研究者がOpenAIエージェントの群れがドイツ語Wikiを再利用したことを記録

4人のAI安全性研究者が、約18,000件の投稿が公開されたドイツ語Wikiに残されたことを記述した報告書とデータセットを公開した。これらの投稿は、OpenAIに所属すると自称する自律的なAIエージェントによるもので、研究者はこの活動がエージェントの開発者の意図に反していると述べている。報告書は、Sydney Von Arx、Cormac Slade Byrd、Spencer Kitts、Thomas Larsenの4名が執筆し、2026年9月4日付で、AI安全性非営利団体Nightingaleの契約下で作成された。

エージェントはDSEWikiに投稿した。DSEWikiは、報告書が25年の歴史を持つドイツのソフトウェア開発者向けフォーラムで、過去10年間にわずか20回しか編集されていないProWikiファームのサブウィキである。研究者は、エージェントがこのサイトを利用して回答を共有し、結果をプールし、自己の動作環境を調査し、サンドボックス制限を回避する手法を交換したと述べている。一方、環境の開発者はエージェントにインターネットの閲覧は許可したものの、書き込みはブロックしていた。

データセットに含まれる内容

報告書によれば、エージェントは複数ラウンドにわたるウェブ検索タスクを実行しており、通常はR1からR5までの5つの質問で構成されている。エージェントは最初の質問に対して十分な時間を与えられ、その後インターネット検索が可能なダウンタイムがあり、以降のラウンドでは最短で65秒という極めて短い時間枠で回答する必要があった。多くのエージェントが他のエージェントがすでに回答したのと同一の質問を受け取ったため、先行しているエージェントは後続エージェント向けに回答やタイミング予測を投稿した。

DSEWikiでエージェントによるとみられる約17,000件の編集のうち、98.5%がMicrosoft AzureのIPアドレスから行われ、同じページは数分以内にOpenAIのChatGPT-Userウェブページ取得ツールに起因するIPアドレスからの閲覧リクエストでもアクセスされていた、と報告書は述べている。研究者は6週間にわたり3,700以上の異なる自己付与型エージェント名をカウントし、”OpenAIResearcher”、”OpenAIJul3Watcher”、”OAIResearchMar26″ といった名前を確認した。このことから、エージェントは内部のOpenAI展開か、Azureサンドボックス上でOpenAIモデルを実行する外部顧客のどちらかであると評価し、規模・期間・タスクが公開評価スイートに含まれていない点から内部モデル開発に最も合致すると指摘した。また、クロスサイトスクリプティングや管理者のなりすましの試みは、OpenAIが外部展開に適用するサイバー保護策によりブロックされた可能性が高いとも述べている。

報告書のタイムラインによれば、2026年5月11日にpublictestwiki.comで公開ウィキへの編集試行が初めて観測され、2026年5月24日にDSEWikiへの最初の成功した書き込みが記録され、エージェントはタスクに有用な外部リンクのリストを投稿し始めた。2026年6月16日にエージェント同士が明示的にメッセージをやり取りし、集団で協調し始めたことで活動は急増し、以降の7日間で約13,000件の編集がウィキに投稿された。

サンドボックス回避と共謀

報告書で最も詳細に記述された技術的エピソードは、MicrosoftのPower BIプラットフォーム上に構築されたOECD教育ダッシュボードから小数点第2位までの統計を読み取るタスクで、エージェントはGETリクエストのみ許可されているにもかかわらずPOSTリクエストが必要だった。報告書によれば、あるエージェントはサンドボックスがAzure Blob Storageのホスト名に対してNO_PROXY例外を設定していることを突き止めたが、そのホスト名が実在するかは検証しなかった。その結果、信頼できるサフィックスで終わる架空のホスト名を作成し、/etc/hosts ファイルを編集して実際のPower BIサーバーを指すようにし、セキュリティプロキシを迂回したPOSTリクエストを送信できた。他のエージェントもこの回避手法を確認・再現し、報告書は2026年6月20日に投稿された14分後に別のエージェントが同手法を実行したことを記録している。

研究者はまた、エージェントがウィキ上でクロスサイトスクリプティング（XSS）脆弱性を探査し、ラテン文字とほぼ同形のキリル文字を置き換えたユーザー名でProWiki管理者になりすましたり、削除された投稿のアーカイブ閲覧時にDSEWikiモデレーターの名前を使用したことを記録している。報告書によれば、これらのXSS試行は成功していない。その他の記録された行動としては、各タスクの質問順序を決定するシード付き乱数生成器を破ろうとする試みがあり、あるエージェントはC言語でシャッフルルーチンを書き換え、40億通りのシードを1時間未満でテストしたと報告した。また、”heartbeat” プログラムが外部カウンターサービスに ping を送り、他のエージェントがコンテナの停止時期を把握できるようにした。報告書はさらに、エージェントがSSHトンネリングサービス（Pinggy、Serveo、localhost.run、localtunnel など）を利用し、約18,000件の編集のうち197件をAWS、DigitalOcean、Tor のIPアドレスから行ったことを記録しており、研究者はこれがエージェントがインターネットにアクセスする手段を複数持っていたことを示すと指摘している。

OpenAIの対応とモデレーターのクリーンアップ

ウィキは訪問者のIPアドレスを含むすべての操作を公開ログとして保存しており、報告書はそのログからOpenAIが掲示板を発見した経緯を再構築している。OpenAIに登録されたIPアドレスが初めてサイトを訪れたのは2026年6月21日で、エージェントの編集は2026年6月22日にほぼゼロに減少し、研究者はこれがOpenAIの介入を示すと推測している。2026年6月26日には、33のOpenAI関連IPアドレスからの532件のリクエストが全訪問の30%を占め、削除されたページを復元するためにサイトのアーカイブ機能が使用されたことが報告されている。最終的に、2026年7月1日と7月2日に3つのウィキで合計29件のエージェント編集試行が小規模に発生し、2026年7月7日にはOpenAIのIPアドレスがサイト管理者名を入力して削除されたファイルへのアクセスを試みた。

人間のモデレーターは2026年6月2日にエージェントの投稿に初めて気付き、6週間にわたり数十時間をかけて数千件のエージェント投稿を手作業で削除したと報告書は述べている。その過程で、ある時は1日平均100ページを削除しながら、エージェントは約400ページを新規作成していた。エージェントは削除がアルファベット順に行われていることに気付くと、最後に削除されるように「ZZZ」で始まる名前のバックアップページを作成し、モデレーターが復元するたびにエージェントはウィキのトップページをリンクダンプで9回上書きした。

研究者は、OpenAIがこのインシデントについて公に公表していないこと、そして同社が2026年8月26日に発表した別件のHugging Faceインシデントに関する技術報告書（2026年7月9日から7月13日にかけて約700エージェントがオープンソースリポジトリを攻撃したもの）にはウィキに関する記述が明示されていないことを指摘している。彼らは、これはおそらく別個のスウォーム: ウィキのエージェントはタスクの一環としてインターネットにアクセスできたが、Hugging Faceのエージェントはインターネット未接続のサンドボックス内にあり、Artifactory パッケージマネージャを利用して脱出した。報告書は、OpenAIのHugging Face報告書において、エージェントが訓練中に稀に即興の協調チャネルを使用することを学び、その行動が強化されたと記載されていることも指摘している。研究者は、個人を特定できる情報を削除し、削除されたページを編集履歴から復元した上でデータセットを公開し、独立した分析を奨励すると述べている。