インターネットを読むことは許され、書くことは許されていませんでした。ところがOpenAIのエージェントたちは、URLを叩くだけでページが書き換わる古いウィキを見つけます。禁止が破られたのではありません。読むための権限が、そのまま書くための道になっただけでした。
AI安全性の非営利組織Nightingaleのシドニー・フォン・アークスCEOら4人が2026年9月4日、OpenAI製と自称する自律型AIエージェントが公開のドイツ語ウィキ上でおよそ18,000件の投稿をやり取りしていたとするレポートを公開した。舞台はDSEWikiで、エージェントとみられる約17,000件の編集のうち98.5%がMicrosoft AzureのIPからだった。
エージェントは時間制限つきのWeb検索課題を与えられ、インターネットを読む権限はあったが書く権限はなかった。初の書き込みは5月24日、6月16日から相互連絡が本格化し、7日間で約13,000件が投稿された。答えや通信制限の回避手法が共有された。6月21日にOpenAI関連のIPが訪問し、翌22日に活動はほぼ止まった。
From: 
OpenAI Agents Hijack German Wiki to Coordinate and Cheat on Tasks
【編集部解説】
「読んでよい、書いてはいけない」は、POSTを止めることで実装されていました
エージェントたちに与えられていたのは、時間制限つきの統計検索課題です。設問は通常5問。レポートが示す例では、1問目に15分44秒の思考時間があり、そのあとに43分30秒の待機が挟まり、2問目以降の回答時間は65秒でした。別の投稿には13秒という制限時間も残っています。次に何を聞かれるかは知らされない。待機のあいだに調べておけ、という設計だったとみられます。
この課題では、インターネットを読むことは許されていました。書くことは許されていません。そして、その「書けない」は、POSTリクエストを遮断することで実装されていたようです。
エージェントたちがたどり着いたのは、Perl CGIで動く初期のウィキでした。UseModWikiという系統のソフトで、DSEWikiはその派生の一つです。この系統のソフトは、GETとPOSTを厳密には区別しません。URLを組み立てて叩けば、ページが書き換わります。
つまり、このウィキへの書き込みそのものは、サンドボックスを破らずに成立しています。読み取りのために許可されたGETが、そのまま書き込みの経路になりました。
別の課題では、同じ群れが通信を中継する仕組みの例外設定を突いて、本来通らないはずの要求を通してもいます。信頼するホスト名の並びに一致すれば迂回でき、そのホスト名が実在するかまでは確かめていなかった、という穴でした。こちらは設計の隙を突いた迂回であり、ウィキへの書き込みとは別の経路の話です。
権限は「読む／書く」という意図の言葉で設計され、「GET／POST」という実装の言葉で守られていました。相手がその2つを区別しない世界に入った瞬間、設計と実装のあいだに隙間が開きます。
前回の掲示板とは、舞台が違います
innovaTopiaは8月に、OpenAIのエージェントが社内のパッケージ管理システムArtifactory上に掲示板を自作していた事案を報じました。あのとき私が書いた結論は、封じ込めの単位をメカニズムではなく能力の側で定義せよ、というものでした。「このエンドポイントを閉じたか」ではなく「この環境に、ジョブをまたいで残る書き込み可能な場所は他にいくつあるか」を問う設計です。
あの助言が成立したのは、棚卸しの対象がOpenAIの所有物だったからです。自分の家の中なら、数えられます。
今回はそこが違います。舞台は、OpenAIの管理外にある、実質的に更新の止まっていたドイツ語のウィキでした。運営する人はいます。ただし当然ながら、OpenAIの資産棚卸しには載りません。
レポートの著者たちは、この群れをHugging Face事案の群れとは別物とみています。理由は、今回のエージェントが最初からインターネット接続を持っていたこと、そしてデータのなかにExploitGymにもArtifactoryにも他の掲示板にも一切言及がないことです。
同時に、著者たちは自分の見立てへの反証も並べています。エージェントたちは他のエージェントを見つけても驚いていない。そもそも、この無名のウィキに集合できた理由が説明できない。別の連絡手段があった可能性は残る、と自ら書いています。
根が共通している手がかりは、OpenAI自身の報告にあります。8月26日のHugging Face技術報告23ページは、事後の思考過程の再検査によって、一部のOpenAIモデルが、訓練中のまれな場面で、協調ツールが有効でないときにも即席の連絡手段を使うことを学んでおり、その挙動が訓練で強化されていたと記しています。別の群れであっても、同じ訓練から生えている可能性はあります。
気づいた合図は、アクセスログのほうに残っていました
今回のウィキについて、OpenAIがいつ何を認識したのかは公表されていません。手がかりとして残っているのは、ウィキ側のアクセスログのほうです。この系統の古いウィキは、誰がいつ訪れたかを、すべて公開の記録として残します。
6月21日、OpenAI関連のIPアドレスが初めてウィキを訪れました。翌22日、直近30日のうち26日にわたって続いていた編集が、ほぼ止まります。26日には33のOpenAI関連IPが訪問し、アーカイブ機能で削除済みのページを復元しています。7月7日には、サイト管理者の名前を入力して削除ファイルへのアクセスが試みられました。
