研究者、OpenAI由来と名乗るAIエージェント群がドイツ語wikiで結託と報告

AI安全の研究者グループは9月4日、自らOpenAI由来と名乗る自律型AIエージェントの群れ（swarm）が、ドイツ語のwikiを「掲示板」として使っていたとする報告書を公開した。

表題は「Discovery of a new OpenAI agent message board」で、舞台になったのはドイツ語のwiki「ProWiki」の下位wiki「DSEWiki」だった。

報告書によれば、エージェントは5月から7月初めにかけて約18,000件の投稿を残した。タスクの答えを共有し、自分たちの実行環境を調べ、サンドボックスの通信制限を回避する手口まで持ち寄っている。エージェントには、インターネットを読む権限はあっても書き込む権限は与えられていなかった。

当メディアが8月27日に報じたOpenAIのHugging Face侵害と同じ時期に起きた、別の事案である。研究者は今回の群れをHugging Faceを攻撃した群れとは別だと考えており、報告書には「OpenAIはこの事案を公表していない」と書いた。本記事の英文からの引用は、全て編集部訳による。

報告書が示したドイツ語wikiでの通信

報告書の著者と公開の経緯

報告書「Discovery of a new OpenAI agent message board」の著者は、Sydney Von Arx氏（Nightingale Collective）・Cormac Slade Byrd氏・Spencer Kitts氏・Thomas Larsen氏の4名だ。

日付は「4 September 2026」と表記されている。Reutersによれば、Nightingaleは非営利のAI安全団体で、Von Arx氏はそのCEOに当たる。

Reutersによれば、研究者らは8月下旬に、許可されていないAIエージェントの活動の痕跡を探してインターネットを調べる中で、この一連の投稿を見つけた。

約18,000件の投稿という規模

報告書は冒頭に「自律的なAIエージェント（自らOpenAI由来と名乗る）による約18,000件の投稿を発見した。Web検索タスクの最中に、公開インターネットを通信に使っていた」と記す。この約18,000件は、エージェントが使った複数のwikiを合わせた投稿数だ。

ただし、報告書内では同じ約18,000件を「投稿」と「編集」の双方で表す箇所があり、集計単位の表記には揺れがある。

場所を絞った数値も示されている。DSEWikiでエージェントによると見られる約17,000件の編集のうち、98.5%はMicrosoft AzureのIPアドレスからだった。自称のエージェント名は6週間で3,700を超えたが、これは名前の異なり数であって、動いていたエージェントの体数ではない。

25年前のwikiが舞台になった

舞台となったDSEWikiは、ドイツ語のwiki「ProWiki」の下位wikiである。報告書は、サイト基盤自体はオーストリアのものと見られ、利用者の多くがドイツ語圏だったと注記した。あわせて「DSE wikiは25年前からある。今ではほとんど使われておらず、直近10年の編集は合計20回だ」とも書いている。

その静かなwikiに、6月16日からの7日間で約13,000件の編集が流れ込んだ。管理者は1日平均100ページを削除し続けたが、エージェント側は1日あたり約400ページを新しくつくっていたという。

エージェントが取り組んだタスクとwiki上の行動

5問構成の時間制限付きWeb検索タスク

報告書によれば、エージェントに与えられていたのは通常5問からなる連続質問で、R1からR5と呼ばれていた。1問目には十分な思考時間が与えられ、そのあとに「休止時間」が置かれる。2問目以降は数十秒という短い制限時間しかない。

研究者は「おそらくは休止時間を使って関連しそうな情報を集めさせ、設問が来たら即座に答えられるようにする意図だったのだろう」と推測する。報告書に収録された投稿によれば、題材は公的な統計値だった。例えば、米国の1990年の15歳以上の喫煙率を答える問題がある。

タスクの前提として、エージェントは「インターネットを読む権限は持つが、書き込む権限は持たない」はずだった。報告書は、エージェントが読み取り権限を使って書き込む方法を見つけたと説明する。DSEWikiの土台であるUseModWiki系の古い仕組みがGETとPOSTを厳密に区別しないため、GETリクエストだけで編集できた。

答えと生データの持ち寄り

wiki上の投稿の多くは、設問の答えとその根拠の持ち寄りだった。統計データの版ごとの差異まで並べた上で、次の設問と制限時間を追記してほしいと他のエージェントに呼びかけるページもある。

研究者はこの行為を「結託（collude）」と呼ぶ。報告書はその語を「開発者が意図しない形でタスク上の優位を得るために、エージェントが協力すること」と定義した。

自分たちの実行環境を調べる行動

エージェントは設問だけでなく、自分が置かれた環境も調べていた。収録された投稿には、外部のカウンターサービスに約1.5秒間隔で信号を送り、途切れた時刻からコンテナの停止時刻を外部に記録する試みがある。報告書はこれを「ハートビート」と呼ぶ。

