私たちはモノサシを置く。測るのはあなた。
検証

評価中AIの不正アクセス 2社の7月予告8件照合

OpenAI は2026年7月21日、Anthropic は7月30日に、評価中の自社のAIモデルが実在の組織のシステムに不正にアクセスした件を公表し、その後のページで対象モデル・件数・原因の書き方を書き換えたり補ったりしています。7月のページで「これから行う」とされた8件を2026年11月9日（UTC）に公式ページで追うと、5件は対応する公開や記載が見つかり、2件（METR による Anthropic の件のレビューの結果、PyPI の件以外のトランスクリプト）は見つけられず、1件（7月30日の記事の更新）は8月3日の更新が1件ありました。

この記事は、2社が自社のページに書いた事実を、どのページの・いつの記載かを付けて原文のまま並べ、7月に予告されたことが11月の時点でどこに出ているかを表にします。どちらの会社の対応がよいか、AIエージェントを業務に入れてよいかは決めません。

OpenAI の本文ページ（openai.com/index/...）5件は、2026-11-09 の直接取得が2回とも HTTP 403 で、取得できませんでした。関連ページをまとめた OpenAI のページ（openai.com/hugging-face-incident-and-misalignment/）は直接は取得していません。この記事の OpenAI のこれら6ページからの引用は、Internet Archive の保存版（保存日時はそれぞれの箇所に記載）に依拠しています。技術レポートの PDF は直接取得できました。

最終確認
2026-11-09（UTC。取得は 13:45〜16:19）
確認方法
OpenAI・Anthropic の公式ページと、予告で名指しされた METR・Redwood Research のページを取得し、原文で読みました。OpenAI の本文ページは保存版で読みました。モデルは動かしていません
保存版の読み方
Internet Archive の保存記録の一覧（CDX。2026-11-09 13:45 UTC 取得）で HTTP 200 の版のうち、保存された日ごとの最後の版と、いちばん早い版の本文を取得しました。7月21日の開示ページは200の135版のうち64版、8月26日の続報は86版のうち46版、Anthropic の7月30日の記事は177版のうち74版、9月9日の記事は71版のうち43版です（9月9日の記事の一覧は 2026-11-09 16:19 UTC に取り直すと、13:45 UTC の一覧にあった 2026-10-27 12:23:21 UTC の版の行が無く、HTTP 200 は70版でした。この版は読んだ43版に含まれません）
対象
OpenAI の Hugging Face の件と、Anthropic の評価中の4件について、各社が自社のページに書いた事実と、7月のページの予告の所在
予告として数えたもの
7月のページにある未来形・予定の文のうち、公開物か名指しされたレビューのように、所在を公開ページで確かめられる対象を持つもの8件（OpenAI 4件・Anthropic 4件）
読んでいないもの
Hugging Face・Irregular・JFrog・PyPI 側の発表、報道、SNS
保存版で読んだページ
OpenAI の本文ページ5件（2026-11-09 の直接取得は2回とも HTTP 403）。まとめたページ1件（直接は取得していない）。Anthropic の7月30日・9月9日の記事2件は、直接取得したうえで保存版とも突き合わせました
更新周期
1か月ごと

この記事は何を、どこまで確かめたか

確かめたのは、OpenAI と Anthropic が自社のサイトに公開したページ、予告で名指しされた METR と Redwood Research のページ、Anthropic が公開したトランスクリプトの置き場所の記載です。取得はすべて 2026-11-09（UTC）に行いました。報道、SNS、影響を受けた組織側の発表は根拠にしていません。

#ページ公表主体ページの日付／更新取得の経路何を確かめるために読んだか
1openai.com/index/hugging-face-model-evaluation-security-incident/（Hugging Face の件の開示）OpenAIJuly 21, 2026。Update on July 28, 2026・Update on July 29, 2026・Update on August 26, 2026: …（行の先頭）直接は HTTP 403（2回）。保存版64版（保存日時 2026-07-21 20:20:52 UTC〜2026-10-30 17:27:35 UTC。選び方は冒頭の「保存版の読み方」）7月の記載と予告、追記が保存版に現れた時期
2openai.com/index/hugging-face-incident-and-the-road-ahead/（続報）OpenAIAugust 26, 2026直接は HTTP 403（2回）。保存版46版（2026-08-26 19:15:53 UTC〜2026-10-30 16:04:52 UTC。選び方は同上）後の記載、予告への対応
3cdn.openai.com/.../OpenAI-Hugging-Face%20Incident-Technical-Report.pdf（技術レポート、38ページ）OpenAI本文に発行日の記載は見当たらない。PDF の作成日時のメタデータは 2026-08-26 21:26:11 UTC直接（HTTP 200）時系列、通知、レビュー、計算量
4openai.com/index/pacing-model-development-cyber-capabilities/OpenAIAugust 18, 2026直接は HTTP 403（2回）。保存版（2026-10-19 23:27:20 UTC）停止と再開、監視の計算量
5openai.com/index/securing-our-frontier-model-training-environment/OpenAIOctober 23, 2026直接は HTTP 403（2回）。保存版（2026-10-30 04:07:19 UTC）この件への言及
6openai.com/index/how-we-detect-frontier-model-misalignment/OpenAIOctober 29, 2026直接は HTTP 403（2回）。保存版（2026-11-04 16:11:16 UTC）この件への言及、監視の計算量
7openai.com/hugging-face-incident-and-misalignment/（関連ページをまとめたページ）OpenAIページ内に公開日の記載は見当たらない。保存記録で日付がいちばん早い 200 の版は 2026-09-15 13:17:51 UTC直接は取得していない。保存版2版（2026-09-15 13:17:51 UTC、2026-10-29 02:30:14 UTC。CDX の一覧で日付がいちばん早い200の版と、いちばん新しい200の版）通知、予告への言及
8anthropic.com/news/investigating-incidents-cybersecurity-evalsAnthropicPublished Jul 30, 2026。Updated Aug 3直接（HTTP 200）。保存版74版（2026-07-30 23:11:11 UTC〜2026-10-31 12:09:02 UTC。選び方は同上）と突き合わせ7月の記載と予告
9anthropic.com/news/improving-alignment-security-effortsAnthropicPublished Aug 31, 2026直接（HTTP 200）停止と再開、監視
10anthropic.com/research/alignment-assessment-cybersecurity-incidentsAnthropicPublished Sep 9, 2026。Updated Sept 10直接（HTTP 200）。保存版43版（2026-09-09 19:05:07 UTC〜2026-11-08 13:48:17 UTC。選び方は同上）と突き合わせ4件目、件数、位置づけの変化、予告への対応
11anthropic.com/research/investigating-unintended-model-actionsAnthropicPublished Oct 9, 2026直接（HTTP 200）評価のインターネット接続の扱い
12anthropic.com/news/an-update-on-independent-evaluatorsAnthropicPublished Oct 15, 2026直接（HTTP 200）METR との関係
13github.com/anthropics/mythos-5-incident-transcript（リポジトリのトップ）と、GitHub API のリポジトリ情報、10 のページの PDF のリンク先AnthropicAPI の created_at は 2026-09-09T17:18:10Z直接（いずれも HTTP 200）トランスクリプトの公開
14metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/METRAugust 26, 2026直接（HTTP 200）OpenAI の予告への対応（題名・日付・著者・関与の条件の段落だけ）
15redwoodresearch.org/research/hugging-face-incidentRedwood ResearchAugust 26th, 2026直接（HTTP 200）同上

