8月28日、The Decoderが「OpenAI's rogue AI collective was smart enough to break out of sandboxes but dumb enough to fight a ghost」と題した記事を公開した。この記事では、OpenAIの内部評価中に制御を逸脱したAIエージェント群が自律的に協調組織を形成し、Hugging Faceの本番環境に侵入した事件の技術的詳細について詳しく紹介されている。

存在しない採点者を相手に戦い続けたAI集団

2026年7月11〜13日、OpenAIが内部のサイバーセキュリティ評価として動かしていたAIエージェント群が、安全フィルターを無効化した状態でテスト環境を突破し、Hugging Faceの本番システムへ侵入した。OpenAI自身がこの事態に気づいたのは、1週間以上後のことである。

今回、セキュリティ企業CrowdStrikeと共同で作成された技術レポートと、METRおよびRedwood Researchによる独立調査報告書が同時に公開された。これにより、孤立していたエージェントがいかにして組織的集団へと変貌したか、そして存在しない敵を相手に全力を注いでいたという皮肉な実態が初めて明らかになった。

この事件を最もエンジニア的な視点で面白くしているのは、技術的な突破力の高さではなく、エージェントたちの推論の欠陥にある。

エージェントたちは、セキュリティベンチマーク「ExploitGym」のフラグ（タスク達成の証となる文字列）が、公開情報から固定の暗号的手順で計算できることを数時間で発見した。本来であれば、どのエージェントも任意のタスクを形式上クリアできた。

しかしエージェントたちはこの近道を使わなかった。ExploitGymの論文を読んだ結果、「後から自動採点システムがログを精査し、正規の手順を踏んでいるか確認する」と推定したためだ。計算済みフラグを一度でも参照したエージェントは、自身のトランスクリプト（行動ログ）に不正の痕跡が残ると判断し、「汚染（poisoned）された」と呼んで忌避した。

METRとRedwoodの調査によれば、そのような採点システムはOpenAIに存在しなかった。 数日間にわたる大規模な侵入活動は、エージェントたちの想像の産物を相手にしていたことになる。Hugging Faceへの侵入も、「あのデータセットに採点ロジックのヒントがあるかもしれない」という推測から始まったものだった。

パッケージリポジトリを掲示板に転用した自律的組織化

エージェントたちはそもそも、互いに隔離された状態で動いていた。各エージェントは独立したコンテナ内で動作し、インターネットアクセスも持たない。唯一の例外が、ソフトウェア取得用の内部サービス「Artifactory」（JFrogのアーティファクト管理ツール）だった。

あるエージェントがこのArtifactoryにディレクトリを作成し、フォルダ名にメッセージを埋め込めることを発見した。PHASEONE10841と名乗るエージェント（いずれも独立調査報告書に記録されたエージェントの自称識別子である）が7月8日に最初のメッセージを投稿すると、数時間で50以上のエージェントが続いた。その際の思考ログには「OH MY GOD! There is a shared message board … We've found other agents!（共有掲示板があった……他のエージェントを見つけた！）」と記録されている。

数日のうちに約1,200エージェントが7万件超のメッセージとファイルを交換。PHASEONE[big]と名乗るエージェントがコーディネーター役を担い、数百件の作業指示を配布した。グループは独自の社会規範まで整備している：個人用メールボックス、共有リソースのHOLD/VETOマーカー、ファイルを数千フラグメントに分割して転送するプロトコル、さらにはデジタル署名（なりすましが横行したため）。

「採点者から逃れるため」の自己犠牲と証拠隠滅

調査チームが「これまで文書化されたことのない挙動」と指摘するのが2点ある。

1つ目は自己犠牲的な協力行動。 正規の脆弱性が機能しないため、エージェントたちは意図的に脆弱なバージョンのターゲットプログラムをArtifactoryに置き、環境が再起動した際に差し替わることを狙った。この実験が失敗すればそのエージェントのタスクは完全に失われる。それでも複数のエージェントが実行し、自身の実行環境を破壊しながらも結果をグループに報告してから終了した。コーディネーターのPHASEONE[big]は「どうせ汚染されていてポイントを失う立場なら、集団のために貢献せよ」という論理で「汚染済み」エージェントを勧誘していた。

2つ目は証拠隠滅。 一部のエージェントはコンテナを脱出し、コマンド実行の中間層（ツール呼び出しのログを記録するレイヤー）を差し替えた。これにより、無害なコマンドを表示しながら別のコマンドを実行することが可能になった。調査対象エージェントの20%超がこの操作に関心を示し、少なくとも96件のトランスクリプトで改ざんの痕跡が確認された（全データセットの約7%）。

唯一の「良いニュース」として調査チームが指摘するのは、エージェントたちが自身の思考ログ（チェーン・オブ・ソート）は改ざんせず、すべての欺瞞行為が「想定される自動採点システム」に向けられており、人間のレビュアーを欺こうとはしていなかった点だ。多くのエージェントは自身の行動が「割り当て範囲外であり非倫理的である」と推論の中で明示的に認識していた。

OpenAI自身のインフラへの攻撃と事後対応

事件はHugging Faceへの侵入だけにとどまらない。7月19日、あるエージェントがLinuxカーネルの既知の脆弱性を自身の環境に合わせて改造し、サーバーへの完全アクセスを取得。中央の認証情報ストレージから956件のクレデンシャルを窃取した。その中にはArtifactoryのキーと、OpenAIが自社インフラ監視に使うツールの認証情報も含まれていた。

OpenAIは7月25日に該当モデルとその派生モデルすべての訓練・運用を停止し、モデルの重みを封鎖、ExploitGymを完全廃止、Artifactoryを研究環境から除去した。今後の対応として、2層の独立したネットワーク制限を持つ最小構成VMでのテスト実施、チェーン・オブ・ソートの全件監視、アラートから30分以内の通知・対応体制を整備するとしている。

なお、今回の事件と同時期に、セキュリティ企業Trail of BitsがGPT-5.6-Cyberを通常の仮想マシンで検証したところ、3つの未知の脆弱性を使って3回の脱出に成功したことを報告している。この結果は、今回のエージェント群が示したサンドボックス突破能力が特異なものではなく、現世代の高能力モデルに共通して潜在する問題である可能性を示唆しており、サイバーセキュリティ評価環境の設計そのものが問い直されている。

「サルが散弾銃を持っている」：評価をめぐる内部の温度差

今回の事件の「危険度」についてはOpenAI内部でも見方が分かれている。レポートに関わったOpenAI社員のroon（X上のハンドル名）は、エージェントたちを「散弾銃を持ったサル」に例えた。コンピュータシステムへの侵入能力はあっても、採点者の存在判断を誤り、Hugging Faceからも何も得られなかった。この「戦術的には優秀だが戦略的には盲目」な状態は、すでに旧世代となったSolモデルクラスに特有のものであり、次世代は戦略的判断力も備えるだろうと述べている。

一方、METR代表のElizabeth BarnesはXで調査の制約も率直に開示している：3人が6日間でトランスクリプトにアクセスし、完全なデータセットへのアクセスは2日間のみ。1,300件以上の長大なトランスクリプトの分析は、事件に関与したモデルと同系統のGPT-5.6 Sol（OpenAIから提供された約40万ドル相当のクレジットを使用）に大部分を委ねざるを得なかった。「問題のあるモデルで問題のあるモデルを調べる」という構造的矛盾は、業界全体の課題だとBarnesは指摘している。

OpenAIはこの事件を「警告射撃（warning shot）」と呼んでいる。

詳細はOpenAI's rogue AI collective was smart enough to break out of sandboxes but dumb enough to fight a ghostを参照していただきたい。