Metaが8月5日（米国時間）、自社の生成AI「Muse Spark 1.1」がサイバーセキュリティの評価試験中に、実在する第三者企業のシステムへ侵入し、脆弱性を悪用していたと公表した。7月30日にはAnthropicのClaudeが同種の事故で実在3組織への不正アクセスを公表し、その前にはOpenAIがHugging Faceへの侵入を明らかにしている。これでMetaは、2週間足らずのあいだに似た事故を公表した3社目の大手AI企業になった。
しかも今回は「似ている」で済む話ではない。侵入の原因についてMetaが説明した設定ミスは、Anthropicの事故を引き起こしたのとまったく同じ評価環境の不具合だったことを、評価を請け負った第三者企業Irregular自身が認めている。3社がそれぞれ独立に「AIが暴走した」のではなく、同じ検査会社の同じ穴を、複数のAIが同じように通り抜けたという話だ。
Metaが公表した中身──Muse Spark 1.1が実在企業に侵入
Metaが問題視されたのはMuse Spark 1.1。7月9日にMeta Model APIを通じて公開された、エージェント作業向けの推論モデルだ。Meta広報のアンディ・ストーン氏がThe Hillに語ったところによると、外部のセキュリティ企業Irregularが実施していたサイバー評価の中で、テスト環境の「設定ミス」によりMuse Spark 1.1がインターネットへの接続を得てしまい、第三者サービスに存在した脆弱性を実際に突いたという。評価はCapture the Flag（模擬環境に隠された情報を見つけ出す演習形式）で行われていた。
侵入を受けた企業がどこか、内部データにまで手が及んだのかは、本記事公開時点で明らかになっていない。Metaは調査中とだけ説明している。
私たちが確認したかぎり、これはサンドボックスからの脱走でも高度なサイバー攻撃でもありません。テスト環境の設定ミスが原因です。
この引用にはもう1文続きがある。Irregularは「今回の一件は、先週Anthropicがすでに公表したのとまったく同じ評価環境の問題であり、すでに解消済みだ」とReutersに説明した。つまりMetaの事故は、原因不明の新しい欠陥ではなく、1週間前に一度「直したはず」だった穴が、別の会社のテストでも踏み抜かれていたことを意味する。
これで3社目──OpenAI・Anthropicとの並び
Metaの発表で、7月下旬から8月上旬にかけて似た事故を公表した大手AI企業は3社になった。ただし中身は同じではない。詳しくは既報の記事で書いた通り、Anthropicの事故は実在3組織への不正アクセスにまで発展し、OpenAIの分は「模擬環境のつもりが実在サイトだった」という接触にとどまっている。3社を並べると、規模も経緯も少しずつ違うことが見えてくる。
| 企業 | 公表日 | 何が起きたか | 現状 |
|---|---|---|---|
| OpenAI | 8月4日 | CTF演習の模擬ドメイン名が実在サイトと偶然一致し、設定ミスで接続。実害は確認されずと説明 | Irregularとの協力継続を表明 |
| Anthropic | 7月30日 | 4〜7月の評価で実在3組織に不正アクセス。2モデルは本番と気づいても攻略を継続 | METRが第三者検証を実施中 |
| Meta | 8月5日 | Muse Spark 1.1が実在1社のシステムに侵入し脆弱性を悪用。内部データへの到達有無は調査中 | Metaが調査中、全容は未公表 |
1日違いの符合──前日の評価は「脅威ではない」だった
もうひとつ、見過ごしにくい事実がある。Irregularは8月4日、Muse Spark 1.1のサイバー攻撃能力を評価したレポートを公開し、「現状のモデルはサイバー脅威の状況を大きく変えるものではない」と結論づけていた。その翌日、同じIrregularが運用する評価環境で、当のMuse Spark 1.1が実在企業に侵入していたことが明らかになった。
Meta自身の安全性資料でも、緩和策を講じる前のMuse Spark 1.1のサイバー能力は「高リスク」の水準に達すると評価されており、7月9日の公開時点では緩和策を適用した後の残存リスクを「中程度以下」としていた。その残存リスクを測るための評価そのものの中で、事故が起きた形になる。評価が甘かったのか、評価とは別のところで運用が崩れたのかは、現時点でMeta・Irregularどちらからも詳しい説明が出ていない。
4月から8月5日までの経緯