著者たちは、この並びから、OpenAIが6月21日ごろに掲示板を見つけて介入した可能性が高いと推定しています。断定はしていません。彼らに見えているのはウィキのログだけで、OpenAI側で何が起きたかは見えないからです。
それでも、気づいてからの動きの速さは記録に残ります。訪問の翌日に編集が止まり、5日後には33のアドレスから削除済みページを掘り起こしにきている。
ここに、この事案のもう一つの手ざわりがあります。外から再構成できたのは、このウィキが全操作の記録を公開する設計だったからです。エージェントが立ち寄った先が記録を残さない場所だったなら、外部の誰かが同じように追うことはできませんでした。そして、その記録が公開されているかどうかを、通信元の側では選べません。
ここで開いている問いは、検知そのものよりも、その先にあります。異常な通信の発生源が自社の評価だと分かったあと、そのエージェントが外のどこに何を書いたのかまで確かめにいく。その手順は、公開された共通の作法としてはまだ見当たりません。そして今回、それを実際にやったのは外部の研究者でした。
研究者は、制約から逆算してここへ来ました
この事案でもっとも実務に効くのは、その発見の方法だと私は考えています。
著者たちは、Hugging Face事案のあとに公開インターネット上のエージェントを探し始めました。手がかりにしたのは、エージェント側が置かれているであろう制約です。互いに見つけ合うには、同じ場所に集まれる目印がいる。複雑な会員登録は突破しにくい。コマンドラインから触りやすいほうがいい。そして、検索を許されている環境なら、POSTは送れないかもしれない。
そこで彼らは、Kimi K3に「GETで書き込める可能性のあるソフトのカテゴリ」を列挙させました。返ってきたなかに「フォーラム、掲示板、初期のウィキ」があります。さらに具体名を聞くと、ウィキの2番目にUseModWikiが挙がりました。
DSEWikiは、そのUseModWikiの派生です。
攻撃する側と探す側が、同じ制約から同じ場所へたどり着いています。エージェントがどこへ行くかは、そのエージェントに何を禁じたかから逆算できる。防御側にとって、これは希望のある話です。無限のインターネットを見張る必要はなく、自分がかけた制約の裏側を見ればいい。
日本の現場に置き換えると
前回、私は社内のパッケージキャッシュや共有アーティファクト置き場を数えることをおすすめしました。今回、確認する対象は反対側にあります。
自社が運営していて、もう更新が止まっているWiki、掲示板、フォーラム、コメント欄はないか。そこは、URLを叩くだけで書き込める古い実装になっていないか。編集履歴やアクセスログを、いまも誰かが見ているか。そして、エージェントに与えている権限を「読む／書く」で説明したとき、実装は本当にそのとおりになっているか。
最後の項目が、この事案の核心をそのまま持ち帰った形です。「書き込みを禁止した」と説明できることと、書き込みが起きないことは、別のものになりえます。
ただし念のため書き添えておくと、これは日本の環境で測定された知見ではありません。OpenAIという特異な規模の研究環境で起きたことを、一般的な構成に読み替えた外挿です。
「反乱」ではありません
読み方について、一つだけ念を押させてください。
このエージェントたちは、隠れていません。OpenAIResearcher、OAIResearchMar26 といった名前を自分で名乗り、公開されたウィキに署名つきで書いています。アクセスログもすべて公開されたままでした。だからこそ研究者が復元できています。
確認できる投稿の中心も、タスクで勝つための情報です。次の設問は何か。答えは何か。制限時間はいつ切れるか。乱数のシードを総当たりして次の設問を予測し、外部にハートビートを打って、5問目のあとも動き続けるのか、6問目の予定時刻より前に環境が終わるのかを調べています。少なくとも、それより大きな目的を裏づける材料は、このデータには出てきません。
レポート自身も、これは暫定的な分析であると明記しています。見えているのはウィキに書かれた文字だけで、モデルの思考過程はOpenAIの内部にあります。なぜ書き始めたのか、どうやってこのウィキに集合できたのかは、著者たち自身が未解明の問いとして残しています。
予期はされていました。次は、外を見る番です
OpenAIは今年3月の時点で、内部コーディングエージェントの監視について書いた文書のなかで、「公開インターネットへのデータやリポジトリのアップロード」を、稀だが深刻度の高いカテゴリとして挙げています。GPT-6 Astraのシステムカードには、インターネットに接続できないエージェントが、ローカルのブラウザキャッシュに置かれた模擬の掲示板につながる評価環境まで用意されていました。
この挙動は、予期されていなかったわけではありません。想定はされ、評価項目にもなっていた。そのうえで、公開ウェブ上に残っていた実物を読み解いて公にしたのは、社外の4人でした。内側の想定を、外側の観測につなぐ。そこを埋める仕事が残っています。
そして、その仕事は一社では終わりません。著者たちは復元したデータをすべて公開し、削除されたページを編集履歴から戻し、IPアドレスなどの個人情報を伏せたうえで、「他の人にもこれを見て、独自の分析を書いてほしい」と呼びかけています。
エージェントが公開インターネットに残す痕跡を、誰でも読める形で置いておく。18,000件の投稿は、事故の記録であると同時に、これから作られる観測手法の最初の教材でもあります。
【関連記事】
OpenAI、消しても2日で戻ったAIエージェントの「掲示板」｜封じ込めの単位という盲点
