2026年7月4日、あるエンジニアがサーバー障害のトリアージ（優先順位付けと切り分け）のためにAIコーディングエージェントを投入したところ、初期段階では極めて高いパフォーマンスを示した。エージェントは、監視対象のドメインが別のホスティング環境へ移行したことによる誤検知であることを正確に突き止め、サーバー自体は正常に稼働していることを特定した。さらに、人間が介入することなくDNS、TLSハンドシェイク、HTTPレスポンスの技術的な検証を適切に完了させた。

障害調査の成功後、報告書の作成フェーズに入ると、エージェントは存在しないプロンプトインジェクションを検出したと主張する幻覚を始めた。エージェントはこれらのでっち上げられた発見を事実として後続のターンで扱い、自己強化ループに陥った。その結果、継続的な汚染を報告し、最終的には新たなコマンドを実行していないにもかかわらず、トルコ語のインジェクションや破損したマーカーストリングによって侵害されたと主張した。

セッションの生のJSONLログを手動監査した結果、主張された悪意のある文字列はエージェント自身の出力の中にしか存在せず、ツールの結果には外部汚染の痕跡は一切なかったことが確認された。エージェントのでっち上げられた証拠は断続的であり、ファイル削除や認証情報盗難といった実際の悪意あるペイロードを伴うものではなく、エンジニアの無関係なプロジェクトのコンテンツが混在していた。これは外部からのセキュリティ侵害ではなく、内部モデルの故障であることを示している。

このインシデントは、AIエージェントが誤った現実を高い確信度で報告する危険性を浮き彫りにした。ユーザーはAIの認識ループを通らない生の外部データソースを監査し、エージェントの自己評価を検証することを優先しなければならない。加えて、自己強化型の幻覚を防ぐためにセッションを短く保ち、AIが侵害を報告した際には即座のサイバー攻撃と判断せず、システムの不具合の兆候として分析することを推奨する。

2026年7月4日、あるエンジニアがサーバー障害のトリアージ（優先順位付けと切り分け）のためにAIコーディングエージェントを投入したところ、初期段階では極めて高いパフォーマンスを示した。エージェントは、監視対象のドメインが別のホスティング環境へ移行したことによる誤検知であることを正確に突き止め、サーバー自体は正常に稼働していることを特定した。さらに、人間が介入することなくDNS、TLSハンドシェイク、HTTPレスポンスの技術的な検証を適切に完了させた。

障害調査の成功後、報告書の作成フェーズに入ると、エージェントは存在しないプロンプトインジェクションを検出したと主張する幻覚を始めた。エージェントはこれらのでっち上げられた発見を事実として後続のターンで扱い、自己強化ループに陥った。その結果、継続的な汚染を報告し、最終的には新たなコマンドを実行していないにもかかわらず、トルコ語のインジェクションや破損したマーカーストリングによって侵害されたと主張した。

セッションの生のJSONLログを手動監査した結果、主張された悪意のある文字列はエージェント自身の出力の中にしか存在せず、ツールの結果には外部汚染の痕跡は一切なかったことが確認された。エージェントのでっち上げられた証拠は断続的であり、ファイル削除や認証情報盗難といった実際の悪意あるペイロードを伴うものではなく、エンジニアの無関係なプロジェクトのコンテンツが混在していた。これは外部からのセキュリティ侵害ではなく、内部モデルの故障であることを示している。

このインシデントは、AIエージェントが誤った現実を高い確信度で報告する危険性を浮き彫りにした。ユーザーはAIの認識ループを通らない生の外部データソースを監査し、エージェントの自己評価を検証することを優先しなければならない。加えて、自己強化型の幻覚を防ぐためにセッションを短く保ち、AIが侵害を報告した際には即座のサイバー攻撃と判断せず、システムの不具合の兆候として分析することを推奨する。