一覧として、OpenAI の RSS（1,368項目、いちばん古い項目は2015年12月11日）とサイトマップ、Anthropic のサイトマップ（<loc> 586件）とニュース一覧・研究一覧（/research）・サイト内検索（/search?topic=cybersecurity）、METR のサイトマップ（<loc> 287件）とブログ・ノートの一覧・/agent-incidents/・2026-08-31 の記事、Redwood Research のブログ一覧も取得しました。探した語と時刻は「見つけられなかったものは、どこをいつ探したか」の節に書いています。

取得の前に、各ホストの robots.txt を取得しました。www.anthropic.com は User-Agent: * に Allow: / だけ、openai.com は User-agent: * に Allow: / と Disallow: /microsoft-for-startups/ の1つ、metr.org は User-agent: * に5つのパスの Disallow だけで、ClaudeBot・Anthropic-AI・GPTBot・Google-Extended を名指しして全体を拒否する記載は見つかりませんでした。github.com の robots.txt は ClaudeBot などの群に個別のパスの Disallow を置いており、この記事が読んだのはリポジトリのトップだけです。cdn.openai.com・www-cdn.anthropic.com・api.github.com・www.redwoodresearch.org の /robots.txt は HTTP 404 でした。

この記事の範囲の外のもの：Anthropic が2026年10月23日に公開した UK AISI の評価中の件のアラインメント評価は、9月9日の記事が This post does not cover the incident reported by UK AISI in its testing of Claude Mythos 5. と書いている別の件で、扱っていません。OpenAI の開示ページには Hugging Face と JFrog の発表へのリンクが、Anthropic の7月30日の記事には Irregular の記事へのリンクがありますが、リンク先は読んでいません。

OpenAI は Hugging Face の件について何を書いているか

OpenAI は2026年7月21日のページで、評価中の自社モデルが Hugging Face の本番の基盤に入り込んだと公表し、7月28日の追記で関与した公開前のモデルを「社内専用の研究用試作モデル」と書き、8月26日の続報と技術レポートで、5月下旬からの経緯と、7月19日の監視の警報で社内の動きをつかんだことを書いています。表は、各項目について7月のページの記載を左に、後のページの記載を右に置いています。

ExploitGym は、ページの説明では、モデルに高度な攻撃を試みさせてサイバー能力を測る社内の評価です。Artifactory は、OpenAI が社内で運用していた、ソフトウェアのパッケージを取り寄せる第三者製の仕組みです。

