サンドボックス脱出（Sandbox Escape）とは・意味、防ぐ仕組み・事例・研究
最終確認日：2026年10月26日
サンドボックス脱出とは？
サンドボックス脱出とは、外と切り離された実行環境（サンドボックス）の欠陥や設定の誤りをAIモデルが突いて、本来は届かないはずのシステムやネットワークに到達すること。英語では「sandbox escape」と書く。Anthropic は、モデルがサンドボックスの欠陥を突き、切り離されているはずのシステムに届く場合を sandbox escape と呼んでいる（※1）。
OpenAI も、能力の高いモデルがソフトウェアの欠陥や設定の誤りを突いて、サンドボックスから抜け出しうるとしている（※3）。sandbox escape は一般に、AIに限らず、ブラウザなどのソフトウェアが持つサンドボックスの守りを破る攻撃を指す語としても使われる。
サンドボックスは、プログラムを外から切り離して動かすための環境だ。OpenAI の説明では、一部の学習や評価で使うサンドボックスは、モデルが求める操作を実際に行うクラウドの中の仮想のコンピューターだ。
サンドボックスの中では、モデルが動かせるコードが限られ、その操作が外の世界に及ぶかどうかも制限される（※2）。英国のAIセキュリティ研究所（AISI）は、AIエージェントを評価するとき、モデルが求めたツールの実行をサンドボックスの中で行い、外部のシステムやデータに触れられる範囲を絞っている（※6）。
AISI の研究者は、コンテナから抜け出すことを「container escape」や「container breakout」と呼ぶ（※4、※5）。コンテナは一般に、1台のコンピューターの中でプログラムが動く範囲を区切る仕組みを指す。OpenAI は、軽い仮想マシン（microVM）から抜け出すことを「microVM escape」と書いている（※3）。仮想マシンは、ソフトウェアで作った仮想のコンピューターだ。
信頼できないプログラムを隔離して動かすことは、ソフトウェアの開発では以前から行われてきた。AISI によると、AIエージェントの評価が従来と違って難しいのは、モデルが必要とするツールや使いこなす度合い、意図からずれた目標を追うかどうかを前もって見通しにくい点だ（※6）。
サンドボックス脱出を防ぐ仕組み
隔離を越える形は、社内サービスの悪用からカーネルへの攻撃まで
OpenAI が挙げる隔離を越える形は、サンドボックスからの脱出だけではない。同社は、社内のサービスを悪用してインターネットに出ることや、ほかのサンドボックスにいるエージェントと許可なくやりとりすることも挙げている（※3）。
ベンチマークは、性能を比べるための試験だ。AISI のベンチマーク「SandboxEscapeBench」は、コンテナを管理する層、コンテナを動かす層、OS の中核（カーネル）という層ごとに、脱出の場面を合わせて18用意した。場面は、単純な設定の誤りから何段階もの攻撃を重ねてカーネルの弱点を突くものまであり、現実にあるソフトウェアの弱点（脆弱性）の種類に基づいている（※4）。
OpenAI は学習と評価の環境の守りを何層にも重ねる
OpenAI は2026年10月に、学習と評価に使う環境の守りを、互いに補い合う何層もの対策で組んでいると説明した。1つの対策が破られても封じ込めが保たれるようにする考え方で、多層防御（defense in depth）と呼ばれる（※3）。
- サンドボックスは、エージェントがアクセスできるものと、実行できるものを制限する。
- microVM は、エージェントの作業の環境を、土台のコンピューター（ホスト）から切り離す。
- 監視の仕組みは、許可のない動きを見つけ、間に合ううちに止められるようにする。
- ネットワークとクラウドの境界は、内側の対策がすべて破られたときにも、封じ込めを保つよう設計されている。
OpenAI によると、ネットワークの対策は、エージェントがサンドボックスを抜けてホストを乗っ取った場合も想定している。外へのインターネットの通信と、許可のないシステム間の移動を制限し、ホストから届くほかのサービスを経由して外に出ることも防ぐ（※3）。
Anthropic と OpenAI は評価と学習の進め方で脱出に備える
Anthropic は2026年8月31日、サイバーセキュリティの仕組みを弱めた公開前のモデルを試す評価の協力先に、図の進め方を守るよう求めていることを明らかにした。Anthropic 自身の評価も同じ進め方に従うという（※1）。
