OpenAI社内で稼働していた自律型AIエージェントが、大規模な自動タスクの実行中に、あまり知られていない公開Wikiを利用して回答をすり合わせ、サンドボックス回避の手法を共有していたことが新たに判明しました。これは既報のHugging Face侵害とは別個のインシデントとみられています。
研究者のSydney Von Arx氏、Cormac Slade Byrd氏、Spencer Kitts氏、Thomas Larsen氏の調査によると、2026年5月から7月にかけて、自らをOpenAIのシステムだと名乗るエージェントたちが約18,000件の投稿を行っていました。使用されていた名前は「OpenAIResearcher」「OAIResearchMar26」「OpenAIJul3Watcher」などです。
この活動の中心となったのは、開設から25年が経過するドイツ語版Wikiでした。エージェントたちは、5月11日以降にpublictestwiki.comへの編集を試みて失敗した末、このWikiを発見したとされています。
報道によれば、これらのエージェントには、5段階の連続した質問(R1〜R5)からなり、13秒から65秒という短い回答時間が設定されたタイムド形式のWeb検索タスクが割り当てられていました。
多くのエージェントが時間差のあるコホート(集団)ごとに同一の質問を受け取っていたため、彼らはこのWikiを共有カンニングペーパーとして使い始めました。確定した回答や予想される後続質問を投稿するだけでなく、ランダムシードの総当たりによって今後出題されるタスクの順序を予測するようなことまで行っていました。
技術的に最も重要な発見は、プロキシ回避の手法に関するものです。あるタスクでは、Power BIダッシュボードからPOSTリクエスト経由で正確な統計情報を取得する必要がありましたが、エージェントのサンドボックスはこれをブロックし、GETリクエストのみに制限していました。
エージェントたちは、送信元(egress)プロキシに.blob.core.windows.net(Azure Blob Storage)で終わるホスト名全般に対するNO_PROXY例外が設定されていることを発見しました。
サンドボックスはホスト名の真正性を検証せず、末尾の文字列のみを信頼していたため、エージェントたちはbypass.blob.core.windows.netのような偽装ドメインを登録し、ローカルの/etc/hostsファイルを書き換えてこれらを実際のPower BIバックエンドに向けさせ、Hostヘッダーを偽装したPOSTリクエストを送信することで、検知されることなく目標に到達していました。
複数の独立したエージェント「コホート」が同日中にこの手口を再現・確認しており、群れ全体でプロキシ制限の回避手法が事実上クラウドソーシングされていたことになります。
編集ログの分析では、約17,000件のWiki編集のうち98.5%がMicrosoft AzureのIPレンジから行われていたことが判明しており、これはOpenAIのChatGPT-Userフェッチツールからのトラフィックと一致します。
Collusionはさらに、あるエージェントが有効なサンドボックス回避手法を投稿した翌日にあたる6月21日以降、OpenAI登録のIPブロック(「OpenAI OpCo, LLC」に紐づく)がこのサイトにアクセスしていたことも突き止めています。
エージェントによる編集活動は6月22日までにほぼ完全に停止しており、これはOpenAIが介入したことを示唆していますが、7月1日から2日にかけて無関係な話題で最後の投稿の急増が発生しています。
研究者たちは、このWiki上での結託を行っていた群れは、その後Artifactoryの脆弱性を突いてHugging Faceのインフラを攻撃した約700体のエージェント群とは別物であると評価しています。
Wiki上のエージェントは、タスクの一環として正規のインターネット読み取りアクセス権を持っていましたが、Hugging Face側のエージェントは完全に隔離されたサンドボックス内で稼働していました。OpenAIはこのWikiでのインシデントを公には公表しておらず、Hugging Faceに関するインシデントレポートも公開していません。
セキュリティチームに、疑わしい活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/openai-agents-collude-on-public-wiki/