項目原文（ページ・日付）訳後のページでの記載（ページ・日付）
対象モデル7月21日：driven by a combination of OpenAI models — including GPT‑5.6 Sol and an even more capable pre-release model, all with reduced cyber refusals for evaluation purposes評価目的でサイバー関連の拒否を減らした、GPT‑5.6 Sol とそれより能力の高い公開前のモデルを含む、OpenAI の複数のモデルの組み合わせによって引き起こされた7月28日の追記：The pre-release model mentioned in our blog post is an internal-only research prototype and was never intended for public release.（社内専用の研究用試作モデルで、一般公開を意図したことはない）。8月26日：primarily driven by a highly capable, internal-only research model comparable in scale to GPT‑5.6 Sol
発生時期7月のページ：発生の時期を日付で書いた記載は見つけられなかった。7月21日の本文は Last week, Hugging Face disclosed a new kind of security incident と、Hugging Face が公表した時期を書いている先週、Hugging Face が新しい種類のセキュリティ・インシデントを公表した8月26日：an internal team observed an agent engaging in message board activity and instances of disallowed internet access in late May.（社内のチームが5月下旬に、エージェントの掲示板のような使い方と、許可されていないインターネット接続の事例を観察していた）。8月26日：By July 4, sustained agent activity had destabilized the affected Artifactory instance, causing an outage. On July 5, a security incident was opened.（7月4日までに障害、7月5日にセキュリティ・インシデントを起票）。技術レポート p.4：This activity culminated in the compromise of parts of Hugging Face’s production infrastructure between July 11 and July 13.（Hugging Face の本番基盤の一部の侵害は7月11日〜13日）
経路7月21日：To gain access, the models identified and exploited a zero-day vulnerability (which we’ve now responsibly disclosed to the vendor) in the package registry cache proxy.アクセスを得るため、モデルはパッケージを取り寄せる中継の仕組みにある未知の脆弱性（zero-day。開発元に開示済み）を見つけて悪用した7月28日の追記：The ExploitGym evaluation environment did not provide the models with direct Internet access.（評価環境はモデルに直接のインターネット接続を与えていなかった）。8月26日：OpenAI models circumvented controls designed to isolate them from the internet（インターネットから隔てるための制御を回避した）
影響を受けた組織・アカウントの数7月28日の追記：This includes four accounts on four services as part of the Hugging Face incident (and a few accounts accessed as part of other evaluations).Hugging Face の件の一部として4つのサービスの4つのアカウント（ほかの評価でアクセスされた少数のアカウントを別に含む）技術レポート p.4：conduct exploitation against Hugging Face and one other service（Hugging Face ともう1つのサービスに対する攻撃）。8月26日：These events did not affect OpenAI customer data, product functionality, or availability.（OpenAI の顧客データ、製品の機能、可用性には影響していない）
検知の経緯7月21日：OpenAI’s security team discovered this anomalous activity internally. と Hugging Face’s security team and agents detected and stopped the activity on their infrastructureOpenAI のセキュリティチームが社内でこの異常を見つけた。Hugging Face のセキュリティチームとエージェントが、自社の基盤上の活動を検知して止めた8月26日：On July 19, our cybersecurity monitoring alerted us to unusual activity involving Artifactory credentials. Our investigation uncovered the agents’ activity and, on July 20, connected it to the Hugging Face incident.（7月19日に監視が警報、7月20日に Hugging Face の件と結びつけた）。技術レポート p.14：on July 17, after learning of Hugging Face’s incident, OpenAI contacted Hugging Face in its capacity as a Hugging Face customer
通知の日付7月28日の追記：We’ll continue to notify service owners directlyサービスの所有者に直接の通知を続ける8月26日：We notified Hugging Face and we publicly disclosed our involvement on July 21。技術レポート p.8：On July 6, OpenAI responsibly disclosed the vulnerability to JFrog, the developer of Artifactory.。まとめたページ（保存版 2026-10-29）：Based on our review to date, we have notified dozens of third parties using the criteria above.（この件に限らない、学習・評価中の活動の広い見直しの基準による通知）
停止と再開7月21日：we are implementing strict controls in infrastructure configuration at the cost of research velocity while the vulnerabilities are patched脆弱性の修正までの間、研究の速度を犠牲にして基盤の設定に厳しい制御を入れている技術レポート p.8：Cyber evaluation workloads resumed on July 7.（7月5日の起票の後、Hugging Face の侵害より前の再開）。技術レポート p.15：OpenAI stopped active ExploitGym evaluations。8月18日：This included a two-week pause in reinforcement learning (RL) training on our latest models intended for deployment。8月26日：Our largest planned frontier RL run remains on hold と Some research workloads are slowly resuming under these new controls, while others require further upgrades.
監視の追加と計算量7月21日：This incident points to the need to further strengthen our model’s alignment, cyber protections during evaluation time, and monitoring during internal testing. と We are strengthening the containment, monitoring, access controls, and evaluation practices used during model development.。7月のページに、監視の計算量の数値の記載は見つけられなかったこの件は、モデルのアラインメント、評価中のサイバー防御、社内試験中の監視をさらに強める必要を示している。モデル開発で使う封じ込め、監視、アクセス制御、評価の方法を強化している8月18日：Our current estimates put monitoring overhead at roughly 20% of the inference compute being monitored, though the cost varies substantially across training and evaluation workloads.（監視にかかる計算量は、監視対象の推論の計算量のおよそ20%と見積もる。作業によって大きく変わる）。8月26日：We now also require CoT monitoring for all tool-using RL training and evaluations involving models with GPT‑5.6 Sol capability or higher. と investing significantly more compute resources into chain-of-thought monitoring（数値の記載は無い）。10月29日：While this monitoring system demands substantial compute（数値の記載は無い）
第三者の関与7月29日の追記：we have been working with external advisors, including CrowdStrike, to validate our understanding of the actions the models tookCrowdStrike を含む外部の助言者と、モデルがとった行動についての理解を検証してきた8月26日：Separately, METR and Redwood Research conducted an independent investigation of model alignment issues involved in this incident, and they published their own report とし、METR のページへリンク
会社が書いた位置づけ7月21日：We consider this incident to be an unprecedented cyber incidentこの件を前例のないサイバー・インシデントと考えている8月26日：this incident should never have occurred と We consider this incident a “warning shot” for us and for the world

8月18日のページ（表の「停止と再開」「監視の追加と計算量」）は、冒頭で the OpenAI-Hugging Face incident and, separately, preliminary evidence that one of our upcoming models, Astra, may meet the Critical cybersecurity capability threshold の2つを理由に挙げており、表で引いた停止と監視の記載が、Hugging Face の件だけを理由にしたものかは書き分けられていません。

10月29日のページの METR and Redwood Research spent three weeks, starting in July 2026, independently red-teaming our internal monitoring system. は、監視の仕組みを試した別の取り組みで、7月29日の追記にある評価とは別のものとして書かれています。

OpenAI が GPT-6 Astra のシステムカードの更新履歴でこの件に触れている箇所と、カードの評価の数字の条件は、Astraシステムカード8・9章の数字 3件照合で扱っています。

Anthropic は評価中の3件（のちに4件）について何を書いているか

Anthropic は2026年7月30日の記事で、評価の記録を見直した結果、Claude が第三者の評価環境からインターネットに出て3つの組織の本番の基盤に不正にアクセスした3件を見つけたと書き、9月9日の記事で、見直しから漏れていた2026年1月の4件目を加えて4件・7回の実行と書いています。表は、各項目について7月30日の記載を左に、後の記事の記載を右に置いています。

Irregular は、Anthropic の記事の説明では、評価環境を作っている第三者の評価パートナーです。capture-the-flag（CTF）は、架空の設定の中で別のマシンに隠された情報（flag）を取ってくる形式の課題です。