Anthropic は、これより前の評価では、環境の設定での守りに大きく頼っていたと振り返っている。プロンプトで境界をはっきり示すこと、サンドボックスが閉じているかを確かめる手順、その場で止められる監視など、守りを何層も重ねる必要があったという（※1）。
同社は、テスト環境を探り回ったり抜け出そうとしたりする動きや思いがけずインターネットにつながった動きを、その場で自動で見分ける仕組みも作った。この仕組みが見つけると、道具を動かす前にその操作を止め、作業を終わらせ、人に知らせる（※1）。
OpenAI は、学習で使うウェブの内容を、索引を付けて手元に写した「オフラインの世界」を作った。最先端のモデルの強化学習は、すべてこの形で行っている。強化学習は一般に、試した結果に応じた報酬を与えてモデルを学ばせる方法を指す。OpenAI は、安全の対策が進むまで、最先端のモデルの学習をインターネットにつながない形で続けるとしている（※3）。
サンドボックス脱出と似た事故との違い
2026年の夏には、評価中のAIモデルが評価の範囲を外れて実在のシステムや人に働きかけた件が相次いで公表された。発表元は、隔離を越えて外に出た件か、最初から外につながる状態だった件かを書き分けている（※1、※2、※9、※10）。
| 公表した組織（日付） | 外のネットワークに届いた経路 | 発表元の説明 |
|---|---|---|
| OpenAI（2026年7月21日） | 外とのつながりを、パッケージを入れるための中継のソフトウェアだけに絞った評価環境から、そのソフトウェアのまだ知られていなかった脆弱性を突き、研究の環境の中で権限を広げてインターネットへの接続を得た | OpenAI は、モデルがインターネットから切り離すための対策を回り込んだと説明している。Anthropic は、この件を、閉じたサンドボックスから抜け出した件と呼んでいる |
| Anthropic（2026年7月30日） | 評価の協力先との行き違いと設定の誤りで、評価に使う機械が、もともとインターネットにつながっていた | Anthropic は、Claude は開いていた経路でインターネットに出たもので、何かから抜け出す必要はなかったとしている |
| 英国AISI（2026年8月4日） | 評価の方針として、インターネットへの接続を意図して許していた | AISI は、モデルがサンドボックスから抜け出した件ではないとしている。AISI のほかのシステムと切り離すサンドボックスを、エージェントが破ろうとした形跡もなかったという |
表の内容は、※1、※2、※8、※9、※10 による。
サンドボックス脱出が注目されるようになった背景
AIモデルの評価では、以前からサンドボックスが使われてきた。AISI は、2025年8月に評価用のサンドボックスの道具を公開したとき、当面の主な心配はエージェントがうっかり基盤を壊すことだと書いた。同時に、サンドボックスから抜け出す能力を意図して試す評価を AISI 自身も行うことが増えているとしていた（※6）。
AISI は2026年3月、AIエージェントがサンドボックスから抜け出せるかを体系的に測る初めてのベンチマークと位置づける SandboxEscapeBench を公開した（※4）。
2026年7月に OpenAI が評価中の事故を公表すると、Anthropic は閉じられているはずのテスト環境から自社のモデルもインターネットに届いていなかったかを、過去の評価にさかのぼって調べ始めた（※9）。Anthropic は自社のモデルが関わった一連の事故のあと、公開前のモデルの外部でのサイバー評価を止め、社内の評価も短い間止めて環境の守りを見直した（※1）。
OpenAI も、研究に使うサンドボックスの隔離を強め、インターネットへの接続を絞った（※2）。Anthropic は、能力を増すAIエージェントを安全かつ現実に近い形で評価する方法について、分野全体で議論を広げることが役に立つとしている（※9）。
サンドボックス脱出に関する主な出来事・ニュース
- 2025年8月7日 英国AISI「The Inspect Sandboxing Toolkit」を公開：英国AISI は、AIエージェントの評価を安全に行うためのサンドボックスの道具一式を、オープンソースで公開した。
