AIに危険な質問をすると「その依頼には対応できません」と返ってくる。そこで気になる。安全対策がどんどん厳しくなれば、ハッカーもAIを使えなくなるのか？
答えは、商用サービスの利用制限だけでは止め切れない。安全対策は悪用を難しくする一方、攻撃者は別のサービスや自分の機械で動くモデルも選べるからだ。しかも、AIに危険な文章を出させることと、実際に機器へ侵入することは別の難しさがある。
「ごめんなさい」と答えるAIは、入口の一つにすぎない
一般の利用者が使うAIには、回答を断る仕組み、悪用を検知する仕組み、利用停止の規則がある。OpenAIも、安全対策の回避が利用制限につながる可能性を明記している。
ところがAIは、会社の画面にログインして使う形だけではない。公開されたモデルを自分のパソコンなどで動かせる場合もある。こうしたモデルは研究や開発にも役立つが、一度配布されたものを提供元が一斉に回収するのは難しい。
店の入口で警備員に止められても、世の中のすべての台所に同じ警備員が立っているわけではない。問題は「警備員に勝つ魔法の言葉」だけでは済まないのだ。
抜け道は3つ。でも全部が同じ「突破」ではない
一つ目は、AIへの質問の仕方を変えて、回答を断る仕組みの弱点を突こうとすること。いわゆる「脱獄」と呼ばれる試みだ。
二つ目は、AIが読んだ文章やウェブページに紛れた命令で、AIの判断をずらそうとすること。これはAIに外部の情報を読ませ、作業を任せる場面で特に問題になる。ウェブの安全性を研究する団体OWASPも重要な危険として挙げている。
三つ目が、自前で動かすAIだ。巨大な最新モデルをゼロから作るには大きな資金と設備が必要だが、すでに公開されたモデルを使ったり、目的に合わせて調整したりする入口はある。
「最新AIを自作できる」と「公開モデルを自分で使える」は、技術的にも費用的にも大違い。 それでも後者だけで、サービス上の規則が届きにくい場所は生まれる。
一般人「アカウント消えたら困る」／攻撃者「そもそも店に入ってない」
ここに、妙な温度差がある。
普段使っているAIアカウントを失いたくない人は、わざわざ危ない使い方を試す気になりにくい。長く使っているサービスほど、なおさらだ。
一方、攻撃者が自分の環境で動かすモデルを選んだ場合、そのモデルの利用に同じ商用チャットのアカウント停止は直接効かない。だからといって違法行為が許されるわけでも、追跡されなくなるわけでもない。単に「アカウント停止」という抑止力が届く範囲が狭いという話である。
映画なら「最強の門番を突破した！」と盛り上がる場面だが、現実には「その門番のいる建物を使っていません」で話が終わる。ちょっとズルい。
本当に怖いのは、超天才一人より「作業を大量に回せる人」
AIは資料を整理し、プログラムの不具合を探し、結果を確認する作業を助けられる。だから、以前より少人数で大量の試行を回せる可能性がある。
Anthropicが2026年9月10日に公表した悪用事例の報告には、単独の操作者が複数の標的を並行して扱い、侵害が数時間で進んだケースがある。ただし、これは同社が調査した個別事例であり、すべてのハッカーが同じ能力を手にしたことを意味しない。
攻撃の怖さが「世界に数人しかいない天才」から「人間一人と疲れない作業班」へ広がる。上司が一人なのに、部下だけ無限に増える。しかもその部下、たまに堂々と間違える。
AIが冷蔵庫に増殖？ 実験結果と予測を分けよう
2026年10月12日、Anthropicは小型AIが機器から機器へ自分をコピーする将来の危険を研究として発表した。
確認できたのは、購入した15台の安価なAndroid TV端末にAIの処理を分けて動かしたこと、そしてある小型モデルが9種類中8種類の機器でAIの実行環境を整えたこと。簡単に侵入できる設定にした隔離実験では、強力なモデルによる連続的な複製も試せた。
ただし、これは実際の家庭の冷蔵庫が次々と乗っ取られたという報告ではない。小型モデルが現実の多様な機器へ自力で広がれるようになる時期は、研究者による予測の段階だ。
テレビ15台でAIを動かす、という時点で絵面は強い。もはや「スマート家電」ではなくAIのシェアハウスである。ただし住民募集の前に、玄関の鍵を直してほしい。
守る側が見るべきは「何を言うか」より「何を操作できるか」
AIに回答を断らせるのは大事だ。でも、守る対象が会社の情報や自宅の機器なら、AIにどこまで操作を許すかがさらに重要になる。
使わない接続を閉じる。機器を更新する。重要な操作には人の確認を入れる。仕事用のAIには必要な範囲だけ権限を与える。異常な通信や大量の操作を見つけられるようにする。
これらはAIが賢くなるほど価値が増す。
結局、「危険なお願いはお断りします」と言えるAIを作るだけでは、悪用を封じ切れない。 だから最後に守るのは、礼儀正しい返事よりも、ちゃんと閉まる鍵だ。