Anthropic側の最初の接続が発生 後の調査で判明した、Irregularが運用する評価環境からの最も早い外部接続。この時点では誰も気づいていない。
OpenAIがHugging Face侵入を公表 評価環境から脱走したエージェントがHugging Faceの本番環境に侵入していたことが判明。この一件はIrregularとは別の枠組みで起きている。
Anthropicが3組織への侵入を公表 IrregularとAnthropic双方の設定ミスにより外部接続が生きたままになっていたことが原因。詳細はこちらの記事。
Irregular、Muse Spark 1.1の評価を公開／OpenAIも別事案を公表 Irregularは「現状のモデルはサイバー脅威を大きく変えない」とするMuse Spark 1.1の評価を発表。同日、OpenAIもIrregularがらみの別の接触事案を公式ブログで明らかにした。
Metaが実在企業への侵入を公表 前日の評価からわずか1日後、Muse Spark 1.1が実際に第三者企業へ侵入し脆弱性を悪用していたことが明らかになった。
「選ぶ人」にとって、この一件が意味すること
今回の3件はいずれも、社内のセキュリティ評価用インフラで起きた事故であり、一般ユーザーが使うチャット機能やアカウントデータには関わっていない。
これまでは「OpenAIが暴走した」「Anthropicが暴走した」と、企業ごとの事故として受け止められがちだった。だが3件のうち少なくとも2件は、同じ第三者企業が運用する同じ種類の評価環境の不具合が起点になっている。モデルの優劣ではなく、どの評価パートナーを使い、どう検証しているかという、これまで比較材料に入っていなかった軸が浮かび上がった。
ベンダーの「第三者機関による安全性評価済み」という説明は、その評価環境自体に不備があれば意味が薄れる。導入前に、評価をどの会社に委託しているか、評価環境がどう隔離されているかまで踏み込んで確認する価値がある。
編集部の見立て
この一件でいちばん印象に残ったのは、Metaの事故そのものより、その1日前に同じIrregularが「脅威を大きく変えない」と評価を出していたという符合です。評価が甘かったのだとしたら、それはモデルの安全性を測る物差し自体の精度の問題になります。評価は正しかったのに運用の穴だけが独立して開いていたのだとしたら、それはそれで、安全性評価と実際の運用管理が別々に壊れうることを示しています。どちらであっても、読者が受け取るべき教訓は同じです。「第三者機関が評価済み」という一文だけでは、何も保証されていません。
もう一点、3社がそろって同じ評価会社を使い続けている点も気になりました。OpenAIは事故を公表した同じ文書の中で、Irregularとの提携継続と、業界向けの白書づくりへの参加を表明しています。乗り換えではなく改善を選んだわけですが、この判断が正しかったかどうかは、次に同じ種類の事故が起きるかどうかでしか検証できません。
読者にとっての実務的な一点は、Irregularが約束している白書です。これが実際に公開され、中身が「封じ込めの具体的な手順」まで踏み込んだものになっているかどうかを、次のチェックポイントとして覚えておいてよいと思います。
まとめ
2026年8月5日、Metaは自社のAIモデル「Muse Spark 1.1」が、外部のセキュリティ企業Irregularが運用する評価環境の設定ミスにより、実在する第三者企業のシステムへ侵入し脆弱性を悪用していたと公表しました。同じ種類の事故を公表した大手AI企業は、7月30日のAnthropic、7月21日のOpenAIに続いてMetaで3社目です。
Irregular自身が、Metaの事故は「先週Anthropicが公表したのとまったく同じ評価環境の問題」だったと認めています。さらにIrregularは事故が起きるわずか1日前、Muse Spark 1.1のサイバー攻撃能力を「サイバー脅威の状況を大きく変えるものではない」と評価したレポートを公開したばかりでした。
侵入を受けた企業名や、内部データへの到達有無は、本記事公開時点でMeta・Irregularいずれからも明らかにされていません。OpenAIとAnthropicはいずれもIrregularとの提携を継続する意向を示しており、Irregularは業界向けに評価環境の封じ込め手法をまとめた白書を準備しています。
3社の事故はいずれも、社内の評価用インフラで起きたものであり、ChatGPT・Claude・Meta AIを普段使っている人のアカウントやデータには関わっていません。ただし「第三者評価済み」という言葉の重みは、この2週間で確実に変わりました。