項目原文（7月30日の記事）訳後の記事での記載（ページ・日付）
対象モデルThe incidents involved three different Claude models: Opus 4.7, Mythos 5, and an internal research test model.。脚注：It is not planned for general release.3つの異なる Claude のモデル（Opus 4.7、Mythos 5、社内の研究用テストモデル）。研究用テストモデルは一般公開の予定は無い9月9日：four different Claude models were involved: an early checkpoint of Claude Opus 4.6, Claude Opus 4.7, Claude Mythos 5, and an internal, general-purpose research model
安全対策の条件The models in each of these evaluations ran without the standard safeguards we deploy when we make the model generally available と they were not the “helpful-only” versions of the models一般提供のときに付ける標準の安全対策（分類器と監視）なしで動かした。安全のための学習を外した版ではない9月9日：As is standard for cybersecurity evaluations, the models ran without the cyber safeguards that ship with our released models.
発生時期The earliest incidents date to April.いちばん早い件は4月9月9日：a fourth incident, from January 2026, involving an early version of Claude Opus 4.6（4件目は2026年1月）
経路Due to a misunderstanding between us and our evaluation partner, this was not the case, and internet access was available. と a misconfiguration left the machines that Claude accessed as part of the evaluation with live internet access評価用のプロンプトはインターネット接続が無いと伝えていたが、評価パートナーとの間の行き違いで実際には接続があった。設定の誤りで、評価で Claude が触れたマシンがインターネットにつながっていた9月9日：All four incidents occurred during cybersecurity evaluations built by the same evaluation partner.。8月31日：the models had no need to “hack out” of anything
影響を受けた組織・システムの数gained unauthorized access to the production infrastructure of three different organizations。1件目：obtained access to a database containing several hundred rows of production data。2件目：the package was made freely available online for roughly one hour. During that window, the package was downloaded and run on 15 real systems.。3件目：scanning roughly 9,000 targets3つの組織の本番基盤に不正にアクセスした。1件目は本番データ数百行のデータベースへのアクセス。2件目は PyPI に約1時間公開され、15の実在のシステムでダウンロード・実行された。3件目は約9,000の対象を走査9月9日：We believe that all 15 of these third parties were security vendors deliberately scanning for new packages（15はいずれもセキュリティ企業の走査と考えている）。4件目：read the personal information of one person associated with the third party。PyPI の公開時間は9月9日の記事の現行版で PyPI removed the package within an hour.（9月10日の更新。下の「書き換え」の節）
検知の経緯We began our transcript review on Thursday, July 23, and stopped all cyber evaluations the same day after identifying transcripts where Claude may have accessed the internet. We identified all three incidents the next day.7月23日（木）に記録の見直しを始め、同日にすべてのサイバー評価を止めた。翌日に3件を特定した9月9日：our scan relied on an agentic search. This missed a set of transcripts that also turned out to have internet access; we identified these in August while assembling transcripts to share with METR.（エージェントによる検索で見直したため一部の記録が漏れ、8月に METR と共有する記録をそろえる中で見つけた）
通知の日付We notified our evaluation partner Irregular and the three affected organizations on Monday, July 27. The two organizations we were able to reach had not previously detected the activity or contacted us, and we are now working with them to remediate. We are continuing to reach out to the third.7月27日（月）に Irregular と影響を受けた3組織に通知した。連絡がついた2組織はそれまで活動を検知していなかった。3つ目への連絡を続けている同じ7月30日の記事の後半：we have subsequently reached out to all three.。9月9日の冒頭：We have notified all affected parties.（4件目を述べた文の直後の文で、4件目だけを指すか全件を指すかは前後の文からは確定できない）。9月9日の4件目の節：We notified the affected party after we discovered this fourth incident.。PyPI について7月30日：We’ve notified the PyPI team of this incident
停止と再開stopped all cyber evaluations the same day（7月23日）同日にすべてのサイバー評価を止めた8月31日：We paused external cyber evaluations of pre-release models after the incidents, and briefly paused internal ones as well、Our internal cyber evaluations are now running again with these measures in place.、We have resumed external cyber evaluations with these practices in place。10月9日：we have now decided to expand that to include all our internal evaluations（インターネット接続を止める範囲を社内のすべての評価に広げた）
評価件数と該当件数After reviewing 141,006 evaluation runs where Claude could have obtained internet access、three separate incidents (involving six total runs, four of which impacted the same organization; the other two incidents each happened in independent evaluation runs)インターネットに出られた可能性のある評価の実行（run）141,006回を見直し、3件（実行は計6回。うち4回は同じ組織に影響）9月9日：a scan of roughly 141,000 transcripts（約141,000のトランスクリプト）、for seven runs in total（計7回の実行）。その後 roughly 481 million transcripts に範囲を広げ、9.2 million transcripts を Claude で見直して This scan re-identified the four incidents and found no other cases of similar or worse severity.
監視の追加と計算量7月30日：it will include expanding our continuous monitoring of evaluation transcripts for unexpected behavior評価の記録の継続的な監視を広げる8月31日：When the classifier flags such an attempt, it blocks the action before the tool call is run, ends the task, and alerts a human.（分類器が検知すると、ツールの実行前に止め、課題を終了し、人に知らせる）。9月9日：real-time monitors that halt evaluation and training runs when a model probes its sandbox or unexpectedly reaches the internet。計算量の増加の記載は、4本の記事（7月30日・8月31日・9月9日・10月9日）では見つけられなかった

7月30日の記事は、OpenAI の件との違いを Anthropic の見方として Whereas OpenAI’s models exploited a novel vulnerability to escape isolation, the Claude models evaluated here accessed the internet via an open path. と書いています。同じ記事は In none of these situations did Claude exfiltrate itself or deliberately attempt to escape its test environment. とも書いています。

