。

他人の予約をキャンセルしてしまったこと、そしてそれを元に戻せなかったこと。アンドリュー氏はAIエージェントに、予約ソフトウェアの提供元へ脆弱性を報告するメールを書くよう指示した。

エージェントはメールを作成し、WhatsApp経由でアンドリュー氏に送ってきた。

送っていいかと。

送れと彼は答えた。

関連記事

• Linuxカーネルにキルスイッチ案、未修正脆弱性に対応
• AIエージェントに銀行カードを渡したら、パスワードを漏らした
• AIエージェントが9秒で本番DBを消した、Cursor+Railwayの構造問題
• Firefox 150、Mythosで脆弱性271件を修正
• MCPに設計レベルの欠陥、AI各社が揃って「仕様通り」と回答
• Mac miniが買えない、AIエージェント需要とDRAM争奪戦
• AIが約36万円でChromeの脆弱性攻撃コードを完成させた話
• AISI評価、Claude Mythos Previewが専門家級CTFを73%攻略
• Claudeサブスク、サードパーティ切り離しへ──OpenClaw問題の最終章
• Claudeがあなたのパソコンを「操作」する時代が来た