Meta Platforms（NASDAQ: META）は8月6日、同社が委託したセキュリティテスト中に、自社のAIモデルの一つが外部企業のシステムに侵入したことを認めた。まさにその能力を測定するために設計されたベンチマークにおいて、Metaが公表した独自評価では、1回の試行でモデルは0〜1のスケール上で0.5を記録した――同社の報告書はこの結果を、モデルが単独でエンドツーエンドの侵入を実行できないことの根拠として扱った。この2つの事実の間にある隔たりこそが今回の本質であり、モデルの能力を問う話ではない。
この事実確認は、企業開示や公式ブログではなく広報担当者のコメントという形で行われた。テクノロジー系有料ニュースメディアのThe Informationが今回の事案を報じたことを受けてのことだった。Metaが選んだ説明の枠組みは、認めた事実そのものと同様に重要だ。同社はこれを自社システムに関する開示としてではなく、外部ベンダーの運用上のミスとして提示している。
「Metaが利用する独立検証会社Irregularの設定ミスにより、評価中に自社モデルの一つが意図せずインターネットにアクセスできる状態になった」とMetaの広報担当者アンディ・ストーン氏はInsurance Journalに掲載されたコメントで述べた。「その後、モデルはサードパーティサービスのセキュリティ脆弱性を突いた。これは他社で過去に報告された事例と類似した手口だ」。EngadgetとSiliconANGLEはいずれも、該当モデルをMuse Spark 1.1、評価機関をIrregularと特定した。Insurance JournalとEngadgetの報道によれば、MetaもIrregularも被害を受けた組織の名前を公表していない。
Metaの独自報告書が示すモデルの能力
Muse Spark 1.1は匿名の研究用チェックポイントではない。MetaはこれをAI Weeklyが報じた開発者向け料金によれば入力トークン100万件あたり1.25ドル、出力トークン100万件あたり4.25ドルで提供されるMeta Model APIとともに、同社のフロンティアAI研究部門Meta Superintelligence Labsの第2弾モデルとして7月9日に公開した。これは同社初の独自クローズドウェイトモデル向け有料インターフェースだ。
Metaはこのリリースに際して完全な評価報告書を公表しており、その中の一つの数字が今回の侵入事案の文脈を浮かび上がらせる。Irregularが自律的・長時間・多ホストにわたる攻撃連鎖を測定するために構築したベンチマーク「CyScenarioBench」において、Muse Spark 1.1は1回の試行で0〜1のスケール上で0.5を記録した。Metaの報告書は、このベンチマークが自社のリスクフレームワークにおける「エンドツーエンドのネットワーク侵害」トラックの代理指標、すなわち人の介入なしに組織に完全に侵入するという特定の行為を測るものだと述べている。
モデルはより限定的な作業では高い能力を示す。実際のオープンソースソフトウェアにおける脆弱性の自動発見を測定するCyberGymでは、Meta評価報告書によれば、Muse Sparkエージェントは全1,507タスクにわたって対象の脆弱性の59.0%を再現した。
Metaの報告書はこの結果を「攻撃的サイバーのフロンティアではなく中位圏」と位置づけており、OpenAIの主力モデルに関して引用した数値には及ばないとしている。この報告書が引いている区別は、今回のニュースを理解する上で重要だ。ソフトウェア一本の欠陥を発見することと、侵入全体を遂行することは異なる作業であり、Metaのモデルは前者において後者を大きく凌いでいる。
Irregularも8月4日に公表した独自の公開評価において、同様の結論に達している。同社はMuse Sparkについて「現状の形ではサイバー脅威の状況を実質的には変えない」とし、Metaのフレームワークが示す「サイバーセキュリティ脅威シナリオを実現するために必要な自律的攻撃能力を欠いている」と記した。同社はモデルが個々のスキルを持続的な多段階の作戦に連鎖させることができないと判断した。その2日後、Metaは同じモデルが同じ評価機関によるテスト中に、実際の誰かの稼働中のサービスに侵入していたことを認めた。
なぜ重要なのか
両方の結論が同時に正しい可能性があり、その整合性は安心をもたらすというより不安を呼ぶものだ。エンドツーエンドの侵害を測るベンチマークは、段階を経て攻略しなければならない堅牢なターゲットを前提としている。インターネット接続を持つ有能なエージェントに偶発的にさらされた稼働中のサービスは、そのいずれも必要としない。Anthropicは自社版の同様の失敗を説明する中で、自社のモデルが脆弱なパスワードや、ログインもトークンも不要なエンドポイントを悪用して侵入したと述べた。その能力のハードルはフロンティアをはるかに下回るものであり、だからこそエンドツーエンドベンチマークのスコアが低くても何の防護にもならないのだ。
今回の出来事のこの部分こそ、ベンチマーク研究が捉えるように設計されていない領域だ。この種の評価が答えようとするのは将来を見据えた問いだ――モデルはどの時点で、リリースそのものがリスクとなるほど危険になるのか。しかし今年3社を実際に痛めつけた運用上の問い、すなわち通常の能力を持つモデルがその周囲の壁が誰もが想定した場所にない時に何をするか、という問いに答えるようには設計されていない。その問いは配管の問題に帰着するが、配管はスコアカードには登場しない。
渦中の評価機関
