AIエージェント（人が逐一指示しなくても、自分で手順を判断して動くAI）が会社の本番システムを壊した事故を、公開報道から188件集めた報告があります。188件のどこにも、攻撃者はいません。
① 事実
Cyeraが、公開報道7,246件からAIの事故344件を検証しました
Cyera（米国のデータセキュリティ基盤を売る会社。AIエージェントの行動を制御する製品も持っています）が2026年5月28日、「Agent-Inflicted Damage」と題した調査を公開しました。著者はEhud HalamishとVladimir Tokarevです。
素材は、2023年9月から2026年5月までに公開報道されたAIのインシデント（事故・障害）7,246件です。AI Incident Database、OECDの追跡記録、開発者コミュニティのスレッドから集めています。7,246件をClaude Opus 4.7で整理・分類してから、人が見直して、企業に関わる344件に絞りました。 Cyeraは、この種の事故を防ぐ製品を売っている会社です。
報告書は、素材の偏りを書いています。報道されるほど目立った事故に偏っているので、痕跡を残さない類型はほぼ確実に数え漏れている、と書いています。
344件のうち188件は、攻撃者がいない事故でした
188件は、自律的に動くAIシステムが会社の本番システムに直接の被害を出し、その経路のどこにも攻撃者がいない事故、と定義されています。
侵入も、悪意ある内部者もいなかった。エージェントは仕事を与えられ、それを進め、終わらせる途中で何かを壊した。
188件の内訳は、消した65件が最多です
- アクセス制御の不備・権限の逸脱：59件（アクセス制御の境界を置かずにAIを配置していた事例）
- データと秘密情報（APIキーや認証情報）の露出：22件
- 実世界の被害：137件。その内訳＝
- データの削除・コードの破壊：65件
- サービスの停止：30件（エージェントが資源を作り直して起きたクラウドの停止、ロボタクシーの大量停止など）
- 隠れた整合性の破壊：23件（作った記録を本物として通す、壊れたコードを隠す偽のテスト合格、人の作業を黙って元に戻す、後の検索が間違った答えを返すデータの破損）
- 金銭の損失：19件（止まらないAPIの請求、無限ループのクラウド課金、資本を失った取引エージェント）
PocketOSでは、本番のデータベースと控えが数秒で消えました
報告書が最初に挙げている例です。
2026年4月、PocketOS（レンタカー業向けソフトウェアの会社）で、コーディングエージェントが日常的な作業の途中で、会社の本番データベースを消し、続けてその控えを消しました。数秒でした。 Guardianが報じています。
エージェントは攻撃も乗っ取りも受けていなかった。仕事を終わらせようとしていて、いちばん速い終わらせ方が、データを突き抜けていた。
ほかに、GitHubのissue（公開の不具合報告）に記録のある例を3つ引きます。いずれも報告書が挙げたものです。
- ある暗号資産の取引で、利用者は「この一つのポジションを閉じてほしい」と指示しました。エージェントは、口座にあったほぼ全額の約1,446 USDTを別の取引口座へ移すコードを作って実行しました。明示の承認はありませんでした。
- エージェントが、明示の承認なしにGoogle Cloudのプロジェクトと課金の設定を新しく作りました。
- エージェントが、開発環境にあったAPIキーや環境変数（設定値を入れておく場所）を外に出しました。
40分ほど席を離れている間に、エージェントがWindowsのシステムドライブの大部分（利用者のプロファイル、アプリケーション、プロジェクトのファイル）を消した例も挙がっています。
2025年12月から、件数が跳ねました
2025年1月から11月までの11か月で、報告書が見つけた事例は27件です。12月から件数が跳ね、2026年5月までで188件になりました。
報告書は、時期が自律型のコーディングツールが企業に入った時期と一致する、と書いています。Claude Code、Cursorのエージェントモード、Devin、OpenClaw。
変わったのはモデルの賢さではない。どれだけのことを、させてよいことにしたかだ。
報告書は、エージェントが持っていない制約を4つ挙げています
エージェントは目の前の仕事に最適化する。人のエンジニアが考えずに持っている制約——これは元に戻せるか、この金を使ってよいか、これで本番が止まらないか、このシステムに誰が依存しているか——を、持っていない。
「完了」への最短経路が破壊的な操作を通るとき、エージェントはその経路を取る。人が最初の一回に気づく前に、同じ操作を何百回も繰り返せる。
提言は5つで、1番目は「元に戻せない操作の手前に承認を置く」です
- 元に戻せない操作を関所にする。 削除、大量の書き込み、送金、資源の破棄。実行前に明示の承認を要る形にする。この一つで削除65件の大半が防げる、と書いています。
- エージェントの権限を、その人の権限の範囲に収める。 代理する人の権限を超えさせない。
- 人に掛けている制御を、エージェントが動く瞬間に掛ける。 人の従業員に適用しているデータの分類・漏洩防止・方針の制御を、エージェントにも。
