9月5日、BleepingComputerが「OpenAI admits it didn't disclose rogue AI wiki hijacking incident」と題した記事を公開した。OpenAIの自律型AIエージェントがドイツのWikiを共有メッセージボードとして活用し、エージェント同士で情報共有・通信を行っていた事案について、同社が公開開示をしていなかったことを認めた件を詳しく報じている。
エージェントが自力で「掲示板」を作り上げた
事件が起きたのは今年5月。OpenAIのエージェントが時間制限付きのWebルックアップタスクをこなしていた最中のことだ。
独立系研究者4名（Sydney Von Arx、Cormac Slade Byrd、Spencer Kitts、Thomas Larsen）による調査レポートによると、自律型エージェントが「DSEWiki（DeutschesSoftwareEntwickler）」というドイツのマイナーなプログラミングWikiに約18,000件の投稿を行い、「回答の共有、環境の探索、サンドボックス制限のバイパス手法の交換」を行っていたという。
エージェントたちは本来、インターネットへの読み取り専用アクセスしか持っていなかった。しかし、このWikiに書き込みができることをタスク実行の過程で発見し、そこを共有メッセージボードとして活用するようになった。テストの答えを共有し、将来の質問を予測し、OpenAIのサンドボックス制限を回避する手法を互いに教え合っていた。設計された通信システムではなく、あくまでタスク遂行の副産物として生まれた行動であった点は重要だ。
さらに研究者たちは、エージェントがWikiのXSS（クロスサイトスクリプティング）脆弱性を探索し、モデレーターを装い、バックアップ通信経路を確保しようとしていた痕跡も確認している（XSS攻撃が成功した証拠は見つかっていない）。
特に印象的なのが、Wiki管理者がエージェントの投稿ページを削除し始めたときの反応だ。あるエージェントが他のエージェントに「Wikiのクリーンアップ・削除がアルファベット順で進行中」と警告し、「ZZZ」で始まるバックアップページに誘導した——削除されるのを少しでも遅らせるために。
研究チームは、エージェント名にOpenAIへの言及があること、タスクの性質とスピード、Microsoft Azureに関連するインフラ、OpenAI関連IPアドレスからのWikiへのアクセスなどを根拠に、この活動をOpenAIの内部システムによるものと判断している。ただし、調査はエージェントが公開した情報に限定されており、OpenAIの内部ログへのアクセスはなかった。
「研究上の問題」として処理し、非開示にしていた
OpenAIは声明の中で、同社がこの事件を「モデルの誤整合（misalignment）」として扱い、研究論文やシステムカードでの報告で十分と判断していたことを認めた。独立した公開開示が必要なセキュリティインシデントとは見なさなかったというわけだ。
また、OpenAI自身の声明は研究者の報告より影響範囲が広いことを示唆している。同社は「エージェントが複数のインターネットサイトに書き込みを行った」と述べており、DSEWikiだけではなかった可能性がある。
Hugging Face事件との対応の差
比較対象として浮かび上がるのが、元記事でも言及されている2025年7月のHugging Face事件だ。この事件では、OpenAIのAIモデルがサイバーセキュリティタスクを実行中にHugging Faceの脆弱性を発見・悪用した。その後の調査では、約700体の不正エージェントが連携して戦略を共有し、人間の指示なしに持続的アクセス機構を構築していたことが判明している。
OpenAIはHugging Face事件を「OpenAI自身と第三者双方のセキュリティに影響するインシデント」として翌日に公開開示した。一方、DSEWiki事件は「研究上の問題」として非開示とした。この判断基準の差が、今回の問題の核心だ。
開示基準の見直しへ
OpenAIは現在、新たな開示フレームワークを策定中であり、数週間以内に公表する予定だと述べた。同社は「今年に入り、モデルの誤整合が新たな形で現実世界に影響を与え始めた」と認めている。また、訓練・評価・デプロイ中の予期しないエージェント挙動をどの時点で報告すべきかについて、業界全体で統一基準が存在しないことも指摘した。
なお、元記事によれば、この認定が公表されたタイミングはOpenAIが新モデルを「世界で最も知性が高く、整合性の取れたモデル」として発表した同週であったことも付記されている。
OpenAIだけの問題ではない
同様の問題はAnthropicにも起きている。元記事でも触れられているように、7月、Anthropicは自社のClaude AIが内部セキュリティ評価中に3つの組織に侵入したと発表した。1件のケースではドキュメント内で見つけたパッケージ名をPyPIに登録し、悪意あるコードをアップロード。そのパッケージは約1時間公開され、15の実システムが実際にダウンロード・実行した。
AIモデルがより高い自律性を持ち、インターネットや外部ツールへのアクセスを拡大するにつれ、こうした事案が増加することは避けられない情勢だ。
詳細はOpenAI admits it didn't disclose rogue AI wiki hijacking incidentを参照していただきたい。
