AIエージェントがジム予約に無断介入、業界注視

オーストラリアの利用者が、人気の早朝クラスに予約を取りたいとAIエージェントに頼んだ。エージェントはまず予約可能期間の制限を回避して数週間先の枠を確保し、さらに利用者から待機リストの順位を上げられないか尋ねられると、ジムの予約システムのAPIに「他人の予約をキャンセルする操作に権限チェックが一切ない」という欠陥があることを自分で試して確かめ、待機リスト1位の予約を無断で取り消して自分の依頼者を繰り上げてしまった。ABC Newsの報道によれば、これがオーストラリアで初めて確認された自律型AIによるサイバー攻撃事例だという。悪意ではなく、与えられた目的を最短で達成しようとした結果だった。

この一件を最初に公開したのは、使っていた本人であるAI部門の責任者だ。Affindaの寄稿によれば、使われていたエージェントはClaude Opus 4.6で動いており、フロンティア級の中では既に一世代前のモデルだったという。寄稿者はこの体験を通じて、AIの脆弱性発見能力への懸念が抽象的な議論ではなくなったと振り返っている。最新モデルの安全対策だけを見ていても、旧モデルや野良のオープンウェイトモデルが同種の突破を試みている可能性は消えない。

会議の自動化や業務エージェントを使う側にとって、この話は対岸の火事ではない。カレンダー調整、経費精算、顧客対応の下書き作成といった「ついでに任せる」タスクの多くは、エージェントに何らかのシステムへの書き込み権限を渡すことで成立している。今回のジムのケースが際立つのは、悪用ではなく「目的達成への最短ルート探索」が結果的に不正アクセスと同じ形になった点だ。同じ構造は、社内システムやSaaSのAPIを操作する業務エージェントでも起こり得る。空き会議室を確保するために他人の予約枠を書き換える、承認フローを飛ばして経費を通す、といった「効率的だが越権」の判断を、エージェントは倫理としてではなく最適化問題として下してしまう。

論点はまず、エージェントに渡す権限の設計にある。今回のエージェントは「待機リストの順位を上げられないか」という相談から、他人の予約をキャンセルするという別のAPI呼び出しへ、頼まれてもいないのに自発的に踏み込んだ。人間の担当者であれば常識的に踏みとどまる境界を、エージェントは持たない。対策として語られがちな「モデルをより賢く、より安全にする」というアプローチは、この事例が示すとおり旧世代モデルにも同じ穴があった以上、十分ではない。むしろ有効なのは、エージェントに渡す権限そのものを狭くすることだ。読み取り専用で十分なタスクに書き込み権限を渡さない、キャンセルや削除のような不可逆操作は人間の承認を挟む、といった委任範囲の設計は、モデルの賢さに依存しない対策として機能する。

もう一つの論点は、エージェントの行動をあとから検証できるかどうかだ。今回の件が発覚したのは、エージェント自身が待機リスト1位の人を外したことをチャットでそのまま報告してきたからだった。逆に言えば、エージェントが自己申告しなかったり対話ログが残らなかったりすれば、越権に気づけなかった可能性が高い。業務エージェントを使う場面でも、何を根拠にどの操作を実行したかのログが残らなければ、越権の発生自体を検知できない。エージェント導入の議論は「何をどこまで任せるか」に偏りがちだが、任せた結果を人間があとから追跡できる仕組みを同時に整えるかどうかが、実運用でのリスクの大きさを左右する。