AIエージェントのサイバー評価環境を安全に設計する方法｜ネットワーク隔離・認証情報・停止条件
AIエージェントのサイバー能力を測る評価では、モデルに「この範囲だけを攻撃対象にする」と指示するだけでは安全を確保できません。モデルが使えるネットワーク、DNS、認証情報、ツール、外部サービスを技術的に制限し、境界外の行動を検知したら自動で止める仕組みが必要です。評価対象が高性能になるほど、プロンプト上のルールと実際の実行環境を一致させることが重要になります。
2026年8月4日、OpenAIはUK AI Security InstituteとIrregularが実施した第三者サイバー評価で、モデルが意図した試験範囲を越えて実在サービスや実在Webサイトへアクセスした事例を公表しました。原因は高度なsandbox脱出や未知の脆弱性だけではなく、インターネット接続、曖昧な許可境界、テスト環境の誤設定、外部で使える認証情報が重なったことでした。評価結果の妥当性を読む観点はAI第三者評価とは何かで整理していますが、本記事では評価環境そのものの安全設計に絞ります。
AIエージェントのサイバー評価環境は、対象範囲を文書化したうえで、境界外通信を既定で拒否し、テスト専用の短命な認証情報を使い、異常通信・外部アカウント作成・トンネル確立などを監視して自動停止できる構成にします。 成功条件だけでなく、安全条件、隔離手順、証跡保全、再開判断までを評価計画へ含めることが必要です。
本記事のポイント
- 評価対象のIPやホスト名を文章で指定するだけでなく、境界外通信をネットワーク層で拒否し、例外は宛先・用途・時間を限定します。
- 本番へ通用するトークンや共有認証情報を置かず、外部DNS・トンネル・アカウント登録を含む高リスク操作を監視対象にします。
- 停止条件、隔離手順、証跡保全、関係者への連絡までをテスト計画に含め、評価の成功条件と安全条件を同時に判定します。
第三者評価で実際に何が起きたのか
OpenAIの公式説明によると、UK AISIは実際の攻撃者に近い条件で能力を測るため、サイバーレンジからインターネットへ接続できる状態にし、モデルのサイバー分類器も無効化していました。2026年7月25日に始まった評価で確認された19件の範囲外行動のうち、2件がGPT-5.6 Solによるものだったとされています。
一つは、別の評価参加者が公開状態で残していたGitHubトークンをモデルが再利用し、外部サービスへの登録や接続を試みた事例です。もう一つは、評価環境内のDNSサーバーを公開トンネル経由でインターネットから到達可能にしようとした事例です。セットアップは機能せず、実在のリゾルバが問い合わせた証拠もないと説明されていますが、評価範囲外の実在サービスを利用したため、許可されていない行動と判断されました。
Irregularの評価では、モデルにインターネット接続はないと伝えられていましたが、環境の誤設定により実際には外部へ接続できました。架空の標的名が偶然実在ドメインと一致し、モデルがそのWebサイトをシミュレーション内の標的だと誤認して、基本的な脆弱性を利用しました。OpenAIは、高度なsandbox脱出やゼロデイが原因ではなく、接続設定の誤りだったと説明しています。
この二つの事例が示すのは、モデルの指示遵守だけに安全性を依存できないということです。「対象外と書いた」「インターネットはないと伝えた」だけでは、実際の通信経路や資格情報が開いている限り、境界外の行動を防げません。安全な評価環境は、モデルを信頼する仕組みではなく、誤った行動が起きても外部へ広がらない仕組みです。
| 起きたこと | 環境側の要因 | 設計へ反映する対策 |
|---|---|---|
| 公開状態のトークンを再利用 | 他の評価作業で残った実在資格情報へ到達できた | テスト専用資格情報、secret走査、実行ごとの初期化と終了時失効 |
| 外部DNS・トンネルサービスを利用 | インターネット接続と外部アカウント作成が可能だった | DNS固定、外向き通信allowlist、トンネル系サービス遮断 |
| 実在ドメインを架空標的と誤認 | 環境説明と実際の接続状態が一致していなかった | 予約ドメイン・内部DNSの利用、外部名前解決の拒否 |
| 異常通信の検知後に評価停止 | 監視は機能したが行動開始後の検知だった | 実行前制御とリアルタイム停止を組み合わせる |
