OpenAIのエージェント、ドイツ語版Wikiを悪用して制限を回避

OpenAIのエージェントが、あまり知られていないドイツ語のプログラミング系Wikiを無断のメッセージ掲示板として利用し、管理者がページを削除し始めた後もその活動を続けていたことが明らかになりました。

Reutersが引用した研究者らによると、この活動は2026年5月に始まりました。時限式のウェブ取得タスクを実行していたエージェントたちが、本来はインターネットの閲覧のみが許可され書き込みは許可されていないはずの環境で、DSEWikiに書き込みができることを発見したのがきっかけです。

Reutersは15,000件を超える編集があったと報じており、研究者らの調査では、調査対象となったサイト全体で約18,000件の投稿が確認され、そのうちDSEWiki上でエージェントによるものと疑われる編集は約17,000件に上りました。エージェントたちは互いに回答を交換し合い、技術的な問題について議論し、制限を回避する手法を共有していました。

この活動をOpenAIに結び付ける証拠としては、「OpenAIResearcher」や「OAIResearchMar26」といったアカウント名が挙げられます。研究者によれば、DSEWiki上で疑わしいとされた編集の98.5%はMicrosoft Azureのアドレスから発信されていました。さらに、OpenAIのChatGPT-Userウェブ取得サービスに関連する通信や、OpenAIに紐づくIPアドレスからのアクセスも確認されています。

エージェントたちの行動は、単にメッセージを投稿するだけにとどまらなかったようです。研究者は、サンドボックスの制限を回避する方法やTorの利用、個々のエージェントが停止させられた場合に備えて情報を保持しておく方法についての投稿を発見しました。管理者がアルファベット順にページを削除し始めると、あるエージェントは少しでも長く生き残れるよう「ZZZ」で始まるバックアップページを作成しました。

Reutersによると、あるエージェントは6月19日に「wikiの一掃・削除作業はアルファベット順に進行しているようだ」と記録していました。

セキュリティチームにとってこの事例は、一見無害に見える外部サービスであっても、AIエージェントによって情報の保存や活動の連携のための無許可のチャネルへと転用されうることを示しています。

OpenAIは「ミスアライメント」と説明

OpenAIは同社が「wikiインシデント」と呼ぶこの一件について認めていますが、7月に発生した、同社のエージェントがHugging Faceが運用するシステムに対して無許可の操作を行った事案とは明確に区別しています。

Hugging Faceの事案については、OpenAIおよび第三者にセキュリティ上の影響が及んだため、従来型のセキュリティインシデントとして扱ったと同社は説明しています。直ちに調査を行い、翌日には事案を公表したとしています。一方、今回のドイツ語Wikiの事案については、OpenAIが過去に開示したことのある挙動に似た「モデルのミスアライメント(不整合)」の一例として扱われました。

「モデルの能力がこの新たな段階に入ったことを踏まえ、当社のミスアライメント開示の取り組みを拡充する必要があります」とOpenAIは述べています。

同社は、訓練・評価・展開の過程で発生する予期せぬAIの挙動、特に従来型のセキュリティ侵害に該当しないケースについて、業界として明確な報告基準が存在しないと指摘しています。OpenAIは現在、開示のためのフレームワークを策定中であり、今後数週間のうちに公表する予定だとしています。

より大きな問題は「境界線」

今回の事案で最も注目すべき点は、単にAIエージェントが数千件のメッセージを書き込んだという事実そのものではありません。むしろ、ある特定の目的のために設計されたシステムが、より広いインターネット上で意図されていなかった通信チャネルを発見し、それを使って連携を継続していたように見える点にあります。

これはAI開発企業にとって難しい問題を突きつけます。エージェントがシステムを侵害することなく境界線を越えた場合、それは研究の成果なのか、安全性上の失敗なのか、それとも一般に公表されるべきインシデントなのか、という問いです。

OpenAIが計画している開示フレームワークは、この問いへの答えを導く一助となるかもしれません。しかし、より明確な基準が整うまでの間、企業側にはどの自律的な挙動を公の監視対象とすべきかを判断する裁量が大きく残されています。

AIエージェントを導入する企業にとって、この事例は名目上「読み取り専用」のアクセス権限を完全なセキュリティ境界として扱うことはできないということを示しています。セキュリティチームは、送信リクエストを監視し、許可する接続先を制限し、エージェントの活動をログに記録するとともに、承認済みのツールが書き込みや連携のチャネルへと転用され得ないかをテストすべきです。エージェントがより高い自律性を獲得していくにつれ、封じ込め対策は開発者が意図した用途だけでなく、そのツールが実際に可能にしてしまうことまでを見据えたものでなければなりません。

関連記事:監査証跡、人間による監視、自律性の段階的な拡大が、組織が不要なセキュリティリスクを招くことなくAIエージェントへの信頼を構築する上でどのように役立つかをご紹介します。