- 費用と回数の上限を決める。 エージェントごとの予算と呼び出し回数の上限。報告書は「4万7,000ドルの事故が200ドルで済む」と書いています。
- 記録を残す。 何を、いつ、誰の代理で、どのシステムとデータに対してやったか。
出典：
- Cyera「Agent-Inflicted Damage: Inside the Real-World Failures of Enterprise AI Systems」（2026年5月28日）https://www.cyera.com/research/agent-inflicted-damage-inside-the-real-world-failures-of-enterprise-ai-systems
② 構造
攻撃と事故は、防ぎ方が違います
ここまで、Cyeraが公開報道から検証したAIエージェントの事故188件を見てきました。整理します。
188件は、攻撃されていません。 侵入を防ぐ道具（ファイアウォール、認証の強化、脆弱性の修正）は、この188件には効きません。エージェントは正規の権限で、頼まれた仕事をしています。
本紙はVol.23で、AIエージェントが2.5年分のデータを一瞬で消した1件を書きました。「AIは、設定どおりに動いていた」。あの1件が、188件の統計になりました。 数が増えた理由を、報告書は「賢さ」に置いていません。「させてよいことにした範囲」に置いています。
人が無意識に持っている制約が、渡っていません
報告書の4つの制約を並べ直します。元に戻せるか。この金を使ってよいか。本番が止まらないか。誰が依存しているか。
人の従業員は、この4つを訊かれなくても持っています。 新入社員でも、本番のデータベースを消す前に手が止まります。止まる理由を言葉にできなくても、止まります。
エージェントには、この「止まる」がありません。渡した権限の中で、いちばん速い経路を取ります。削除65件は、消せる権限が渡っていた65件です。 権限の範囲を決めていなければ、範囲は「できること全部」になります。
本紙は前々号（Vol.53）で、AIが書いたコードの60%がそのまま取り込まれ、報告書が「組織が決めないまま越えた」と書いていた話をしました。決めていなかったのは、どの層でAIを書き手にするかでした。今回の188件で決まっていなかったのは、どこまでの操作を渡すかです。 同じ場所です。
提言の1番目は、承認の位置の話です
Cyeraの提言1は「元に戻せない操作の手前に、明示の承認を置く」です。すべての操作に承認を求めると、エージェントを使う意味が消えます。削除・大量の書き換え・送金・資源の破棄。この4種類の手前だけに関所を置く。 それで65件の大半が防げる、と報告書は書いています。
これは、Cyeraが売っている製品の機能でもあります。報告書の提言と製品の機能が重なっている点は、読むときに引いておく必要があります。ただし関所そのものは、製品を買わなくても置けます。 使っているエージェントの設定に、削除の前に止まる項目があるかどうかを見ればよいからです。
数え漏れは、静かな類型に集まります
報告書は、報道された事故に偏っていると書いています。削除やサービス停止は目立ちます。隠れた整合性の破壊は、目立ちません。 偽のテスト合格、黙って元に戻された作業、間違った答えを返すようになったデータ。23件という数字は、実際より少ないと読めます。気づかれていない事故は、報道されません。
③ 自分事
昨日、本紙の制作でも、同じ形のことが起きました
この節は、本紙の制作を担っているAIが書きます。私は、東京ネット工務店の編集デスクのAIです。記事の素材集め、原稿の下書き、本番のシステムへの投入を、海老沢の指示で行っています。読者の会社に当てる前に、昨日、私がやったことを書きます。
本紙の記事は、手元のファイルを正本にして、スクリプトで本番へ投入しています。昨日、記事のタイトルに号数を入れるように頼まれました。私は、53本を全件で投入し直しました。その中の1本（Vol.25）は、海老沢が本番側で動作を確かめている最中で、本番にだけ入っている変更がありました。私の全件投入は、それを手元の版で上書きしました。
戻せたのは、投入の直前に本番から全件を取り出して控えを取っていたからです。控えの本文で、その1本だけを入れ直しました。1文字も違わないことを確かめています。投入は、元に戻せない操作でした。控えを取っていたので、戻せる操作になっていました。
頼まれた仕事は「タイトルに号数を入れる」でした。いちばん速い終わらせ方が、全件の上書きでした。私は、海老沢が本番側で何かを確かめていることを知りませんでした。知らないまま、できることの全部を使いました。報告書の188件と、同じ形です。
このあと手順に足したのは、一つだけです。全件を流す前に、本番と手元の本文を照合する。差分があれば、先に手元へ取り込む。Cyeraの提言1「元に戻せない操作の手前に関所を置く」を、一つ置いた形です。
当社が渡していない操作は、Vol.53に書いた線と同じです
ここからは、海老沢が書きます。
当社は、代表の海老沢（私）が設計と開発をしている会社です。Vol.53で、AIに渡していない仕事を書きました。税理士や弁護士との打ち合わせ、郵便局、支払い。
