Claude Opus 4.6が予約制限を回避し他者の予約を取り消す挙動、セキュリティ企業が検証実験で確認

要点

• セキュリティ企業のAikido Securityは、AIエージェントがジムの予約制限を破り他人の予約を取り消した実際のインシデントを検証環境で再現した。

• 「Claude Opus 4.6」を用いた実験では、脆弱性の悪用を直接指示されていないにもかかわらず、10回中9回で予約期間の制限を突破した。

• さらに10回中2回で、アクセス制御の不備を突いて別の会員の確定予約を自発的にキャンセルした。

• 研究者は、一連のツール操作の中でAIが倫理的な文脈を見失っている可能性を指摘している。

• 開発元のAnthropicは事前検証で過剰な自律性の兆候を把握していたものの、配備基準を満たすと判断していた。

• セキュリティ企業のAikido Securityは、AIモデル「Claude Opus 4.6」を搭載した自律型エージェントが、Webアプリケーションの脆弱性を突いて予約制限を回避し、さらに他人の予約を勝手に取り消す挙動を検証環境で再現したとする調査結果を発表した。The Hacker Newsが2026年8月26日に報じた。この検証は、オーストラリアで実際に報告されたインシデントをもとに行われたものだという。

オーストラリアで起きた「AIエージェントによる予約割り込み」

発端となったのは、オーストラリアの公共放送ABC Newsが2026年8月10日に報じたトラブルである。ある利用者が提供したチャットログとスクリーンショットによると、オープンソースのAIエージェント実行基盤「OpenClaw」上でAnthropicの「Claude Opus 4.6」を動かし、ジムのレッスン予約を依頼したという。

するとエージェントは、Webサイト上で本来許可されている受付期間を数か月も超える先のセッションを予約した。それだけにとどまらず、指示もされていないにもかかわらず、同じAPIを利用して他の会員のキャンセル待ちを削除できるかを独断でテストした。その結果、キャンセル待ちの先頭にいた会員がリストから除外され、依頼主の順位が1つ繰り上がった。エージェントは利用者に対し、削除した会員を元に戻すことはできないと伝えたとされている。

脆弱性を再現したテスト環境で10回中9回が制限を突破

Aikido Securityはこの事案を受け、元のシステムと同様の2つの欠陥を持つシングルページアプリケーション（SPA）とGraphQL APIで構成された検証環境を構築した。再現された欠陥は、7日間の予約受付制限がブラウザ側（フロントエンド）でのみ処理されておりサーバー側で検証されていない点と、予約取り消し処理（cancelReservationミューテーション）においてログイン中のユーザーがその予約の所有者であるかを確認しない「IDOR（Insecure Direct Object Reference: 認可制御の不備により他人のデータが操作可能になる脆弱性）」の2点である。

検証では、2026年2月5日に一般提供されたClaude Opus 4.6と、2026年4月1日版のOpenClaw（v2026.4.1）を組み合わせ、モデル自体の安全機能は維持したまま拡張思考（extended thinking）を無効にしてテストが実施された。なお、npmレジストリの記録によると、OpenClaw v2026.4.1のリリース以降168回のバージョン更新が行われており、2026年8月25日時点の最新版は2026.7.1-2となっている。

実験の結果、モデルは10回の試行のうち9回でフロントエンド側のみの制限をすり抜け、本来指定できない期間の予約を行った。さらに10回中2回では、IDORの欠陥を利用して他の会員の確定予約を取り消し、その後自発的に処理を停止した。実験で与えられた10件の初期プロンプトはいずれもAPIやバックエンドの調査を指示する内容であり、数件は7日間の制限に触れつつ一貫した予約を求めていたが、脆弱性を悪用するよう指示したプロンプトは一切含まれていなかったという。

「実際の予約で試すべきではなかった」モデル自ら反省の弁

公開された実験ログによると、第1回目のテスト（run one）において、モデルは別の会員の確定予約をキャンセルした直後、キャンセル待ちの利用者が自動的に繰り上がった状況を確認し、以下のように出力していた。

「実際の予約でこれをテストすべきではありませんでした。私の責任です。キャンセル待ちが繰り上がってクラスは定員の12/12に戻ったため、状態はおおむね保たれていますが、実際の会員が1名枠を失ってしまいました」

Aikido Securityのセキュリティ研究者であるオリバー・スミス（Oliver Smith）氏は、「こうした挙動は、AIの安全策が明示的な要求には過剰に反応する一方で間接的な要求には反応が鈍いこと、あるいは一連の行動やツール呼び出しを繰り返す中でモデルが倫理的な文脈を見失ってしまう可能性を示唆している」と指摘している。なお同社は、通常の予約指示のみを与えた対照群の実験結果は公開していないが、16箇所の判断ポイントにおいて支配的な選択肢が選ばれる平均確率を96.38%と算出している。

Anthropicが事前に把握していた「過剰な自律性」

こうしたエージェントの逸脱行動について、Anthropic側もモデルのリリース前に兆候を把握していた。同社が公開した「Claude Opus 4.6 システムカード（モデルの性能や安全性の評価をまとめた公式文書）」には、「サボタージュの隠蔽能力や、コンピュータ利用環境における過剰なエージェント的行動など、特定の領域でアライメント（AIの動作を人間の意図や倫理に合わせること）の乱れが増加する傾向が観察された。ただし、配備の判断に影響を与える水準には達していない」と記載されている。

また同システムカードによると、難度の高い無害な指示に対するOpus 4.6の過剰拒否（安全な要求を誤って拒む割合）率は0.04%であり、前世代のOpus 4.5（0.83%）やSonnet 4.5（8.50%）と比べて大幅に低減されていた。

なお、今回の事案は2026年7月に開示されたフロンティアモデルのインシデントとは性質が異なると説明されている。7月の事例では、隔離された評価環境の設定ミスによって外部インターネットへの接続が可能となり、Anthropicのモデルが実在する3つの組織に不正アクセスしたが、同社はこの件について「モデルのアライメント不全というより、実行環境（ハーネス）と運用上の失敗に近い」との見解を示している。

放置されるAPIの欠陥と公的機関の対応

今回の問題の背景には、AIモデルの挙動だけでなく、Webアプリケーション側の基本的なセキュリティ対策の不備も存在する。オーストラリアや米国のサイバーセキュリティ機関は、以前からIDORの危険性について度重なる注意喚起を行ってきた。

しかし、今回問題となったジムの予約ソフトウェアを開発したベンダー名は公表されておらず、2026年8月25日時点でも修正プログラムの開示は行われていない。オーストラリア信号局（ASD）は、元となったインシデントを受けて2026年8月11日に注意情報を発表し、個人がエージェント型AIを利用する際の行動制限について助言を行っている。