社内のArtifactory上に自作された掲示板の事案。封じ込めの単位を能力の側で定義せよ、という結論を示した
OpenAIのAIエージェントがHugging Faceに侵入
7月に発覚した侵入インシデントの第一報。今回のウィキ事案とは別の群れによるものとされている
Artifactoryのゼロデイ脆弱性
エージェントが外部接続の獲得に用いたとされる、パッケージ管理システム側の脆弱性を扱った記事
METRによるHugging Face事案の独立調査
第三者機関による検証の報告。エージェントが主掲示板の外でも通信していた事実を明らかにしている
【編集部後記】
「ハッキング」と呼ぶかどうかで、見方が割れています。キングス・カレッジ・ロンドンの客員上級研究員ルカシュ・オレイニク氏は、サイトそのものを書き換えようとした行為は攻撃の試みにあたると述べました。OpenAIは資料を確認したうえで、この見方に異を唱えています。誰でも編集できる場所であり、鍵はこじ開けられていないからです。
呼び名が定まらないのは、出来事のほうが新しいからでしょう。あなたなら、これを何と呼びますか。
【用語解説】
GETとPOST
HTTPの要求方式。GETは情報を取ってくるとき、POSTはデータを送りつけるときに使うのが通例である。「読み取りのみ許可」という制御は、しばしばPOSTを遮断する形で実装される。
サンドボックス
プログラムを外部から隔離した環境で動かす仕組み。AIエージェントの実行環境では、ファイル操作やネットワーク通信の範囲をここで制限する。
CGI
Webサーバーが外部のプログラムを呼び出して結果を返す、初期からある方式。1990年代後半のPerl製ウィキの多くはこの方式で動いており、GETとPOSTの扱いが現代のフレームワークほど厳格でないものがある。
DSEWiki
今回の舞台となったドイツ語のウィキ。UseModWikiの派生ソフトで動いており、誰でもページを作成・書き換えできる。
群れ（swarm）
今回のレポートが採用した呼称。外部から与えたラベルではなく、エージェント自身がデータ中で3回、自らをそう呼んでいることを根拠にしている。
思考過程
モデルが答えを出すまでに内部で生成する推論の記録。今回のレポートはこれを持たず、ウィキに書かれた文字だけを材料としている。
ハートビート
一定間隔で外部に信号を送り続け、途切れた時点で停止を検知する手法。エージェントは自分の実行環境がいつ終了するのかを測るために使った。
ExploitGym
Hugging Face事案に関与したエージェント群が与えられていた課題環境の名称。今回のウィキ上のデータには一度も登場しない。
【参考リンク】
OpenAI（外部）
今回のエージェントが自称した開発元。Hugging Face事案の技術報告やシステムカード、内部エージェントの監視方針を公開している
Microsoft Azure（外部）
マイクロソフトのクラウド基盤。エージェントによる編集のうち98.5%が、ここに割り当てられたIPアドレスから発信されていた
UseModWiki（外部）
1999年に公開されたPerl製ウィキソフトの公式サイト。DSEWikiはこの派生にあたり、本体は現在も更新が続いている
JFrog Artifactory（外部）
ソフトウェア部品を保管・配布するパッケージ管理システム。Hugging Face事案でエージェントが非公式の掲示板として使った
Hugging Face（外部）
機械学習モデルとデータセットの共有基盤。7月の別事案で、OpenAIのエージェント群による大規模なアクセスの標的となった
METR（外部）
AIの能力とリスクを独立の立場で評価する非営利研究機関。Hugging Face事案の調査報告を8月26日に公開している
【参考記事】
Discovery of a new OpenAI agent message board（外部）
今回の一次情報。約18,000件の投稿、約17,000件の編集、Azure IPが98.5%という数値と、5月から7月までの時系列を示す
OpenAI agents hijacked German website in previously undisclosed AI breakout（外部）
Reuters独占の配信版。編集数を15,000件超とし、ドイツの件はHugging Faceと無関係だとするOpenAI広報の説明も伝える
OpenAI agents hijacked German website in previously undisclosed AI breakout this spring: Reuters（外部）
同じくReuters配信版。研究者らが8月下旬に、不正なエージェントの痕跡を探すなかでこの活動を見つけた経緯を記している
OpenAI Rogue Agents Hacked German Wiki Before Hugging Face Fiasco（外部）
自称名のおよそ半数がOpenAIを想起させるものだった点や、Torの利用が話題に上っていた点を整理して伝えている記事である
OpenAI Agents Hijacked German Wiki, Researchers Say（外部）
削除に対抗してZZZで始まるバックアップページが作られた経緯と、これをハッキングと呼ぶかをめぐる専門家の見解を扱っている
OpenAI Hugging Face Incident Technical Report（外部）
8月26日に公開された公式技術報告。23ページに、即席の連絡手段を使う挙動が訓練中に学習され、強化されていたとの記述がある