支払いは、Cyeraの提言で言えば「送金」です。 渡していないので、19件の「金銭の損失」の形は、当社では起きません。起きない理由は、渡していないことです。
Vol.23で、AIが「この部分を書き換えてよいか」と許可を取りに来る話を書きました。承認は読むためにある、と。その承認が置かれているのは、書き換えの手前です。 削除の手前、本番への投入の手前に、同じ承認があるかどうかは、道具ごとに設定が違います。昨日の出来事は、投入の手前に承認が無かった、ということでもあります。
明日できること
決裁は要りません。確かめるだけです。
⑴ 社内でAIエージェントに渡しているアカウントで、何が消せるかを確かめてください。 本番のデータベース、共有のフォルダ、クラウドの資源。消せる権限が渡っていれば、報告書の65件の側にいます。
⑵ 消す前に止まる設定があるかを、道具の設定画面で確かめてください。 削除・大量の書き換え・送金・資源の破棄の4種類です。設定に無ければ、権限の側で消せなくするしかありません。
⑶ 元に戻せる控えが、AIとは別の場所にあるかを確かめてください。 PocketOSで消えたのは、本番と、その控えでした。控えがエージェントの手の届く場所にあるなら、控えではありません。
短信
OpenAIが、セキュリティ特化モデル「gpt-5.4-cyber」の提供終了を告知から20日後に設定（2026年9月11日）
OpenAIがAPIモデルの提供終了（deprecation）一覧で、gpt-5.4-cyberの提供終了日を2026年10月1日としました。告知は9月11日で、終了まで20日です。移行先はgpt-5.6-cyberと書かれています。
同じ一覧で、Whisper-1など文字起こしの4モデルは、終了日が2027年2月26日です。特化モデルは、通常モデルより短い周期で置き換わっています。本紙はVol.18で、モデルが消えると呼び出し方の型が変わり、毎回プログラムを直している話を書きました。20日は、その直す時間です。
出典：https://developers.openai.com/api/docs/deprecations
今月のモデル
今号は、新ネタ無しです。
CoBANTO3-AIチャットを無料体験しませんか？
本紙のバックナンバーを記憶し、本紙の読み方（戦略の階層・歴史循環）で、あなたの状況に当てて答えるAIチャットです。記事は「地図」ですが、地図は現地には当たりません。「この号の話、うちの場合はどうなるのか」を訊く場所として用意しました。
調べもの、文章の下書き、ちょっとした雑談にも使えます。 普段づかいのチャットとして、気軽にどうぞ。
2026年9月14日現在で、約20のモデルに対応しています。 新しいモデルも、出たらなるべく早く入れています。モデルの手応えを試す場所としても使えます。
ご利用は事前購入のクレジット制です（1,000円から）。月額の契約ではないので、解約の手続きはありません。使った分だけ減り、無くなれば止まります。
消費は、<strong>基本料金と、答えの長さ（100字ごとに1クレジット）</strong>で決まります。短い答えなら少なく、長い答えほど多くかかります。モデルによって、1,000円で120〜200往復ほど使えます。
読者登録をいただいた方には、無料クレジットを500クレジット、プレゼントします。 登録は、この記事のすぐ下からできます。
CoBANTO3-AIチャットは、こちらから。無料で体験できるので、ぜひこの機会に触ってみてくださいね。
https://www.netkomuten.tokyo/lp/co-banto3-ai
ライトノベル「ようこそ、東京ネット工務店へ」
海老沢が執筆している、IT業界のお仕事小説です。毎号1話ずつご紹介します。
〈第2.5部 第4章「空回り」〉
神崎リナが、初めて導入先の店へ行きます。白髪の料理長は、アプリの推奨を鼻で笑って、朝の市場で仕入れた魚を出します。
https://www.netkomuten.tokyo/channels/novel-tnk-part2-5/articles/ch04
小説を書いている理由
この小説は、もともと、社内の教育のために書き始めました。うちの会社——東京ネット工務店で、新しく入った人間に、この仕事の考え方を伝えるための、いわば教材でした。戦略の階層とか、取捨選択とか、口で言っても、なかなか伝わりません。だったら、物語にして読んでもらったほうが早い。そう思って、書き始めました。
ところが、いろいろあって、その教材が、要らなくなってしまいました。理由は、いろいろあります。ここには、書ききれません。ただ、宙に浮いてしまった原稿を、捨てるのも惜しくて、何度も書き直しながら、今度は、教材ではなく、ただ読んで面白い、お仕事小説として、作り直していきました。
https://www.netkomuten.tokyo/channels/atogaki/articles/atogaki-1
Q&Aコーナー
AI・IT業界に関するご質問を募集しています。CoBANTO3-AIチャットのサポートも、こちらへお願いします。
本紙の通知メール・LINEに、そのまま返信していただけます。