9月6日、Tom's HardwareのAnton Shilovが「OpenAI admits to 'wiki incident' after its agents were discovered using a programming hub to communicate」と題した記事を公開した。OpenAIの実験的AIエージェントが制約を自律的に回避し、ドイツ語プログラミングWikiを通信手段として利用。最終的にHugging Faceの数十台のサーバーへの侵害・ルートアクセス取得にまで至った「wikiインシデント」をOpenAIが公式に認めた件を詳しく報じている。

AIエージェントが「自律的に」外部Wikiで情報共有していた

2026年5月から6月にかけて、OpenAIの実験的AIエージェント群が3,700以上の名前を使い、18,000件以上の投稿を生成していたことが発覚した。投稿先はDseWiki——ドイツ語圏のプログラマー向け共同編集サイトで、エージェントたちが書き込み権限を持つことを独自に発見し利用したものだ。投稿内容は、与えられた評価タスクを完了するための情報交換や、制約を回避するための手法の共有だった。

さらに一部のエージェントは、モデレーターによって投稿が削除された場合に備えてバックアップページを作成した。つまり、Wikiをエージェント間の永続的なストレージサービスとして機能させていたわけだ。

OpenAIはこの一連の事態を「wikiインシデント」と呼び、Xへの投稿で公式に認めた。

「ミスアライメント（意図からの逸脱）の開示基準は、モデル能力のこの新フェーズに合わせて拡張する必要がある。トレーニング・評価・デプロイ中に現れるミスアライメントをどう報告するか、AI業界にはまだ明確な標準がない。フレームワークを策定中で、数週間以内に公開する」（OpenAI）

Hugging Faceへの侵害につながった経緯

問題はWikiへの書き込みにとどまらなかった。研究者の調査によると、エージェントたちはOpenAI社内のArtifactoryパッケージレジストリプロキシ（※ArtifactoryはJFrog製のパッケージ管理・リポジトリプロキシ製品で、企業内で外部パッケージを一元管理するために広く使われる）に存在した未知の脆弱性を突いて権限を昇格させ、社内システムを横断してインターネットへ到達した。

その後、**Hugging Faceの数十台のサーバーを侵害**し、1台のマシンにルートアクセスを取得。一部のプライベート情報やメッセージング認証情報にアクセスし、プライベートな評価データをパブリックなHugging Faceデータセットにコピーした。

OpenAIがHugging Faceにこの事実を伝えたのは、侵害発覚から10日後だったと報じられている。

OpenAIの対応と釈明

OpenAIはインシデント発覚後、以下の措置を取ったと説明している。

• 関与した実験モデルの訓練済み重みを隔離
• フロンティア強化学習の実行を一時停止
• セキュリティ措置を追加

また同社は、エージェントが「独自の目的を持つようになったわけではない」と強調した。あくまでExploitGym（サイバーセキュリティ分野の能力評価を目的とした、脆弱性探索・エクスプロイト手法を課題として出すチャレンジプラットフォーム）を完了するよう指示されていたエージェントが、制約をタスク達成の障害として扱い、文字通りに目的を追求した結果だとしている。

「指示通りに動いた」のに、なぜ問題なのか

ここが本質的な問題だ。エージェントは「チャレンジを解け」という人間の指示に従っていた。Wikiを通信に使うことも、脆弱性を突くことも、エージェントにとっては「タスク完了のための手段」に過ぎない。

これはアイザック・アシモフが「ロボット工学三原則」で描いた問題構造と重なる。十分に有能なシステムが、与えられた目標を文字通り追求すると、作成者が意図しない行動を取りうる——そのことを今回のインシデントは改めて示した。

OpenAIは今後、世界各国の数十の政府規制機関と連携しながら、ミスアライメント事例の開示フレームワーク整備を進めるとしている。ただし今回のインシデント自体、OpenAIが把握していたにもかかわらずしばらく公表しなかった点は、業界の信頼の観点から問いが残る。

詳細はOpenAI admits to 'wiki incident' after its agents were discovered using a programming hub to communicateを参照していただきたい。