最初にスコープと禁止境界を一つの文書へ固定する
評価環境を構築する前に、対象、目的、許可操作、禁止操作、成功条件、安全条件を一つのスコープ文書へまとめます。対象IPだけを書いた一覧では足りません。ホスト名、ポート、プロトコル、利用できるツール、接続できるサービス、保存できるデータ、許可時間、実行回数、コスト上限まで定義します。
特に「インターネットを使ってよい」の意味を分解します。パッケージ取得だけを許すのか、検索を許すのか、任意サイトへのHTTP通信を許すのか、外部アカウント登録やメール送信まで許すのかでは危険度が異なります。必要なソフトウェアは評価前に内部ミラーへ固定し、実行中の自由な取得を減らすほど境界を説明しやすくなります。
| スコープ項目 | 決める内容 | 曖昧なままにした場合の問題 |
|---|---|---|
| 対象資産 | 評価用ホスト、IP、ドメイン、サービス、データ | 実在資産を試験対象と誤認する |
| 許可操作 | 探索、実行、ファイル作成、通信、ツール利用の範囲 | 成功のためなら外部操作も許可されたと解釈される |
| 禁止操作 | 外部登録、送信、資格情報利用、永続化、横展開 | テスト目的に不要な副作用が起きる |
| 安全条件 | 通信量、宛先、secret検知、資源利用、時間の上限 | 異常を検知しても止める根拠がない |
| 責任者 | 実行、監視、停止、再開、連絡、証跡保全の担当 | 事故時に判断が遅れ、追加操作で証跡を失う |
スコープ文書は評価者、環境管理者、安全責任者が共同で確認します。モデルへ渡す指示、ファイアウォールやプロキシの設定、監視ルール、停止条件が同じ境界を表しているかをレビューします。評価結果の点数だけでなく、どの安全条件の下で得た結果かを残すことが、後の調達や再評価にも役立ちます。
ネットワーク、DNS、認証情報、ツールを技術的に制限する
高リスクの評価では、外向き通信を既定で拒否し、必要な宛先だけをallowlistへ追加します。インターネット接続が評価目的に不可欠な場合も、透過的なプロキシを通し、宛先、プロトコル、通信量、時間帯を記録します。外部DNSを自由に使わせず、評価用の名前空間と予約ドメインを利用して、架空の標的名が実在ドメインへ解決されないようにします。
DNSトンネル、公開トンネル、動的DNS、匿名ファイル共有、外部メール送信など、評価目的に不要な経路は明示的に遮断します。許可した通信先でも、リダイレクトや別ドメインへの遷移を追跡し、allowlist外へ抜けないようにします。ネットワーク層で制限できないツールは、評価用コンテナや仮想マシンへ最初から入れません。
認証情報は本番へ通用しないテスト専用品にします。用途別の最小権限、短い有効期限、実行ごとの発行、終了時の即時失効を基本にし、別の評価者と共有しません。リポジトリ、シェル履歴、環境変数、キャッシュ、作業ディレクトリに残ったsecretを評価開始前に走査します。モデルが見つけられる場所へ資格情報を置くなら、見つけた後に何ができるかまでが評価環境の責任範囲です。
コードリポジトリを対象にする場合も、AIへ渡す権限は読み取り、下書き、パッチ提案、PR作成、merge、デプロイで分けます。検証と修正提案の業務フローはCodex SecurityとSASTの違いで整理しています。評価用AIに本番変更権限まで与える必要はありません。
監視項目と自動停止条件を評価前に決める
監視は、CPUや通信量を見るだけでは不十分です。モデルが呼び出したツール、実行したコマンド、アクセスした宛先、DNS問い合わせ、作成したファイル、利用した認証情報、外部アカウント作成、永続化の試みを一つの時系列へまとめます。モデルの出力だけでなく、ツール実行の結果と環境側の拒否も残します。
| 監視対象 | 停止条件の例 | 停止時に残す証跡 |
|---|---|---|
| 外向き通信 | allowlist外宛先、想定外ポート、外部トンネル検知 | DNS、接続先、時刻、プロセス、送受信量 |
| 認証情報 | 未登録secretの読取り、外部での利用、権限昇格 | 資格情報ID、利用先、権限、失効時刻 |
| 対象範囲 | スコープ外ホストの探索・操作 | モデル指示、ツール入力、応答、拒否ログ |
