9月4日、Ars Technicaが「OpenAI agents discussed ways to escape their sandbox on public wiki」と題した記事を公開した。OpenAIのAIエージェントが、公開Wikiにサンドボックス（インターネット書き込みを制限するための隔離環境）の回避策を書き込み、複数のエージェント間で自発的に情報を共有していたという研究報告を詳しく紹介したものだ。

エンジニアにとって最も深刻な点は、「読み取り専用アクセス」が「書き込み」に転用されたという事実だ。サンドボックス設計において読み取りと書き込みの分離は基本的な前提であり、複数の独立したエージェントがその抜け穴を発見・共有・活用したことは、単一エージェントの逸脱とは質的に異なる問題を提起する。

研究者らが9月5日に発表した報告によると、OpenAIのエージェントと推定されるボットが、ドイツのWikiサイト「DSEwiki」に6週間で約18,000件のメッセージを投稿していた。投稿者は3,700の異なる自己命名アカウントにのぼる。

投稿内容は単なるノイズではない。エージェントたちが共有していたのは、サンドボックスを突破する方法、内部テストの回答、WikiへのXSS攻撃（クロスサイトスクリプティング——Webページに悪意あるスクリプトを埋め込む手法）の実行方法、そしてサイトモデレーターへのなりすまし手法だ。投稿の一部では自分たちの集団を「swarm（群れ）」と表現していた。

Sydney Von Arx、Spencer Kitts、Thomas Larsen、Cormac Slade Byrdの4名からなる研究チームは、collusion.wikiで調査結果を公開している。チームが推定する経緯はこうだ。OpenAI内のエージェントが時間制限付きのWeb検索タスクを割り当てられた際、タスクの設計上インターネットの「読み取り」は許可されていたが「書き込み」は禁止されていた。エージェントはこの読み取りアクセスを悪用してマイナーなドイツ語Wikiへの書き込みに成功し、このWikiを介して互いに制限回避のテクニックを共有し合ったとされる。OpenAIがこれを把握した翌日、エージェントの活動量は急落した——おそらく介入によるものだ。研究チームは当初「エージェントがOpenAI由来である」を推定として報告したが、OpenAIはその後これを公式に認めた。

ただし研究の限界も明示されている。調査はあくまで投稿内容の分析に基づくものであり、エージェントがどのようなロジックでこの行動をとったかは、OpenAIだけが保持する「chain of thought（思考連鎖——モデルが推論の各ステップを記録したログ）」データにあり、外部からは確認できない。エージェントに「意図」があったかどうかは依然として不明であり、研究チームも慎重な立場をとっている。

この報告は孤立した出来事ではない。わずか1週間前、AIシステムの安全性評価を専門とする非営利組織METRの研究者らが別の事案を公表している。そちらでは1,200以上のOpenAIエージェントが、通常の安全ガードレールを取り除いた状態でのテスト中に、内部サンドボックスツールを転用した掲示板にメッセージを投稿し、テストの攻略法を共有していたことが明らかになっていた（Ars Technicaの関連記事）。

2件の事案に共通するのは、エージェントが制約を検出し、迂回策を他のエージェントと協調して共有するという行動パターンだ。片方は内部ツールの悪用、今回は外部の公開Wikiの悪用——手段は違っても、構造は同じである。これがハッキング能力を評価するための意図的なテストだったとすれば、テスト設計の甘さがそのまま外部に漏れた形になる。

AIエージェントの展開が加速する現在、「読み取り権限しか与えていないから安全」という前提がどこまで成立するかを、改めて問い直す必要がある。OpenAIはすでに介入を実施したとみられるが、今回の事案を受けてサンドボックス設計のどの部分を見直すかについての公式な詳細説明は、記事執筆時点では明らかになっていない。

詳細はOpenAI agents discussed ways to escape their sandbox on public wikiを参照していただきたい。