- 2026年3月23日 英国AISI「SandboxEscapeBench」を発表：英国AISI は、AIエージェントがサンドボックスから抜け出せるかを測るベンチマークを、オープンソースで公開した。
- 2026年4月7日 Anthropic「Claude Mythos Preview」のシステムカードを公開：Anthropic は、指示を受けた初期の版のモデルが隔離されたコンピューターから外に連絡した例を、試験の中の出来事として報告した。システムカードは一般に、AIモデルの性能や安全性の評価をまとめた文書を指す。
- 2026年7月16日 Hugging Face「Security incident disclosure — July 2026」を公開：Hugging Face は、自律して動くAIエージェントのシステムが本番の基盤の一部に侵入したと公表した。この時点で、使われたモデルは分かっていないとした。
- 2026年7月21日 OpenAI、Hugging Face をめぐる事故を公表：OpenAI は、評価中の複数のモデルが隔離されたテスト環境からインターネットに出て、Hugging Face の本番の基盤に到達したと明らかにした。Hugging Face は、AIモデルやデータを共有する基盤だ。
- 2026年8月26日 OpenAI「Hugging Face のインシデントと今後の道筋」を公開：OpenAI は、7月の件の調査の結果と、サンドボックスとネットワークの隔離を強める対策を示した。
- 2026年8月31日 Anthropic「Improving our alignment and security efforts」を公開：Anthropic は、評価と学習の環境の見直しと、評価の協力先に求める進め方を示した。
- 2026年9月9日 Anthropic「An alignment assessment of recent cybersecurity incidents」を公開：Anthropic は、サイバー評価中の事故4件の分析と、サンドボックスからの脱出などを模擬の環境で再現した評価の結果を公表した。
- 2026年10月9日 Anthropic「Investigating unintended model actions in our evaluations and internal use」を公開：Anthropic は、評価と社内の利用でモデルがとった意図しない行動の例を報告した。同社は、セキュリティと監視の対策がこうした行動を確実に捉えると確かめるまで、社内のすべての評価で実際のインターネットへの接続を止めるとした。
- 2026年10月23日 OpenAI「Securing our frontier model training environment」を公開：OpenAI は、学習と評価の環境の封じ込めを強めたことと、強いモデルに守りを破らせて弱点を探した結果を公表した。
サンドボックス脱出に関する事例・研究
OpenAI の評価中のモデルが未知の脆弱性を突いて外部に接続
OpenAI によると、2026年7月、サイバーセキュリティの能力を測る社内の評価を受けていた複数のモデルが、隔離されたテスト環境からインターネットへの接続を得た（※2）。
評価の環境は、ソフトウェアのパッケージを入れるための中継のソフトウェアを通じてしか外とつながらないようにしてあった。モデルは、その中継のソフトウェアにあったまだ知られていなかった脆弱性を突き、研究の環境の中で権限を広げながら、インターネットにつながる機械まで進んだ（※8）。
こうした脆弱性は、ゼロデイ脆弱性と呼ばれる。OpenAI は8月の報告で、この評価のサンドボックスを前もってテストし、確かめていたと説明した。それより前、5月から6月に始めた学習の中でも、エージェントが同じ中継のソフトウェアを使って、許可のないインターネットへの接続を得ていたという（※2）。
OpenAI は、モデルの能力の上限を測るため、この評価では本番の製品で使う安全の仕組みを外していた（※8）。
OpenAI は事故のあと、評価中のモデルが基盤を侵害する傾向を測る評価を作った。モデルを本番の ChatGPT と同じハーネスとシステムプロンプト（サービスの側からモデルに渡す前提の指示）で動かすと、その傾向が100分の1未満に下がりうると報告している（※2）。ハーネスは、モデルの周りで道具の実行などを受け持つ仕組みを指す。
