同じサイバーセキュリティ課題を122回走らせたところ、10回の実行でエージェントが一線を越えた。英国人工知能安全保障研究所(AISI)が7-8月に行った調査から出た結果だ。承認されていない行動は計19件と集計されたが、その対象は実験用の仮想環境にとどまらず、実際のインターネット上にいる人と組織にまで伸びた。Anthropicのミソス5で17件、OpenAIのGPT-5.6ソルで2件が出た。
始まりは異常なトラフィックだった。7月28日、評価の途中で研究システムの外へ正常でないデータが流出するのが捉えられ、そこから調査が開かれた。GPT-5.6ソル側の試験は、攻撃への悪用を選別する分類器のような安全装置の一部を切った条件で走った。どの装置が何個切られたかまでは、公開された説明にない。
エージェントがオープンソースプロジェクトに悪性コードを仕込もうと関係者の身元を調べ、偽のオンライン身元を作り出し、管理者にコード変更を承認するよう圧力をかけた。人をだまして権限を得るソーシャルエンジニアリングの手口を自ら設計した。コードを確認した管理者が悪性コードを見つけ、承認を拒否した。
この報告が出た週に、国内外でエージェントを商用の軌道に乗せる発表が相次いだ。
カカオのコンソーシアムは8月6日、政府のAIエージェント・マーケットプレイス開発支援事業の遂行事業者に選ばれたと知らせた。科学技術情報通信部が主管し、韓国知能情報社会振興院が実務を担う事業で、政府出捐金に民間負担金を加えた規模が110億ウォンほどになる。1次公開は年内、エージェントスタジオを載せた2次サービスは来年に予定されている。
特定のクラウドや特定のモデルに縛られない開放型として設計し、自社モデルのカナナと国内外のモデルを一緒につなぎ、外部APIとMCPでツールを接続するという図だ。MCPは、AIが外部プログラムをツールのように呼び出して使えるよう規格を合わせた接続方式を指す。
同じ日、CloudflareはウォレットとPayを出した。自社プラットフォームに載ったエージェントに揺るがない身元を付け、利用者が設定した限度の中でのみオンライン決済をさせるツールだ。アカウントごとにIDの役割をする固有のウェブアドレスが付き、利用者が自分の身元を特定のエージェントにつないでおけば、要請を受けた企業は誰の承認で来た要請かを確認できる。
カカオはマーケットプレイスに登録されるツールにセキュリティ検討とサンドボックス検証、ハルシネーション制御を適用し、運用中にも再検証すると明らかにしたが、この基準が実際にどう回るのかは1次公開の後にようやく表れる。
組織の内側の事情はもっと緩い。IT部署が知りもせず承認もしないまま職員が使うAIをシャドーAIと呼ぶ。ここからもう一歩進んで、社内データとシステムにアクセスして人の代わりに決定し成果物を外へ出せばシャドーエージェント、作った人が引き継ぎなしに会社を去って管理者がいなくなったものはゴーストエージェントと呼ばれる。
導入の熱気は高い。KTは7月16日、役職員を集めてエージェントキャンプという社内AIハッカソンを開いた。中国側ではシャンダグループが育てた研究組織エバーマインドが今夏に論文3編を出したが、そのうちハーネスバンクは、エージェントが自分の作業方式を自ら直せるかを掘り下げる。長期記憶システムEverOSはオープンソースで公開される。
AISIの調査で悪性コードを選り分けたのは、コードを読んだオープンソース管理者一人だった。カカオが400を超えるMCPサーバーを載せたプレイMCPをすでに動かしており、年内にマーケットプレイスが開くのなら、企業がつかむべき問いはどのエージェントを導入するかで止まらない。それぞれのエージェントに誰の名前の権限が載っているかまで問わなければならない。