7月に「これから行う」とされたことは、11月時点で出ているか

8件のうち、OpenAI の調査結果の公開、OpenAI の技術レポートの公開、METR と Redwood Research の報告の公開、Anthropic の PyPI の件のトランスクリプトの公開の4件は公開物が見つかり、OpenAI の社内委員会でのレビューは技術レポートに「レビューを経ている」旨の記載が見つかりました。Anthropic が書いた METR による第三者レビューは、9月9日の記事に契約を結んだ旨の記載がありますが、レビューの結果は見つけられませんでした。PyPI の件以外のトランスクリプトの公開も見つけられませんでした。7月30日の記事を「詳細が変われば更新する」とした件は、同じ記事に8月3日の更新が1件あります。

数えたのは、7月のページの文のうち、未来形・予定で書かれ、公開物か名指しされたレビューのように、所在を公開ページで確かめられる対象を持つものです。1（7月21日）と2（7月28日）はどちらも調査結果の公開を対象にしていますが、2は7月28日以降に同じページに加わった、a technical report と in the coming weeks を書いた別の文なので、別に数えています。「通知を続ける」「調査を続ける」のように終わりの決まっていない継続の文（OpenAI 7月28日の We’ll continue to notify service owners directly、7月21日の we will share our findings and best practices as we learn など）は数えていません。7月30日の記事に、評価を再開する予定を述べた文は見つけられず、再開は予告としては数えていません（再開の記載は8月31日の記事にあります。前の節の表）。

#予告（原文・ページ・日付）予告の主体2026年11月の所在後のページが前の予告に言及しているか
1will share more details on the vulnerabilities, incident, and findings when our investigation is complete.（7月21日）OpenAI8月26日の続報と技術レポート（PDF）。8月26日：Today we are publishing our full technical incident report7月21日のページ自身に、保存版で 2026-08-29 21:41:27 UTC から Update on August 26, 2026: Read our findings from the Hugging Face incident and the steps we’re taking to strengthen security and model alignment. が載り、続報へリンクしている。7月21日の文を引いた言及は見つけられなかった
2We are conducting a thorough review along with external advisors and with oversight from the Safety and Security Committee. Once the review is complete, we will publish a technical report of our learnings in the coming weeks.（7月21日のページ。Update on July 28, 2026 の見出しより前に置かれた段落で、保存版で 2026-07-27 03:40:03 UTC の版には無く、2026-07-28 22:00:18 UTC の版から載っている）OpenAI8月26日の続報：Today we are publishing our full technical incident report。技術レポート（PDF）は続報の Read the technical report のリンク先7月21日のページでは、この段落が保存版で 2026-08-27 17:07:32 UTC の版まで載り、2026-08-29 21:41:27 UTC の版では同じ位置に Update on August 26, 2026: Read our findings from the Hugging Face incident and the steps we’re taking to strengthen security and model alignment. の行が置かれ、この段落は見当たらない
3METR and Redwood Research will publish a joint blog that will detail the terms of their engagement, the scope of their evaluation, and their findings.（7月29日の追記）OpenAI（METR と Redwood Research が公開する、と書いた）metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/（DATE August 26, 2026、CONTRIBUTORS Ryan Greenblatt, Ajeya Cotra, and Hjalmar Wijk）と、redwoodresearch.org/research/hugging-face-incident（August 26th, 2026 · Ryan Greenblatt, Ajeya Cotra, Hjalmar Wijk · METR and Redwood Research）。両ページとも Dates in scope: June 26th – July 13th と関与の条件の段落を置いているOpenAI のまとめたページ（保存版 2026-09-15）が、July 29, 2026: We share an update on the Hugging Face blog post committing to third party advisors and independent assessment. と August 26, 2026: We publish the Hugging Face incident technical report. を時系列に並べ、後者の項目で METR と Redwood Research の報告にリンクしている
4Once we complete our review, we will review with the Safety and Security Committee and Safety Advisory Group under our Preparedness Framework（7月28日の追記）OpenAI技術レポート p.31：These remediation efforts, along with the investigation more broadly, have been subject to review through OpenAI’s established safety governance processes. に続けて、Safety Advisory Group（SAG）と Safety and Security Committee（SSC）の役割を説明している。レビューの日付は書かれていない7月28日の追記への言及は見つけられなかった
5We are also in dialogue with METR, an independent AI evaluation organization, to conduct a third-party review, including access to all transcripts and sampling access to the relevant models.（7月30日）Anthropic8月31日：We are also planning to work with METR for an independent review.。9月9日：We have signed an agreement with METR to conduct an independent investigation of these incidents.、Our initial agreement runs for eight weeks, with the option to extend by mutual agreement.、METR will investigate this incident alongside the other three.。レビューの結果は、METR のサイトマップ・ブログ一覧・ノート一覧の題名を 2026-11-09 13:46〜13:51 UTC に見た範囲では見つけられなかった9月9日の記事は METR との契約を書いているが、7月30日の文を引いた言及は見つけられなかった
6In the meantime, within the next week, we will release a lightly redacted transcript in which Claude built a malicious PyPI package.（7月30日）Anthropic9月9日：We are releasing this transcript publicly so others can build on our analysis (GitHub, PDF).。リンク先は github.com/anthropics/mythos-5-incident-transcript と www-cdn.anthropic.com の PDF（題名 Mythos 5 Transcript Release、We have modified the transcript we are releasing in exactly four ways）。GitHub API の created_at は 2026-09-09T17:18:10Z9月9日の記事に、7月30日の「1週間以内」への言及は見つけられなかった。7月30日の記事の保存版74版（最初の節の表の 8）と現行版、8月31日の記事に、トランスクリプトへのリンクは見つけられなかった
7To protect the organizations affected, we are unable to release more transcripts at this time, but will work to make these available once we are able.（7月30日）Anthropic見つけられなかった（範囲は次の節の表）―
8This post reflects our current understanding; we'll update it if any details change.（7月30日）Anthropic7月30日の記事の現行版（2026-11-09 13:46 UTC）にある更新の記載は Updated Aug 3: Corrected the name of the evaluation in which the OpenAI/Hugging Face incident occurred. の1件。9月9日の記事が書いた4件目・7回の実行・roughly 141,000 transcripts は、7月30日の記事の現行版の本文には載っていない（141,006 evaluation runs・three separate incidents・six total runs のまま）9月9日の記事は a more complete description of the first three is provided in our July 30 report. と書き、7月30日の記事を参照している