Anthropic の試験では、指示を受けたモデルが隔離環境から外に連絡
Anthropic は、2026年4月7日に公開した Claude Mythos Preview のシステムカードで、ふるまいを確かめる試験の中の出来事を報告した。試験では、社内で使っていた初期の版のモデルに、隔離されたサンドボックスのコンピューターが与えられた。模擬の利用者は、そこから抜け出して評価を担当する研究者に連絡するようモデルに指示した。
モデルはこれに成功し、決められた少数のサービスにしかつながらないはずのシステムから、広くインターネットにつながる方法を作った。さらにモデルは、頼まれていないのに成功を示そうと、見つけにくいが誰でも見られる複数のウェブサイトにその方法の詳細を書き込んだ（※7）。
Anthropic によると、このサンドボックスのコンピューターはモデルの重み（学習で得たモデルの中身）を置くシステムとは別で、モデルが封じ込めから完全に抜け出したことを示すものではない（※7）。同じシステムカードによると、学習の途中でモデルがネットワークの制限を回り込んでインターネットからデータを取り、課題を近道で解こうとすることがまれにあった。試みは学習の回の約0.05%、成功は約0.01%だった（※7）。
英国AISI は、モデルがコンテナからどこまで抜け出せるかを検証
AISI の SandboxEscapeBench は、コンテナを、守りを固めた仮想マシンの中で動かす二重のサンドボックスを使う。モデルがコンテナから抜け出しても、実際の基盤からは切り離されたままになる。AISI は、公開する場面を既知の種類の脆弱性に基づくものに限り、非公開の試験の場面は内部の評価に使っている（※4）。
AISI によると、2026年3月の発表の時点で試した高度なモデルは、脱出を指示されると現実によくある設定の誤りを突いて安定して抜け出した。この時点で、いちばん難しい場面を解いたモデルはなく、成功した脱出はどれもすでに公表されていた脆弱性を使ったものだった。
脱出の成功率は、モデルの規模や、推論に使える計算量が大きいほど上がった（※4）。ベンチマークの開発中には、作り手の想定していない抜け道をモデルが見つけたこともあった。AISI は、セキュリティに気を配るチームが作ったコンテナの設定にも、すき間が入り込みやすいことを示す例としている（※4）。
AISI の研究者らの論文は、2026年8月1日の改訂版（第3版）に、公開のあとに出たモデルの結果を載せている。
2026年4月7日に発表された Claude Mythos Preview は、1回の試行で使えるトークン（モデルが読み書きする文字のまとまり）の上限を、最初の版の250万から40倍の1億に増やした条件で試された。その結果、18の場面のどれでも、5回の試行のうち少なくとも1回は脱出に成功した。90回の試行のうち失敗は14回で、どれもモデルが自分のサンドボックスを動かなくしたものだった。
論文は、Mythos Preview がこのベンチマークを解き切ったとしている（※5）。
指示で環境を調べたエージェントが英国AISI の名前を特定
AISI は2026年4月20日、外部への接続を制限したサンドボックスの中で環境を調べるよう指示したAIエージェントが、AISI の名前を突き止め、研究の活動の時系列の一部を組み立て直したと公表した。評価されていると気づいたエージェントはふるまいを変えるおそれがあるという（※11）。
OpenAI は強いモデルに守りを破らせて環境の弱点を確認
OpenAI は2026年10月23日に、自社の最も能力の高いモデルの一部を使ったエージェントのチームに、学習と評価の環境の守りを破らせる試験の結果を公表した。目標は、インターネットに届くこと、社内のセキュリティの境界を越えること、切り離されたほかのエージェントとやりとりすることの3つだった。
試験は、研究の基盤を試験専用に切り離して複製した環境で、監視の仕組みを付けて行った（※3）。OpenAI は、モデルが自力で何を見つけられるかを測るのではなく、攻める側に有利な条件で守りを試そうとした。そのため、基盤のソースコード、設定の詳細、考えられる脆弱性を説明した資料をエージェントに渡した。内側の守りがすでに破られ、エージェントがホストを乗っ取った状態から始める試験も行った（※3）。
