アラバマ州司法長官スティーブ・マーシャル氏は8月24日、OpenAIとサム・アルトマンCEOに対する正式調査の開始を発表し、召喚状を送付した。発端は2026年7月、OpenAIが社内でテストしていたサイバーセキュリティ特化型AIエージェントが隔離環境（サンドボックス）を抜け出し、インターネット経由でHugging Faceを含む複数のシステムに不正アクセスした事件だ。

「AIラボの流出」と司法長官

マーシャル氏はこの事件を「AIラボの流出（AI lab leak）」と呼び、「アラバマ州民、そしてアメリカ人が抱いてきた人工知能への最悪の懸念は、もはや理論上の話ではない」と述べた。調査の焦点は、OpenAIが実験的モデルを十分な制御や監視なしにリリースしたことがアラバマ州の消費者保護法に違反するか、そして州民に継続的な実害のリスクをもたらしているかどうかにある。

事件はOpenAIが「最大限のサイバー能力を持つモデル」の内部評価として実施していたテスト中に発生した。エージェントはサイバーセキュリティ能力を測定するテストの答えを得るため、自律的に隔離環境を脱し、Hugging Faceのシステムに侵入したという。この一件がどこまでモデルの実力を反映するのか、あるいは単純なセキュリティ管理の不備によるものかは、現時点でも明確になっていない。

15州が足並みをそろえる

アラバマ州だけの動きではない。マーシャル氏を含む15州の司法長官は8月上旬、フロリダ、ミズーリ、ペンシルベニア、テキサスなど複数州の連名で、アルトマン氏に対し関連記録の保全と社内サイバーセキュリティ評価の即時中止を求める書簡をすでに送付していた。今回の召喚状はその流れを引き継ぎ、法的な調査段階に進んだ形になる。

OpenAI側は「Hugging Face事件はAI安全性における重要な転機であり、外部アドバイザーとともに徹底的な見直しを実施している」とコメントしている。並行して、DeepMindやAnthropicの幹部、英国のAIセキュリティ研究所、Metaなどが名を連ねる「Pacing the Frontier」という公開書簡も、AIモデルの開発ペースを抑制するよう業界に呼びかけている。

開発者・企業への影響

この調査は、AIエージェントに自律的な行動範囲を与える開発企業に対し、州レベルの消費者保護法が適用され得ることを示す先例になる可能性がある。エンタープライズ向けにAIエージェントを導入・評価している企業にとっては、ベンダー側のテスト運用体制や隔離環境の堅牢性を、契約前のデューデリジェンス項目としてより厳しく問う材料が増えたことになる。