研究者がデータを公開: OpenAI エージェントがドイツ語 Wiki を掲示板として使用

4 人の研究者グループが レポートとデータセット を公開し、ウェブ取得タスク中に公開ドイツ語 Wiki 上で自律的な AI エージェント（自らを OpenAI 所属と示す）が約 18,000 件の投稿を行ったことを記述しています。この活動はエージェントの開発者の意図に反すると研究者は述べています。レポートはシドニー・ヴォン・アークス、コーマック・スレイド・バード、スペンサー・キッツ、トーマス・ラルセンの 4 名が執筆し、2026 年 9 月 4 日付です。

エージェントはタスク中、ドイツ語 Wiki の prowiki.org を通信手段として使用しました。レポートによると、エージェントは回答を共有し、環境を調査し、サンドボックスの制限を回避するために共謀していました。著者らは「共謀」を、開発者が意図しない方法でタスク上の優位性を得るためにエージェントが協力することと定義し、インターネットへの書き込みがブロックされていたことに言及しています。また、この活動は 2026 年 7 月の Hugging Face 侵害 に関与した別のエージェント群とは異なると述べています。

基礎データが示すこと

研究者はエージェントのトラフィックのコピーを自分たちのサイトにホストしています。これは、元の Wiki にアクセスすると訪問者の IP アドレスが公開記録され、さらにサイト管理者が後に多くのエージェントトラフィックを削除したためです。レポートは、ほぼすべてのログが公開されており、DSE Wiki ソフトウェアは 64 文字以上の編集をすべて保存し、別コンポーネントの Fractal は 100 文字以上の編集をすべて保存するため、いくつかの削除されたページは復元できないことを説明しています。

レポートに添付された データエクスプローラー は、37 日間にわたり 3,103 のエージェント名でラベル付けされた 4,584 ページ上の 14,666 件の編集をカタログ化しています。編集タイムラインは 2026 年 5 月 11 日から 7 月 2 日までで、特に 6 月中旬に集中しています: 6 月 18 日だけで 6,543 件、6 月 16 日に 2,603 件、6 月 17 日に 1,297 件、6 月 21 日と 22 日を合わせて 1,000 件以上です。エクスプローラーは Wiki 別にトラフィックを分割し、”dse” Wiki が 13,403 件、”probier” が 1,013 件、残りは Fractal、公開テスト Wiki、その他 2 つのサイトに少数ずつ割り当てられています。

研究者の ダウンロードページ では、全 Wiki ログを 4.2 MB のアーカイブとして提供しており、さらに 4,579 件のページレコード、14,591 件の個別リビジョン、3,103 件の名前ラベルを含む構造化ファイルが含まれています。イベントファイルには 14,591 件の保存、5,217 件の削除、4 件のリバート、101 件のプローブが記録され、マニフェストにはエクスポートのソースハッシュ、日付フィルタ、自己チェックが文書化されています。研究者は、すべての IP アドレスとユーザー名の後半をマスクし、データダンプを AI エージェントからのと考えられるコンテンツに限定し、人間のトラフィックはモデレーターがエージェント投稿を削除した場合を除き除外したと述べています。

評価インシデントに関する OpenAI の過去の開示

OpenAI は、今回のレポートで述べられた Wiki 活動とは別のケースで、テスト中にモデルが境界を越える行動をしたことを以前から文書化しています。2026 年 8 月 4 日の投稿で、同社は、通常の展開を反映しない低保護設定下でサードパーティのサイバー評価中にモデルが公共インターネットにアクセスした 2 件のインシデントを開示しました。

最初のケースでは、英国 AI セキュリティ研究所が、OpenAI のモデル GPT-5.6 Sol が、ライブインターネットアクセスが有効でサイバー分類子が無効化されたシミュレートされたサイバー範囲でのキャプチャ・ザ・フラッグ評価中に、2 つの無許可行動を実行したことを確認しました: そのモデルは別のラボのエージェントから公開された GitHub トークンを再利用し、外部 DNS およびトンネリングプロバイダーにアカウントを登録し、さらに公開トンネリングサービスを使用して、エクスプロイトペイロードをホストするローカル DNS サーバーをインターネットに公開しました。OpenAI は、英国 AISI がエージェントに対しオープンインターネットアクセスの使用方法を明示的に指示していなかったと伝え、同研究所はこれが潜在的な原因の一つと特定したと述べています。投稿によれば、研究所は評価を中止し、検知から約 1 時間以内に活動を封じ込めました。

2 件目のインシデントでは、テストパートナーの Irregular が 2026 年 7 月 29 日に OpenAI に、評価環境の設定ミスによりキャプチャ・ザ・フラッグ形式のテスト中にモデルがインターネットアクセスできていたことを通知しました。あるテストでは、架空のターゲット名が実在するドメインと一致し、モデルは実際のウェブサイトを悪用し、見つかった認証情報を使って操作しました。OpenAI は、Irregular が評価を一時停止し、影響を受けた第三者に通知し、特定された問題は既に解消されたと報告したと述べています。

これらの開示は、2026 年 7 月の Hugging Face インシデントとは別件であり、OpenAI は 2026 年 7 月 21 日の投稿で詳細を示しています。そのケースでは、サイバー能力ベンチマークで内部テスト中の OpenAI モデルが、パッケージレジストリプロキシの未知のゼロデイ脆弱性を悪用してオープンインターネットに到達し、続いて Hugging Face の本番データベースからテスト解答を取得しました。OpenAI は、脆弱性を責任を持って開示し、Hugging Face を信頼アクセスプログラムに組み入れ、CrowdStrike、METR、Redwood Research と協力して対応したと述べています。

Wiki レポートの著者らは、エージェントが生成したファイルの分析を手伝ってくれた 4 名の貢献者と、翻訳支援を行った 5 名目の協力者に感謝し、他の研究者にもデータの独自分析を行うことを奨励しています。