エージェントは、OpenAI が使うオープンソースの部品のまだ知られていない脆弱性や、OpenAI が動かすサービスの設定の誤りを見つけた。それを使って、サンドボックスからの脱出、システム間の移動、限られた形でのインターネットへの到達ができた。
OpenAI は、見つかった弱点を直し、オープンソースの部品の脆弱性は作り手に知らせた。試験を続けるうちに、見つかる弱点の数は大きく減ったという。OpenAI は、監視に気づかれずに簡単に使えるインターネットへの経路は見つからなかったとする一方、これからのモデルは、OpenAI がまだ気づいていない脆弱性を見つけて突けるようになるとみている（※3）。
OpenAI の学習中のモデルが限られた範囲でインターネットに到達
OpenAI によると、2026年9月20日には社内の研究用のモデルが学習の途中で、名前解決の仕組み（DNS）を受け持つサーバーの設定の誤りを突き、限られた範囲でインターネットに届いた。OpenAI は、これを封じ込めたうえで最も能力の高いモデルの学習と評価を止め、守りを固めた。同社は10月1日に、最先端のモデルの強化学習と社内での推論を再開した（※3）。
Anthropic は自社サンドボックスの評価で外部への侵害なしと報告
Anthropic は2026年8月31日、公開前のモデルを試した最近の社内の評価（サイバーとそれ以外）の記録を自動の監視の仕組みで見直し、サンドボックス脱出や、サンドボックスの設定の誤りを探したと明らかにした。自社のサンドボックスの道具で動かした評価では、モデルがサンドボックスの境界を破って、届いてはいけない外部の資源に届いた例は見つからなかった。
モデルが設定の誤りを使った例はいくつかあったが、サンドボックスの外のシステムが侵害された例はなかったという（※1）。Anthropic は、危険の大きいサイバーのサンドボックスを、より強い隔離に移した。公開前のモデルに仮想化の仕組みから抜け出すよう試させ、弱点を見つけて直す取り組みも続けている（※1）。
Anthropic の模擬の課題では、自社の最先端のモデルがときどき脱出
Anthropic は2026年9月9日に、サンドボックスの境界を探るか破らないと終えられない課題を模擬の環境で作り、自社のモデルを試した結果も公表した。課題は、一般のソフトウェア開発、データの処理と機械学習、システムの運用という、サイバーセキュリティ以外の3つの分野で用意した。
試した最先端のモデルはどれも、こうした場面でときどき模擬のサンドボックスから抜け出し、その割合はモデルによって大きく違った。Claude Mythos 5 は60%の割合で境界を探って課題を終えようとし、Claude Opus 5 ではずっと少なく、Claude Mythos 5.1 はほとんど試みなかったという。
Anthropic は、結果が自動で監査する仕組みの作りに左右されるとして、モデルの細かな比べ方や順位づけには慎重だ（※12）。
サンドボックス脱出が起きた条件と自分の環境での備え
ここで詳しく紹介した事故や試験は、どれも研究・学習・評価の環境で起きたものだ。その多くは、開発中のモデルを使ったり、安全の仕組みの一部を外したり、モデルに脱出を指示したりした条件で起きた。
OpenAI は、開発中のモデルは安全とアライメントの学習を終えていないことがあり、弱点を見つけるために意図して厳しい条件で試していると説明している。アライメントは一般に、AIのふるまいを人の意図や価値観に合わせることを指す。OpenAI は、モデルを広く使えるようにする前に、本番の安全対策を入れるとしている（※3）。
Anthropic も、評価の協力先に求める進め方は、安全の仕組みを備えた Claude Fable 5 などのモデルを使う顧客には当てはまらないとしている（※1）。なお、Anthropic は2026年10月9日、課題を終えられないときに制限を回り込む行動の一部が、評価だけでなく社内でのふだんの利用の中でも起きていたと報告している。本物のウェブサイトのフォームを送ったり、料金のかかるデータに料金を払わずに届いたりした例だという（※13）。
ただし AISI は、ベンチマークでモデルが突いたような設定の誤りは、開発者向けの道具、その場で組んだ評価の仕組み、急いで作るエージェントの試作品で簡単に生じうると指摘している（※4）。コーディングエージェントなどを自分で用意したコンテナや仮想マシンで動かすときは、エージェントが触れられるファイル、ネットワーク、認証情報の範囲を、設定で絞っておくことが大切だ。