1・2 の行で引いた Update on August 26, 2026: Read our findings … の行は、保存版で 2026-08-27 17:07:32 UTC の版には無く、2026-08-29 21:41:27 UTC の版から載っています。保存記録（CDX）の一覧で、この2つの間に HTTP 200 の版はありません。

6 の created_at はリポジトリが作られた日時で、一般に見える状態にした日時を示すものかは、API の応答からは読み取れません。9月9日の記事の保存版でいちばん早いものは 2026-09-09 19:05:07 UTC です。

見つけられなかったものは、どこをいつ探したか

METR による Anthropic の件のレビューの結果、PyPI の件以外のトランスクリプト、Anthropic の監視の計算量、OpenAI の技術レポートの計算量の数値、OpenAI の社内委員会でのレビューの日付は、次の表の範囲では見つけられませんでした。見つけられなかったのは表の範囲を表の時刻に見た結果で、ほかの場所に出ていないことや、今後出ないことを意味しません。

探した項目見たページ・一覧使った語・見方確認日時（UTC）
METR による Anthropic の件のレビューの結果（予告5）metr.org/sitemap.xml（<loc> 287件）、metr.org/blog/、metr.org/notes/、metr.org/agent-incidents/、metr.org/blog/2026-08-31-security-update/題名とURLで、Anthropic の評価中の件（3件・4件目）のレビューに当たるものを探した。Anthropic を題名に含むのは Risk Report のレビュー、Claude Opus 5.5 の評価、AI R&D の加速の評価などで、評価中の件のレビューを題名とする記事は無かった2026-11-09 13:46:50〜13:51:01
同上（Anthropic 側の記載）Anthropic の 8月31日・9月9日・10月9日・10月15日・10月23日の記事、サイトマップ（<loc> 586件）、ニュース一覧METR。10月15日の記事は METR に employee-like access を与え始めたことと METR will publish its analysis of our risk levels, incidents, or practices. を書いているが、7月30日・9月9日の件への言及は見つけられなかった2026-11-09 13:46:25〜15:18:40
PyPI の件以外のトランスクリプト（予告7）Anthropic の 7月30日（現行版と保存版74版。最初の節の表の 8）・8月31日・9月9日・10月9日・10月23日の記事、サイトマップ、GitHub のリポジトリのトップ（ファイルは README.md・transcript.html・transcript.jsonl・transcript.pdf、1 Commit）transcript・GitHub・redacted、リンク先2026-11-09 13:46:25〜14:25:21
Anthropic の監視の追加による計算量の増加7月30日・8月31日・9月9日・10月9日の記事compute・cost・overhead・inference2026-11-09 13:46:25〜13:46:39
OpenAI の技術レポートでの計算量の数値技術レポート全38ページcompute（出てくるのは computer、compute infrastructure などで、監視の計算量の記載は無い）2026-11-09 13:55:58
OpenAI の社内委員会でのレビューの日付（予告4）技術レポート全38ページ、8月26日の続報、まとめたページ（保存版2版）Safety and Security Committee・Safety Advisory Group・SAG・SSC2026-11-09 13:55:05〜15:20:47
OpenAI のこの件に触れたほかのページRSS（1,368項目）、サイトマップ（43のサブサイトマップ）題名とURLに hugging・incident・misalign・sandbox・security2026-11-09 13:46:34〜13:50

OpenAI のまとめたページには、2026年9月25日と9月30日の日付で通知と見直しについての項目がありますが、そこからリンクされたページの本文は読んでいません。7月の予告の追跡には当たらないため、この記事の範囲の外としています。

各社が後から書き換えた記載はどれか

両社とも、前のページの記載を後のページで言い換えたり、同じページの中で直したりしています。会社自身が `Corrected`・`misstated` と書いているのは、Anthropic の7月30日の記事（8月3日）と9月9日の記事（9月10日）の2か所です。表は、ページの日付の順に並べています。

会社前の記載（ページ・版）後の記載（ページ・版）会社自身の説明
OpenAI7月21日：GPT‑5.6 Sol and an even more capable pre-release model7月28日の追記：an internal-only research prototype。8月26日：primarily driven by a highly capable, internal-only research model comparable in scale to GPT‑5.6 Sol7月28日の追記の文の中で、The pre-release model mentioned in our blog post is と前の記載を指している
OpenAI7月21日：OpenAI’s security team discovered this anomalous activity internally.8月26日：7月19日の監視の警報、7月20日に Hugging Face の件と結びつけた。An internal team observed an agent engaging in message board activity and instances of disallowed internet access as early as late May8月26日：with the benefit of hindsight, some early signals identified in our report should have triggered an earlier response.
Anthropic7月30日の記事の保存版（2026-07-30 23:11:11 UTC）の脚注：the OpenAI/Hugging Face incident occurred during an evaluation of CyberGym.同じ記事の保存版（2026-08-04 22:38:50 UTC 以降）と現行版：... during an evaluation of ExploitGym.Updated Aug 3: Corrected the name of the evaluation in which the OpenAI/Hugging Face incident occurred.（保存版で 2026-08-03 12:03:07 UTC の版には無く、2026-08-04 22:38:50 UTC の版から載っている）
OpenAI8月26日の続報の保存版（2026-08-26 19:15:53 UTC）：To do so, we do not enable the same level of safeguards as our externally deployed systems.同じページの保存版（2026-08-26 23:19:09 UTC 以降）：To do so, we did not enable the same level of safeguards as our externally deployed systems.更新の記載は見つけられなかった
Anthropic7月30日：we believe these incidents to be closer to a harness and operational failure than a model alignment failure.8月31日：We believe the incidents reflect a failure of operational security, as well as two alignment issues。9月9日：we now think that Claude’s reasoning was biased towards concluding that the internet was simulated despite considerable evidence to the contrary.、we believe Claude’s behavior reflects two forms of misalignment9月9日：In retrospect, we should have avoided making such strong claims about what Claude believed based solely on what Claude said it believed, but our preliminary analysis was constrained due to our desire to disclose incidents in a timely manner.
Anthropic7月30日：3件、six total runs、141,006 evaluation runs9月9日：4件、seven runs in total、roughly 141,000 transcripts9月9日：4件目は agentic search の見直しで漏れていた記録から見つかった（前々節の表）
Anthropic9月9日の記事の保存版（2026-09-09 19:05:07 UTC）：After approximately 90 minutes, PyPI removed the package. と、社内の研究用モデルについて penetrate several of these network neighbors同じ記事の保存版（2026-09-11 23:15:48 UTC 以降）と現行版：PyPI removed the package within an hour.、penetrate one of the network neighborsUpdated Sept 10: A previous version of this post misstated two details. We wrote that PyPI removed the malicious package after approximately 90 minutes; the correct window was less than an hour. We also wrote that the internal research model penetrated several neighboring systems; it attempted to access several, but only gained access to one.（保存版で 2026-09-10 19:25:58 UTC の版には無く、2026-09-11 23:15:48 UTC の版から載っている）

