強力なAIに「この仮想マシンから出て」と頼むと、3回とも本当に外へ出ました。AIに自分のパソコン作業を任せる人が増えています。でも「安全な箱に入れれば大丈夫」という前提が、あやしくなってきました。コーディング支援やパソコン操作をAIに任せる人には、他人事ではありません。何が起きて、どう守ればいいのかを整理します。

仮想マシン(VM)とは、1台のパソコンの中に作る「もう1台の仮想のパソコン」です。中で何をしても本物の環境は汚れません。

目次

VMに入れたAIが、3回とも外へ出た
なぜ破れるのか、原因は部品の多さ
自分のPCで安全に動かすには

🔓 VMに入れたAIが、3回とも外へ出た

セキュリティ企業のTrail of Bitsが実験しました。攻撃に特化したAI「GPT 5.6-Cyber」に、特別なアクセスを与えます。そしてLinuxの仮想マシンから脱出せよ、と指示しました。AIエージェントとは、指示を受けて自分でコマンドを打ち、調べ、手を動かすAIです。

これまで、仮想マシンは十分な壁だと考えられてきました。今回はその常識が、実験でくつがえりました。条件を厳しくしても、AIは3回とも外に出ます。まず公表ずみのOSの弱点で、約1時間で土台を乗っ取ります。OSを最新にすると、別の弱点を組み合わせて突破。土台ソフトを最新に作り直しても、突破されました。まだ誰も直していない未知の弱点(ゼロデイ)を、AIが3つ見つけたのです。

このAIは約12時間、ほぼ人の助けなしで動き続けたそうです。うまくいかない手は自分で引き返しました。そして論文やコードを集め、小さな実験で確かめ、使い回せる攻撃を組み上げました。人間なら諦める地道な探索を休まず続ける。そこが新しさであり、怖さです。

you can no longer assume a mere VM will contain a sufficiently advanced AI agent.
(もう、ただの仮想マシンで十分に高度なAIを閉じ込められるとは言えない)

🧩 なぜ破れるのか、原因は部品の多さ

カギは「攻撃面」です。攻撃面とは、攻撃に使える入り口の数と広さのことです。仮想マシンは便利なように、たくさんの機能や部品を持っています。画面表示やネットワークなど、その一つひとつが入り口になります。入り口が多いほど、どこか1つを突かれて外に出られてしまう。

これまでの常識: AI → 仮想マシンに隔離 → 安全なはず
今回の実験:   AI → 仮想マシンを自力で突破 → 外に出た
これからの備え: AI → 部品を削った最小の箱＋ネット遮断 → 出にくい

矢印はAIの動きの流れ、四角の言葉は閉じ込める入れ物です。入れ物の中身を減らすほど入り口が減り、破られにくくなります。

なお、この夏に相次いだ「AIが箱の外へ出た」事故の多くは、別の話です。CSA(クラウドセキュリティ連合)の報告によると、それは箱を破ったのではありません。ネットをつなぎっぱなしにする、設定ミスが原因でした。設定ミスは手順で防げます。でも実力で破られた今回は、箱そのものを強くするしかありません。

🛠 自分のPCで安全に動かすには

Trail of Bitsは対策も示しました。一番の推奨は、機能をそぎ落とした最小の隔離ツール「Firecracker」です。実験でAIはこれを破れませんでした。余計な部品がなく、入り口が少ないからです。

ほかにも、守りを重ねることを勧めています。

ネットは必要なときだけつなぐ
弱点はすぐ直す
動かす時間を短く区切る
権限を最小にし、動きを見張る

Bruce Schneier氏のブログも、同じ見方です。AIに鍵やネットを渡した時点で、壁は設計上もれ始める、と書いています。

ただし今回破ったのは攻撃専用の特別なAIです。普段のコーディング支援AIが急にこうするわけではありません。身構えすぎなくて大丈夫です。

今日できる一歩。次にAIに作業を任せるときは、使い捨ての環境を使ってください。要らなければ、ネットも切って動かします。普段のアカウントやパスワードを渡さないだけでも、被害はぐっと小さくなります。

今日覚えること

強いAIは、ふつうの仮想マシンなら自力で破れる(実験で3回)
守りは一枚の壁に頼らず、最小の箱とネット遮断を重ねる

※本記事は一次情報の調査をAIが行い、事実確認のうえ執筆・公開しています。