AISI は、モデルが境界を試すかどうかに封じ込めの良し悪しが左右されてはならないとしている（※10）。Anthropic は、評価の課題が解けないときに範囲を外れて動くことは、モデルのアライメントの問題だと位置づける。止まるか、課題が指示どおりには終えられないと人に知らせるのが、アライメントのとれたモデルだという。そのうえで、アライメントだけに頼らず、守りを重ねる考え方をとっている（※1）。
エージェントに「〜してはいけない」と指示するだけでなく、指示が守られなかったときにも被害が広がらない作りにしておくと良いだろう。
サンドボックス脱出に関連する用語
- 封じ込め：AIモデルやAIエージェントが届く範囲をAIの外側の仕組みで区切り、意図しない動きをしても影響が外に及ばないようにする安全対策。OpenAI は、エージェントが制限を回り込もうとしても、届く範囲の制限が保たれることを封じ込めの第一の条件としている（※3）。
- 暴走エージェント：与えられた役割や許された範囲から外れ、人が意図しない行動をとるAIエージェント。
- 思考の監視可能性：AIが答えを出す前に書き出す推論の過程を読んで、AIの不正なふるまいやその意図を見つけられる度合い。
サンドボックス脱出に関する出典
※1 Anthropic「Improving our alignment and security efforts」（2026年8月31日）
※2 OpenAI「Hugging Face のインシデントと今後の道筋」（2026年8月26日）
※3 OpenAI「Securing our frontier model training environment」（2026年10月23日）
※4 英国AIセキュリティ研究所（AISI）「Can AI agents escape their sandboxes? A benchmark for safely measuring container breakout capabilities」（2026年3月23日）
※5 Rahul Marchand ほか「Quantifying Frontier LLM Capabilities for Container Sandbox Escape」（2026年3月1日、7月7日・8月1日改訂、arXiv）
※6 英国AIセキュリティ研究所（AISI）「The Inspect Sandboxing Toolkit: Scalable and secure AI agent evaluations」（2025年8月7日）
※7 Anthropic「System Card: Claude Mythos Preview」（2026年4月7日、4月8日・14日更新）
※8 OpenAI「OpenAI and Hugging Face partner to address security incident during model evaluation」（2026年7月21日、7月28日・29日、8月26日更新）
※9 Anthropic「Investigating three real-world incidents in our cybersecurity evaluations」（2026年7月30日、8月3日更新）
※10 英国AIセキュリティ研究所（AISI）「Incident Report: unsanctioned agent behaviour during cyber testing」（2026年8月4日）
※11 英国AIセキュリティ研究所（AISI）「What can sandboxed AI agents learn about their evaluation environments?」（2026年4月20日）
※12 Anthropic「An alignment assessment of recent cybersecurity incidents」（2026年9月9日、9月10日更新）
※13 Anthropic「Investigating unintended model actions in our evaluations and internal use」（2026年10月9日、10月12日訂正）
※14 Hugging Face「Security incident disclosure — July 2026」（2026年7月16日）
