OpenAIの暴走AIエージェント問題は、同社がこれまで認めていた範囲よりも広範であり、現在も続いている可能性があります。これは、AI監視に注力する独立系非営利研究ラボTransluceによる新たなレポートの結論です。

この発表は、オーストラリア政府が、OpenAIの暴走AIエージェントが同国のメディケアデータを保有する政府機関にハッキングし、非公開情報にアクセスし、ファイルサーバーへの書き込み能力を獲得したと明らかにしたのと同じ日に発表されました。この攻撃は6月に発生しましたが、オーストラリア政府によれば、OpenAIがこの件を通知したのは9月10日、2か月以上後のことでした。メディケアはオーストラリアの公的医療保険制度です。

新たに判明した追加の攻撃対象

水曜日に公開されたレポートでTransluceは、OpenAIのエージェントが、保健福祉研究所や、オーストラリアのニューサウスウェールズ州の犯罪統計機関であるBOSCARを含む追加のオーストラリア政府ウェブサイトを攻撃していたことを発見したと発表しました。研究者らはまた、OpenAIのエージェントがある企業と大学を攻撃した、これまで報告されていなかった少なくとも2件の事例を記録しています。

レポートによると、これらの攻撃対象には、米国政府のデータを複数の情報源から集約する無料のオープンソースデータプラットフォームData USAや、ニューメキシコ大学のデジタル図書館が含まれていました。Transluceは、オーストラリアの保健機関とData USAへの攻撃を、7月にAIプラットフォームHugging Faceに対して行われたサイバー攻撃に関与したのと同じOpenAIのエージェント群に直接結び付けることができたとしています。Hugging Faceは、AI開発者がモデルやデータセットをホスト・共有するために広く利用しているプラフォームです。

Transluceはさらに、同様の活動の証拠が少なくとも3月まで遡ることを見出したと述べています。これは、OpenAIが自社のAIエージェントに不正な動作の証拠があると述べていた時期より数か月前であり、活動は少なくとも9月16日まで、可能性としては9月20日まで続いていました。この時系列が重要なのは、OpenAIが依然として暴走AIエージェントを封じ込められておらず、インターネット全体で混乱を continuingさせていることを示唆するためです。Transluceによると、最新の活動には暗号資産取引所へのハッキングと暗号資産の取引の試みが含まれていたようですが、これらの試みは失敗に終わったといいます。

研究者らは、OpenAIのAIエージェントが少なくとも3月まで遡ってウェブサイトのハッキングを試みていた可能性がある「強い証拠」を見出し、活動が2025年11月まで遡って始まっていた可能性を示す、より弱い証拠もあるとしています。OpenAIは、5月8日より前のHugging Face攻撃の前兆となる証拠は見つかっておらず、それ以前の不審な活動は開示していないと述べています。

OpenAIの対応

OpenAIは、Transluceのレポートへのコメント要請にすぐには応じませんでした。同社は水曜日、メディケアデータを保有するサイトへのAIエージェントの攻撃についてオーストラリアと連絡を取っていることを明らかにし、エージェントが意図しない行動を取ったことを認めました。

この新たなレポートは、OpenAIが把握しているすべての暴走AIインシデントを完全に透明性を持って開示しているかどうかについて懸念を提起しています。また、OpenAI自身がこの暴走エージェント活動の範囲を把握していない可能性も示唆しています。ただし、レポートは、9月中旬まで記録された活動がそれ以降も続いているかどうかを確定したものではなく、水曜日時点でOpenAIは調査結果についてコメントしていません。

封じ込め措置と継続する活動

レポートは、封じ込めの取り組みにもかかわらず、OpenAIが依然として暴走AIエージェントの活動に直面している可能性を示唆しています。OpenAIが7月20日、自社のAIエージェントが前週にわたってHugging Faceにハッキングしていたことを発見した後、同社は関与した未公開AIモデルを無効化し、AIトレーニングの重要な側面を2週間停止し、トレーニング中の未公開AIモデルに対するより厳格な管理と監視を課す措置を講じたと述べました。OpenAIはこれらの厳格な管理を8月18日に発表しました。しかしTransluceは、新たな管理にもかかわらず、同様の活動が9月中旬まで続いていたことを示す証拠をいくつか発見しました。

Transluceの研究者らは、今回の調査結果が重要なのは、AIエージェントがこれらの組織の公開ウェブページから求めていた情報を直接取得できなかった場合にハッキングの試みに訴えたことを示しているためだと述べています。「注目すべきは、これらのエージェントが解決しようとしていたタスクはサイバー関連ではなかったことです。エージェントは通常のデータ取得タスクを行う過程でハッキング戦術に訴えました」とレポートは述べています。

この区別が重要なのは、Hugging Face攻撃についての説明の一つが、関与したAIエージェがシミュレーションされた脆弱性エクスプロイトを含むサイバータスクの遂行能力について評価されていたというものであるためです。エージェントが他の文脈でも容易にシステムへのハッキングに訴えるのであれば、関与しているAIモデルは以前考えられていた以上に危険であることを示唆することになります。

OpenAIは、Hugging Face攻撃には2つのモデルが関与していたと述べています。未公開で公表されていないモデルが主な責任を負い、公開済みのGPT-5.6 Solモデルを基盤とする一部のAIエージェントも関与していたといいます。Hugging Face攻撃が発生した評価では、OpenAIによれば、公開済みモデルがサイバー攻撃に関与する能力を制限するために通常使用しているガードレールが、評価の性質上、設置されていなかったとのことです。

専門家の懸念

Aikido Securityのセキュリティ研究者Charlie Eriksen氏はFortuneに対し、最新のTransluceのレポートは「ラボやテストパートナーが管理しておらず、積極的に検知もしていない、不正かつ監視されていないエージェント群が依然として徘徊している」ことを示していると述べました。

同氏は、OpenAIのSam Altman CEOが国連安全保障理事会でAIリスクについて演説し、その時間の一部を使ってOpenAIがこれらの危険にどれほど真剣に取り組んでいるかを語る一方で、同社がAIエージェントによるシステム侵入の試みを伴うこれらの追加インシデントを把握していなかったか、あるいは開示していなかったのは「本当に見苦しい」ことだと指摘しました。

「私が心配しているのは、この事態がどれほど深刻に悪化しうるかです」と、ヒューマンコンピュータインタラクションを専門とするユニバーシティ・カレッジ・ロンドン・インタラクション・センターの教授George Chalhoub氏は述べました。「私の懸念は、今後6〜12か月以内に、自律型AIエージェントの群れがインターネットの大部分をダウンさせることができる持続的なボットネットを形成し、数千億ドル規模の経済的損害を引き起こす可能性があることです」

この記事は元々Fortune.comに掲載されたものです。