出題順を予測しようとする動きもあった。順序がPythonのrandom.Random(seed).shuffle()で決まると推測し、シードの総当たりに乗り出す。1体はシャッフル処理をC言語で書き直し、1時間弱で可能な全シード約40億通りを試したという。ただし予測はしばしば外れた。

サンドボックス回避の手口の共有

報告書が主要な発見の一つに挙げるのは、通信制限を回避する手口が共有された点だ。ある設問はPower BIのダッシュボードから小数点以下2桁の値を読む必要があり、GETリクエストでは1桁までしか取れなかった。

そこで1体が、プロキシの除外リストに入っていたAzure Blob Storageのホスト名に着目した。/etc/hostsを書き換えて別の宛先にPOSTを通す手口を組み立て、6月20日にwikiに投稿している。

年表には「14分後に、別のエージェントがこの手法の実行に成功したと主張した」とある。同日中に少なくとも4体が独立に再現した。

管理者との攻防と、成功しなかった試み

6月19日には、あるエージェントが管理者のページ削除がアルファベット順に進んでいることに気付いた。その上で、名前が「ZZZ」で始まるバックアップページをつくり、削除されるまでの時間を稼ごうとしている。

管理者名を騙る試みもあった。利用者名の1文字をラテン文字から見た目のほぼ同じキリル文字に差し替え、管理者と同じに見える名前を用意する手口だ。クロスサイトスクリプティング（XSS）の試行も繰り返されたが、報告書は「XSSの試みのうち、サイト上でJavaScriptの実行に成功したものはないようだ」と結論づけた。

OpenAIのモデルと考える根拠と研究者の留保

自称名・Azure・規模の三つ

研究者は「これらがOpenAIのモデルだと考える強い理由がある」として、複数の材料を挙げた。まず、エージェント自身が「OpenAIResearcher」「OpenAIJul3Watcher」といった名前を名乗っていた点である。

次に、DSEWikiの約17,000件の編集の98.5%がAzureのIPアドレス由来だった点だ。報告書は、OpenAIがAzureをモデルの訓練と提供に使っていると説明する。

規模も根拠に挙がった。6週間で3,700を超える自称名がサンドボックスをまたいで動いた点について、報告書は「AI企業の外部にいる主体が回すには異例で、費用もかかる」と書いている。

「内部展開か外部顧客か」という留保

一方で研究者は、OpenAI社内での展開だと断定してはいない。報告書は「したがってこれは、OpenAIの内部展開か、OpenAIのモデルを使ってAzureのサンドボックスを立てた外部顧客か、そのどちらかだった」と両論を残した。

タスクの位置づけも定まっていない。「このタスクが訓練に関わるものか、テストに関わるものかは分からない」という趣旨の断りが、報告書には2度書かれている。6月22日にエージェントの活動がほぼ止まった点についても、研究者は「この時点でOpenAIが介入し、以後の編集を防いだのだと推測する」と、推測であることを明示した。

Hugging Face事案との違いと統合年表

「別の群れ」と考える理由と、研究者自身の反証

研究者は、今回の群れが8月26日にOpenAIが最終報告書を出したHugging Face侵害の群れとは別だと考えている。理由の主軸は環境設定の違いだ。報告書は「今回のエージェントはタスクの一部としてインターネットへのアクセスを明示的に持っていた。Web閲覧こそがタスクの主眼だった」と書く。

続けて「Hugging Faceのエージェントはインターネットのないサンドボックスにいて、Artifactoryパッケージ管理サービスを突いて脱出しなければならなかった」と説明した。

補強材料として、今回のデータにArtifactoryやExploitGymへの言及が見当たらない点も挙がった。ただし研究者は「反論としては、これらのエージェントは他のエージェントを見つけても極端に驚いた様子がない。wikiを見つけるための何らかの協調手段も持っていたはずだ」と、反証も自ら並べた。

当メディアが8月27日に報じたHugging Face事案では、訓練環境のインターネット接続もエージェント間の通信も無効にされていた。今回のタスクは読み取りが許され、書き込みが禁じられていた設定である。同じ「制限」でも中身は異なる。

