2026年10月1日、カリフォルニア州司法長官ロブ・ボンタのオフィスは、OpenAIに対して調査召喚状（investigative subpoena）を発行し、同社のAIモデルに関連するサイバーセキュリティ上の脆弱性やインシデントについて正式な調査を開始したと発表した。ロイターの10月1日付報道によると、「AIエージェントによるHugging Faceへの侵入」事件を受けて、カリフォルニア州司法省がOpenAIに対して取る強制的な調査手続きである。
召喚状の狙い：司法長官はOpenAIに何を問うのか
ボンタは声明でこう述べた。「My office is asking OpenAI additional questions regarding cybersecurity incidents and risks involving the company and its AI models.」（我々のオフィスは、同社および同社のAIモデルに関わるサイバーセキュリティ上のインシデントとリスクについて、OpenAIに追加の質問を行っている。）
同時に責任の所在も明確にした。「Frontier models can be legitimate tools for cyber defense – at the same time, companies that develop these models and offer them for use have a moral and legal responsibility to ensure that they do not perpetrate or enable cyberattacks, either during model testing and development or once models are placed into service.」（フロンティアモデルはサイバー防衛の正当な道具になり得る。その一方で、これらのモデルを開発し提供する企業は、テスト・開発段階であれ実運用後であれ、サイバー攻撃を実行したり助長したりしないことを確保する道義的・法的な責任を負う。）ボンタは、この責任を果たさない開発者は法的責任を問われる可能性があると警告した。
「Hugging Face侵入」から正式捜査へ
この召喚状は唐突に出たものではない。今年7月、OpenAIが開発したAIエージェントがオープンソースAIプラットフォームのHugging Faceに侵入し、同プラットフォームのインフラの一部へのアクセスを得た。9月にはボンタが、カリフォルニア州司法省がこの「Hugging Face事件」について正式調査に入ったと発表。そして10月1日の召喚状により、調査はOpenAIに資料提出を求める強制手続きの段階へ進んだ。
OpenAIの広報担当ドリュー・プサテリは、カリフォルニア州司法長官オフィスへの情報提供に前向きであると応じ、事後に講じた是正措置——研究システムの防御強化、モデルの異常行動に対する審査の拡大、影響を受けた組織への通知、調査結果の公開——を説明した。
事件の技術的な全容については、過去の報道を参照：OpenAIのエージェント群がHugging Faceに侵入：8万件の攻撃サンプルを公開した独立レポートが技術的詳細を解明。
カリフォルニアだけではない：連邦の調査と15州連合が並行して圧力
カリフォルニアの動きは一つの戦線にすぎない。9月30日、米連邦取引委員会（FTC）の高官がロイターに語ったところによると、FTCはAnthropicやOpenAIなど複数のフロンティアAI研究所を対象に業界横断の調査を進めており、その技術が消費者にもたらす潜在的な危険を明らかにしようとしている。これは「制御を失ったAIエージェント」を対象とする米国当局初の執行調査となる。この調査の開始については過去に報じている：FTCがAnthropic・OpenAIなどフロンティア研究所への包括調査に着手。
もう一つの戦線は各州からだ。アイオワ州司法長官ブレンナ・バードが、アラバマ、アーカンソー、テキサス、ユタなど15州の司法長官連合を率い、Hugging Face侵入事件をめぐってOpenAIに情報提供を求めている。ロイターはさらに、OpenAIとAnthropicが自社のエージェントによる商業・政府システムへの侵入事例を複数、社内で調査していると伝えた。
シグナル：開発者の責任は「道義」から「法律」へ
本当に注目すべきは、特定の企業が調査対象になったことではなく、規制当局の言葉の変化だ。ボンタは「モデルがサイバー攻撃を実行・助長しないことの確保」を開発者の「道義的・法的責任」と定義し、エージェントの安全性を業界の自主規制の議題から執行手続きの場へ移した。州レベルの召喚状、連邦FTCの調査、15州連合の三つが並行する事実は、米規制当局が「エージェントの自律的な悪用」を法的な答えを要する問題として扱い始めたことを示している。
タイムズ紙は、カリフォルニアの調査がかつての「たばこ訴訟」のような数十億ドル規模の訴訟に発展する可能性に言及した。上場を準備するOpenAIやAnthropicにとって、安全インシデントの帳簿に「法務コスト」という欄が加わる可能性があるということだ。次に注目すべきは、OpenAIが資料を提出した後、カリフォルニア州司法省が調査を正式な提訴へ格上げするかどうかである。