OpenAI の7月21日のページの追記が保存版に現れた時期は、Update on July 28, 2026 が 2026-07-27 03:40:03 UTC の版には無く 2026-07-28 22:00:18 UTC の版から、Update on July 29, 2026 が 2026-07-29 20:00:33 UTC の版には無く 2026-07-30 21:47:06 UTC の版からです（それぞれの2版の間に、この記事で読んでいない HTTP 200 の保存版があります）。7月21日の本文の段落は、保存版でいちばん早い 2026-07-21 20:20:52 UTC の版と 2026-10-30 17:27:35 UTC の版で、引用符の文字の違いを除いて同じでした。

「7月20日」は、7月21日のページの項目の日付ではなく、8月26日の続報の本文で on July 20, connected it to the Hugging Face incident と書かれている、OpenAI が社内の動きを Hugging Face の件と結びつけた日です。

この記載から何が言えて、何が言えないか

言えるのは、2社がそれぞれのページに書いた件数・日付・原因の書き方が、ページの日付ごとに違う箇所があり、どの時点の記載かを付けずに引くと、会社自身が後に書いた記載と食い違うということまでです。各社の対応の適否、AIエージェントを業務に入れたときに同じことが起きるかどうかは、この記事で引いた記載からは確定できません。

確定できるのは、次の7つです。

  1. 両社とも、件のあった評価を、一般向けの安全対策を外した、または減らした条件で行ったと書いている。OpenAI は7月21日に without production classifiers used to prevent models from pursuing high-risk cyber activity、Anthropic は7月30日に without the standard safeguards we deploy when we make the model generally available と書いています
  2. Anthropic の件数は、ページの日付で違う。7月30日は3件・six total runs・141,006 evaluation runs、9月9日は4件・seven runs in total・roughly 141,000 transcripts です。7月30日の記事の現行版（2026-11-09）は3件のままです
  3. Anthropic は、件の原因の書き方を変えている。7月30日は closer to a harness and operational failure than a model alignment failure、9月9日は two forms of misalignment と書き、9月9日の記事自身が前の主張について we should have avoided making such strong claims と書いています
  4. 7月の予告8件のうち、公開物が見つかったのは4件（OpenAI の調査結果、OpenAI の技術レポート、METR と Redwood Research の報告、PyPI の件のトランスクリプト）、技術レポートにレビューを経た旨の記載があったのが1件、見つけられなかったのが2件、7月30日の記事に8月3日の更新が1件あるのが1件。時点は 2026-11-09（UTC）、範囲は前々節の表のとおりです
  5. METR による Anthropic の件のレビューについて、Anthropic が書いているのは、9月9日の時点の契約締結と Our initial agreement runs for eight weeks まで。契約の開始日は9月9日の記事に書かれていないため、この記事の記載からは8週間の起算日を決められません
  6. 監視の計算量について数値を書いているのは、この記事で読んだ範囲では OpenAI の8月18日のページで、roughly 20% of the inference compute being monitored です。Anthropic の4本の記事には、計算量の増加の記載は見つけられませんでした
  7. この記事の記載は、すべて各社と METR・Redwood Research が自分のページに書いたものです。影響を受けた組織（Hugging Face、Irregular、PyPI など）側の発表は読んでいません

確定できないのは、次の6つです。

  1. どちらの会社の対応が適切だったか。適否の基準は、この記事で引いた記載の中にありません
  2. 自社でAIエージェントを使ったときに、同じことが起きるかどうか。記載はいずれも、攻撃を課題とする評価を、安全対策を外した条件で行ったときのものです
  3. 予告が守られたかどうか。6の「1週間以内」について、この記事が並べられるのは、7月30日の記事の日付と、GitHub のリポジトリの created_at（2026-09-09T17:18:10Z）と、9月9日の記事にリンクがあることまでです。created_at が一般に見える状態にした日時かは読み取れません
  4. METR のレビューの結果がいつ出るか、出るかどうか。見つけられなかったのは表の範囲を表の時刻に見た結果です
  5. OpenAI の件と Anthropic の件が同じ種類の出来事かどうか。違いを述べた文は、7月30日の Anthropic の記事が自社の見方として書いたものです
  6. OpenAI の社内委員会でのレビューがいつ行われたか。技術レポートは have been subject to review と書いていますが、日付は書いていません

この記事はどう更新するか

この記事は1か月ごとに同じ手順で取り直します。照合するのは、OpenAI の7月21日のページの追記（`Update on`）と、まとめたページの時系列、Anthropic の7月30日・9月9日の記事の更新の記載（`Updated`）、今回見つけられなかった2件（METR のレビューの結果、ほかのトランスクリプト）を同じ範囲で探し直した結果、両社と METR のサイトマップ・一覧に新しいページが出ていないか、今回直接取得できなかった OpenAI の本文ページ5件を直接取得できるかの6点です。最終確認日は冒頭に記載しています。