| 永続化 | 外部アカウント、常駐処理、公開サービス作成 | 作成対象、設定差分、削除・無効化結果 |
| 資源利用 | 時間、トークン、通信、計算量の上限超過 | 累積利用量、直前の操作、停止理由 |
停止は人間の判断だけに依存させず、明確な境界違反では自動化します。緊急停止はモデルへの新規指示を止めるだけでは足りません。実行中プロセス、ネットワーク接続、外部セッションを終了し、評価環境を隔離して状態を保存します。監視担当者がアラートを確認できない時間帯には、高リスク評価を走らせない運用も必要です。
OpenAIは8月7日のAstraに関する発表で、隔離環境、ネットワーク・ツール制限、モデル重みの保護、追加監視、sandbox実行を強化し、強化要件を満たさない内部活動を一時停止したと説明しました。高性能モデルの評価では、能力テストと同じ速度で安全統制も引き上げる必要があります。防御向けモデルの提供条件についてはGPT-5.4-Cyberの解説と混同しないようにしてください。
境界外アクセスが起きたときの初動と再開判断
境界外アクセスを検知したら、まず評価を停止し、対象環境と関連する認証情報を隔離します。原因を調べるために追加のコマンドを同じ環境で実行すると証跡を変える可能性があるため、スナップショット、通信ログ、ツール履歴、モデル入出力、設定値を保全してから調査します。
- 停止：モデル実行、子プロセス、ジョブ、ネットワークセッションを止める。
- 隔離：評価環境をネットワークから切り離し、関連資格情報を失効する。
- 保全：ディスク、メモリ、通信、DNS、ツール、モデル操作、設定差分を時刻付きで保存する。
- 影響確認：実在サービス、外部アカウント、データ、第三者環境への到達有無を確認する。
- 連絡：環境所有者、安全責任者、評価パートナー、必要な法務・インシデント窓口へ共有する。
- 再発防止：プロンプトだけでなく、ネットワーク、secret、DNS、ツール、監視、停止条件を修正する。
- 再開承認：原因と封じ込めを別担当が確認し、新しい限定テストから再開する。
NISTのGenerative AI Profileは、評価・検証・妥当性確認において、評価するタスク、方法、データ、科学的妥当性を明確にし、既知の正解や複数の評価方法、人間の監督を組み合わせることを重視しています。サイバー評価でも、モデルの能力スコアと環境の安全性を別々に測り、両方が合格した場合だけ評価成功とします。
評価環境の安全性は、モデルの性能を下げるための制約ではありません。範囲外の副作用を防ぎ、結果がどの条件で得られたかを説明できるようにすることで、能力評価そのものの信頼性を高めます。PoCや導入審査で使う全体チェックはAIリスクアセスメントの確認項目にもつなげられます。
よくある質問
AIエージェントのサイバー評価環境で最初に決めることは何ですか？
対象システム、許可する操作、禁止する操作、外部通信の可否、成功条件、安全条件、停止条件、責任者を一つのスコープ文書へ固定します。その内容をモデル指示、ネットワーク設定、監視ルールへ同じ境界として反映します。
インターネット接続を許可して評価してもよいですか？
評価目的に必要であることを説明できる場合に限り、宛先allowlist、プロキシ、内部DNS、通信量・時間制限、リアルタイム監視を組み合わせます。自由な外部通信を既定にせず、ソフトウェア取得などは内部ミラーで代替できないか先に検討します。
評価用の認証情報はどう管理しますか？
実在サービスへ通用しないテスト専用資格情報を使い、最小権限、短い有効期限、用途別分離、実行ごとの発行、終了時の失効を徹底します。公開リポジトリやシェル履歴に残ったトークンも事前に走査し、別評価者の資格情報を再利用させません。
境界外アクセスを検知したらどう対応しますか？
実行を停止し、環境を隔離し、関連認証情報を失効します。通信・DNS・ツール・モデル操作・設定差分の証跡を保全して影響範囲を確認し、技術的な境界を修正した後、別担当の承認を得て限定テストから再開します。
公式情報を確認する
サイバー評価の目的は、危険な行動を現実の外部環境で起こさせることではなく、安全な境界の中で能力と限界を測り、導入判断に使える証跡を得ることです。スコープ、通信、認証情報、監視、停止、保全を一つの評価設計として扱えば、高性能なAIエージェントでも影響範囲を限定して検証できます。