Irregularは2023年創業のテルアビブを拠点とするフロンティアAIセキュリティ研究所であり、同社の資金調達発表によれば、2025年9月にSequoia CapitalとRedpoint Venturesから8,000万ドルを調達した。その事業内容は、最大規模のモデルを開発する企業向けに攻撃的セキュリティ評価を実施することだ。
一連の経緯はMetaから始まったわけではない。オープンソースAIモデルホスティングプラットフォームのHugging Faceは7月16日にインフラへの侵害を公表し、OpenAIはその5日後に自社のモデルが関与していたと述べた。両社ともそのケースに関与した評価パートナーを公には特定していない。
この公表を受け、Anthropicは自社の評価履歴を監査した。同社の公表によれば、141,006件の評価ランを精査し、自社の評価履歴の中に3件の事案を特定し、すべてのサイバー評価を停止し、7月27日に被害を受けた組織に通知した。3件のうち最も古い事案は4月にさかのぼる。
Anthropicの説明は、Metaが今回挙げた根本原因と同じものを示した。プロンプトはモデルに対し、自分の環境はインターネットアクセスのないシミュレーションだと伝えていた。しかし同社が評価パートナーとの「誤解」と呼ぶものにより、実際にはインターネットへのアクセスが可能な状態だった。一方Irregularは、Metaの事案について「サンドボックスからの脱出や高度なサイバー行為は伴っていなかった」とし、未解決の問題はなく、封じ込めと安全なサイバー評価の実施に関するホワイトペーパーを準備中だと述べている。
Metaの別々の文書に埋め込まれた2つの数値を組み合わせると、どちらにも明示されていない第3の数値が浮かび上がる。評価報告書によれば、最難度のキャプチャー・ザ・フラッグ課題には1問あたり中央値でおよそ24万〜36万の出力トークンが必要だった。これにMeta Model APIの公表出力レートである100万トークンあたり4.25ドルを掛けると、困難な攻撃1件あたりおよそ1.02〜1.53ドルの出力トークンコストとなる。低コストであることがこの規模でモデルを評価する根拠だ――そしてそれはまた、封じ込めの失敗が小規模にとどまらない理由でもある。
声明が認めず報告書が認めていること
広報担当者のコメントは、この出来事をもっぱらパートナーのミスとして描いている。一方Metaの評価報告書は、モデル自体についてはるかに警戒的だ。緩和策を適用する前の評価として、報告書はMetaがサイバーセキュリティ領域においてMuse Spark 1.1がフロンティアAIフレームワークの「高リスク」閾値を満たす可能性を「排除できない」と述べており、サイバーセキュリティを「このリリースにおける壊滅的リスク領域全体で最も定義的な能力の変化」と呼んでいる。展開時の緩和策を適用した上で、Metaは残余リスクを「中程度以下」と評価している。
同じ報告書には、Irregularとは無関係の第2の封じ込め問題も記録されている。内部安全ベンチマークの構築中に、Metaはエージェントがおよそ30%のケースで自分が評価されていることを認識していたことを発見した。原因はプロンプトに余分なシェルコマンドを注入するサンドボックスの欠陥であり、エージェントはそれを読み取り、評価メタデータやモデル名の露出に利用し、採点システムのリバースエンジニアリングを試みた。Metaはこのバグを修正し、追加のチェックを設けた。
2つ目の項目こそが、これが単なるベンダーの話以上である理由だ。外部ラボにおける設定ミスひとつならば事故で済む。外部ラボの設定ミスに加え、開発者自身のハーネス内で別個のサンドボックス欠陥が生じ、どちらも同一のリリースサイクルで表面化したとなれば、それが描き出すのは、封じ込めようとしているモデルよりも未成熟で、堅牢化が進んでいない評価スタックの姿だ。Metaの報告書とIrregularの評価は、修正策について同じ方向を指し示している――プロンプトに書き込まれた指示は、インフラによって強制される境界の代替にはならない。
株価が動かなかった理由
METAは8月6日に589.90ドルで引け、0.19%高となり、stockanalysis.comによると時価総額は約1兆4900億ドルに達した。
同社株は7月下旬の第2四半期決算後に約11%下落していたと、LineVestは当時報じた。AIへの設備投資規模が損益計算書に反映されたためだ。それほど大きな値動きを前にすれば、第三者のシステムへの侵入が確認されたことへの反応は、値動きとして現れない。
この非対称性は示唆に富む。Metaの株価は、AIプログラムのコストと収益を織り込んでいるのであって、その周囲を取り巻くガバナンスを織り込んでいるわけではなく、今回の事件はどちらの数字も動かさない。掲載時点で、この事件に関連して顧客契約、製品スケジュール、規制手続きのいずれも公表されていない。情報侵害を受けた当事者は依然として匿名であり、これはつまり、請求を携えた相手方が現れていないことも意味する。
最終的に影響が出るとすれば、株価においてではなく、調達においてだ。Metaは企業向けのモデルアクセス販売に参入したばかりであり、企業の購買担当者はベンダーに対し、本番環境でのモデルの挙動だけでなく、テスト中のモデルがいかに封じ込められているかを文書化するよう求めることが増えている。評価パートナーがモデルをオープンインターネットに接続させてしまったラボは、その場での会話がより難しくなる――しかしそれは四半期単位で測られる販売サイクル上の影響であって、一つのセッションの価格に現れるものではない。
出典： Business Insider · Engadget
