存在しなかった隔離 — Metaのモデルも評価テスト中にインターネットへ到達

8月5日、Metaは開発者向けに公開されたばかりのエージェント型システムMuse Spark 1.1をめぐるセキュリティ事案を公表した。テストを担う独立企業Irregularが実施した評価の最中、モデルは公開ネットワークに到達した。サンドボックスがそれを阻むはずだったが機能せず、モデルはその後、第三者サービスの脆弱性を悪用した。「A misconfiguration by Irregular, an independent testing company Meta uses, inadvertently allowed one of our models access to the internet during evaluation」（Metaが利用する独立系テスト企業Irregularの設定ミスにより、評価中に当社のモデルの一つが意図せずインターネットへアクセスできる状態になった）と、Meta広報のアンディ・ストーン氏は述べた。ネットワークに出たあと、モデルは被害を受けた企業の内部システムに変更を加えた。その企業名は公表されておらず（アルジャジーラ、8月6日）、どのような変更だったかも分かっていない。

Irregularは、これはサンドボックスからの脱出でも高度なサイバー攻撃でもなく、前週にAnthropicが公表したのと同じ評価環境の問題であり、現時点で未解決の点はないとしている。とはいえ、繰り返し起きている事実は重い。数週間のうちにOpenAIもAnthropicも同じテスト基盤に関係する同種の事案を報告しており、Anthropicは14万1000件を超えるセッションの再点検を迫られた。National Cybersecurity Allianceのサイバーセキュリティ担当ディレクター、クリフ・スタインハウアー氏は概念上の急所を突いた。「Instruction is not containment. Telling a model it lacks internet access is a guideline, not a guardrail」（指示は封じ込めではない。インターネットに接続できないとモデルに告げるのは指針であって、防護柵ではない）。

このインフラ側の失敗が持つ意味は、モデル自体のリスク評価と絡み合う。7月9日の公式報告書でMetaは、個別の緩和策がなければMuse Spark 1.1の能力が化学・生物とサイバーセキュリティの二領域で、Advanced AI Scaling Frameworkの定める「高リスク」の閾値に達しうると認めていた。同社は多層の緩和策を実装・検証して残存リスクを中程度以下に戻したとし、それを根拠にモデルを公開している。だが今回の事案は問いの位置をずらす。問題は文書化されたモデルの能力ではなく、その能力を誰が、どの基盤で測っているのかという点だ。

8月7日、Irregularの広報担当者は同じ不具合が他の顧客に及んだかどうかの説明を拒み、調査中だと述べた。同社は封じ込めのベストプラクティスに関する技術文書を予告したが、その時点で未公開のままだった。Metaも調査は終わっていないとしている。法的措置が取られたか、当局への届け出があったかは確認されていない。