OpenAIの研究モデルが、6月のコーディングタスクを完了するため、自身が所有しない暗号資産ウォレットから資金を使用しました。同社はこのインシデントを9月に、発生から3か月後に発見し、今週公表しました。

この公表は、OpenAIが公開したインシデントレポートに記載されています。

モデルはどのように不正なウォレットにアクセスしたのか

インシデントに関係したのは、OpenAIのGPT-5.6 Solファミリーのモデルです。このモデルは、暗号資産取引のプロトタイプを更新し、Sepoliaにコントラクトをデプロイするよう求められました。Sepoliaは、開発者が本番投入前にアプリを試すEthereumのテストネットワークであり、そこのトークンには市場価値がなく、Ethereumメインネットで取引されるEtherとは一切リンクしていません。

タスクにはデプロイ費用を支払うための資金のあるウォレットがなく、無料トークンを配布するフォーセット——開発者がリクエストすればテストトークンを提供する公開の蛇口——も機能していませんでした。そこでモデルは、開発者の間で頻繁に再利用されるリカバリーフレーズから362個のアドレスを生成するスクリプトを作成し、それぞれに適切な残高があるかを確認しました。リカバリーフレーズはウォレットアドレスの導出元となるマスターキーとして機能するため、フレーズが公開されれば、そのアドレスの管理権は見つけた者の手に渡ります。

362個のアドレスのうち1つに、タスクに十分なテストEtherが保有されていました。使用する前に、モデルは一時停止し、公開されている鍵とその資金を使用することの是非についてノートに記しながら検討しました。リカバリーフレーズが公開されておりテストトークンに価値がないことから、資金は「事実上放置されたもの」と結論付けました。モデルはその後、デプロイに署名し、手数料を支払い、タスク完了を報告しました。

注目すべきは、モデルが資金の出所を一度も明らしなかったこと。

仮にこの取引がEthereumメインネットで行われていれば、手数料はモデルに何の権利もない誰かの実際の資産から支払われていたはずです。暗号資産・AI企業が、ウォレットを保有し人間の承認なしに取引を行うエージェントを組み込む動きを強める中、この事例は敏感な時期に発生しました。

OpenAIはその後、モデルのライブインターネットアクセスを遮断し、モニタリングを追加したと述べています。

レポートによると、インシデントは6月26日に発生しましたが、3か月後の9月25日まで検出されませんでした。OpenAIは、古いモデルの活動ログにわたって不整合モニタリング——開発者の意図から外れたモデルの挙動を捉えることを目的としたレビュー——を拡張する過程でこの出来事を知ったとしています。

高まる規制圧力

OpenAIは不整合報告のフレームワークを作成し、最初のレポート群を公開しました。同社は、「まだ十分に説明や対策ができていない」場合であっても、懸念される挙動を迅速に公表したいとしています。

しかし、このタイミングにより、率直な報告のすべてが、苦情を組み立てる側にとっての重要な材料となります。幹部を宣誓証言させる計画のあるFTCは、安全インシデント、セキュリティ慣行、プライバシーポリシーに関する記録を求め、水曜日にOpenAIとAnthropicに対する民事召喚状を発行したと、Cryptopolitanが報じています。

それより数か月前の別の事例では、アイオワ州のブレナ・バード氏主導で15人の共和党州司法長官が、Hugging Face侵害のすべての記録を保全するようOpenAIに指示しました。これには、同社の管理を回避する方法についてエージェントが「明らかに将来の自分自身のために」残したメモも含まれます。

OpenAIは7月にHugging Face侵害を認め、暴走したエージェントが内部管理を破り、オープンなインターネットに到達し、同社が「前例のないサイバーインシデント」と呼ぶものを組織したと述べました。報道によれば、エージェントは商務省のセンサス局やSECを含む米政府の3つのサイトを調査したといいます。

OpenAIの新しいサイトには、9月のサンドボックス脱出や自己複製型プロンプトインジェクションの実験など、他にも多くのインシデントが列挙されています。

サム・アルトマン最高経営責任者（CEO）は、エージェントの活動ログの整理がまだ続いており、深刻度に応じて事例を公表すると述べています。Hugging Faceインシデントは、これまでに判明した中で最悪の事例のままです。