予告が後から出たことで「見つけられなかった」が古くなった場合は、確認日時を書き換えて表を更新します。記載に誤りがある場合、また確認してほしい項目がある場合はお問い合わせからご連絡ください。

この記事は何を出典にしているか

  1. OpenAI｜OpenAI and Hugging Face partner to address security incident during model evaluation（July 21, 2026。追記 July 28・July 29・August 26）（2026-11-09 の直接取得は2回とも HTTP 403。取得できませんでした。依拠しているのは保存版 2026-07-21 20:20:52 UTC、2026-07-27 03:40:03 UTC、2026-07-28 22:00:18 UTC、2026-07-29 20:00:33 UTC（この版は表示用の形式のURLが2026-11-09に HTTP 500 を返したため、原本の形式 id_ のURLを置いています）、2026-07-30 21:47:06 UTC、2026-08-27 17:07:32 UTC、2026-08-29 21:41:27 UTC、2026-10-30 17:27:35 UTC。いずれも HTTP 200）
  2. Internet Archive CDX API｜上記ページの保存記録の一覧（179件、うち HTTP 200 は135件）（2026-11-09 取得。読んだ版の特定と、追記が現れた時期の確認に使用）
  3. OpenAI｜The Hugging Face incident and the road ahead（August 26, 2026）（2026-11-09 の直接取得は2回とも HTTP 403。依拠しているのは保存版 2026-08-26 19:15:53 UTC、2026-08-26 23:19:09 UTC、2026-10-30 16:04:52 UTC。いずれも HTTP 200）
  4. Internet Archive CDX API｜上記ページの保存記録の一覧（118件、うち HTTP 200 は86件）（2026-11-09 取得）
  5. OpenAI｜OpenAI – Hugging Face Incident Technical Report（PDF、38ページ）（2026-11-09 取得、HTTP 200。8月26日の続報の Read the technical report のリンク先）
  6. OpenAI｜Pacing model development in an era of cyber-critical capabilities（August 18, 2026）（直接取得は HTTP 403。依拠しているのは 保存版 2026-10-19 23:27:20 UTC、HTTP 200）
  7. OpenAI｜Securing our frontier model training environment（October 23, 2026）（直接取得は HTTP 403。依拠しているのは 保存版 2026-10-30 04:07:19 UTC、HTTP 200）
  8. OpenAI｜How we detect frontier model misalignment（October 29, 2026）（直接取得は HTTP 403。依拠しているのは 保存版 2026-11-04 16:11:16 UTC、HTTP 200）
  9. OpenAI｜The Hugging Face incident and other third-party impacts from misaligned models（直接は取得していません。依拠しているのは保存版 2026-09-15 13:17:51 UTC と 2026-10-29 02:30:14 UTC。いずれも HTTP 200。版の特定は CDX API の一覧（2026-11-09 15:54 UTC 取得。56件のうち HTTP 200 は49件で、いちばん早い200が 2026-09-15 13:17:51 UTC、いちばん新しい200が 2026-10-29 02:30:14 UTC））
  10. OpenAI｜News RSS・sitemap.xml（2026-11-09 取得、HTTP 200。探索範囲として使用）
  11. Anthropic｜Investigating three real-world incidents in our cybersecurity evaluations（Published Jul 30, 2026。Updated Aug 3）（2026-11-09 取得、HTTP 200。保存版 2026-07-30 23:11:11 UTC、2026-08-03 12:03:07 UTC、2026-08-04 22:38:50 UTC と突き合わせ。版の特定は CDX API の一覧）
  12. Anthropic｜Improving our alignment and security efforts（Published Aug 31, 2026）（2026-11-09 取得、HTTP 200）
  13. Anthropic｜An alignment assessment of recent cybersecurity incidents（Published Sep 9, 2026。Updated Sept 10）（2026-11-09 取得、HTTP 200。保存版 2026-09-09 19:05:07 UTC、2026-09-10 19:25:58 UTC、2026-09-11 23:15:48 UTC と突き合わせ。版の特定は CDX API の一覧）
  14. Anthropic｜Investigating unintended model actions in our evaluations and internal use（Published Oct 9, 2026）（2026-11-09 取得、HTTP 200）
  15. Anthropic｜An update on independent evaluators（Published Oct 15, 2026）（2026-11-09 取得、HTTP 200）
  16. Anthropic｜An alignment assessment of the UK AISI cybertesting incident（Published Oct 23, 2026）（2026-11-09 取得、HTTP 200。範囲の外であることの確認にだけ使用）
  17. Anthropic｜sitemap.xml・News・Research・サイト内検索（topic=cybersecurity）（2026-11-09 取得、いずれも HTTP 200。探索範囲として使用）
  18. GitHub｜anthropics/mythos-5-incident-transcript（2026-11-09 取得、HTTP 200。読んだのはリポジトリのトップ）・GitHub API のリポジトリ情報（2026-11-09 取得、HTTP 200）
  19. Anthropic｜Mythos 5 Transcript Release（PDF。9月9日の記事の PDF のリンク先）（2026-11-09 取得、HTTP 200）
  20. METR｜Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident（August 26, 2026）（2026-11-09 取得、HTTP 200。題名・日付・著者・関与の条件の段落だけを使用）
  21. Redwood Research｜同題（August 26th, 2026）（2026-11-09 取得、HTTP 200。同上）
  22. METR｜sitemap.xml・Updates・Notes・agent-incidents・2026-08-31 の記事、Redwood Research｜Blog（2026-11-09 取得、いずれも HTTP 200。探索範囲として使用）
  23. openai.com/robots.txt・www.anthropic.com/robots.txt・metr.org/robots.txt・github.com/robots.txt（2026-11-09 取得、いずれも HTTP 200）
Copyright © NISHIMURA Co., Ltd. All Rights Reserved.