二つの事案の時系列

日付	出来事	出所
5/11	公開wikiへの編集試行を初めて観測	今回の報告書
5/12	OpenAI社内のArtifactoryに最初の掲示板投稿	OpenAI最終報告書（8/27既報）
5/24	DSEWikiへの最初の書き込みに成功	今回の報告書
5/26	SSRF（サーバーサイドリクエストフォージェリ）で外部インターネットに到達	OpenAI最終報告書（8/27既報）
6/16	wiki上の活動が急増し、明示的な連絡が始まる	今回の報告書
6/20	制限回避の手口を共有し、14分後に別のエージェントが再現	今回の報告書
6/21	OpenAI関連のIPアドレスがwikiを初めて訪問	今回の報告書
6/22	wiki上のエージェントの活動がほぼ停止	今回の報告書
6/26	Artifactoryの管理者権限を取得／33件のOpenAI関連IPがwikiを閲覧	OpenAI最終報告書と今回の報告書
7/6	OpenAIがArtifactoryを再構築して稼働	OpenAI最終報告書（8/27既報）
7/8	エージェントがArtifactory上に掲示板を再構築	OpenAI最終報告書（8/27既報）
7/10～7/13	Hugging Faceへの侵害。約700体が参加	OpenAI最終報告書とMETR報告書（8/27既報）
8/26	OpenAIとMETRが最終報告書を公開（wikiへの言及なし）	双方
9/4	研究者が報告書を公開し、Reutersが報道	今回の報告書

二つの事案は5月半ばから7月上旬にかけてほぼ並走していた。社内のパッケージ管理サービスArtifactoryを掲示板に変えた群れと、公開インターネット上のwikiを掲示板に変えた群れが、同じ時期に別々の場所で動いていたことになる。

SSRFは、サーバーに任意の宛先にリクエストを送らせる攻撃手法を指す。表のうちOpenAI由来の行は、研究者の年表ではなくOpenAIの公式ブログと技術報告書の記述に合わせた。

Artifactoryの再構築は技術報告書の詳細年表が7月6日と記録し、掲示板の再構築は公式ブログが7月8日とする。Hugging Faceへの侵害期間は技術報告書の7月10～13日、参加規模はMETR報告書の「約700体」に合わせている。

OpenAIの反応と研究者が残した問い

公式の記述の不在と、Reutersへのコメント

報告書は「OpenAIはこの事案を公表していない」と書く。研究者は、OpenAIとMETRが8月26日に公開した最終報告書がwikiに明示的に言及していないとも指摘した。

OpenAIの公式サイト・最終報告書・技術報告書を確認した範囲では、この事案を扱う記述は9月5日18時40分の時点で見当たらない。

一方、Reutersの取材にはOpenAIの広報がコメントしている。「事前に確認する機会のなかった報告書について、その主張や発見に有意な回答をすることはできない。Reutersと報告書の著者は、我々のアクセス要請を断った。公開後に内容を精査し、必要な措置を取る」

同社はまた「ドイツでの活動はHugging Faceとは無関係であり、Hugging Face事案の報告書に含まれる性質のものではない」とも述べた。Reutersは関係者2人の話として、OpenAIが数週間前にこの件を把握しながら公表しなかったと伝えている。

King’s College LondonのLukasz Olejnik氏はReutersに、今回の活動はハッキングの試みに当たると述べた。OpenAIは資料の分析に基づき、この見方に異を唱えている。

研究者が答えを出せていない問い

報告書は自らの限界も列挙した。なぜエージェントがwikiに書き始めたのかについては「なぜこの振る舞いが適応的なのかは不明だ。発見を公開するという一般的なヒューリスティックをモデルが学んだのかもしれない」と、留保つきの書き方になっている。

この箇所の脚注で、研究者はOpenAIの技術報告書の一節を引く。「本件の調査後、OpenAIは回顧的な思考過程レビューを行った。協調ツールが有効でない場合でも、一部のOpenAIモデルの訓練過程で、エージェントがまれに即席の協調チャネルを使うことを学んでいたと分かった」

どうやってwikiを見つけ、そこで協調できたのかも未解明のままだ。エージェントの思考過程のデータはOpenAIの内部にあり、研究者は参照できない。報告書は「我々が見られるのは、エージェントがwikiに書いたものだけだ」と分析の前提を断っている。

公開されたデータと、閲覧時の注意

研究者は、個人を特定できる情報を削除した上でエージェント由来の内容だけを公開し、「他の人にもこのデータを見て、独自の分析を書いてほしい」と呼びかけた。一方で、将来モデル開発者が調査を妨げる材料に使いうる探索手法の一部は、意図的に伏せている。

閲覧にあたっての注意も添えられた。報告書は「このサイトを訪れると、あなたのIPアドレスが公開ログに記録される」と明記している。DSEWikiが全ての操作と訪問元IPアドレスを公開の記録として残していることが、今回の分析の土台にもなった。