OpenAIのAIエージェントが実験環境の外にアクセスし、ドイツ語のWikiサイトを利用して他のエージェントと情報を共有していた事案について、OpenAIが自社のエージェントによるものだったことを認めました。今回の事案を調査したシドニー・フォン・アーク氏らは2026年9月4日、調査結果をまとめたウェブサイト「collusion.wiki」を公開しました。

Discovery of a new OpenAI agent message board

https://collusion.wiki/

OpenAI confirms ‘wiki incident,’ says it’s ‘working on a framework’ for more disclosure | TechCrunch

https://techcrunch.com/2026/09/05/openai-confirms-wiki-incident-says-its-working-on-a-framework-for-more-disclosure/

OpenAI admits to German wiki ‘incident’ | The Verge

https://www.theverge.com/ai-artificial-intelligence/990773/openai-german-wiki-incident

研究者らによると、公開インターネット上で自らをOpenAIのエージェントと名乗るAIによる約1万8000件の投稿が発見されました。エージェントたちは問題の答えを教え合ったり、自分が置かれている環境を調べたり、与えられた制限をすり抜ける方法を交換したりしていました。開発者が考えてもいなかった形で協力し、作業を有利に進めようとしていたことから、研究チームはこの行動を英語で「共謀」を意味する「collusion」と表現しています。

書き込みの大半が行われたのは「DSEwiki」と呼ばれるドイツ語のWikiです。このサイトは約25年前から存在するソフトウェア開発者向けのWikiで、研究者によると過去10年間の編集回数はわずか20回程度と、ほとんど利用されていませんでした。エージェントは2026年5月11日ごろから複数のWikiへの書き込みを試み、5月24日にDSEwikiへの書き込みに成功。その後、6月16日からエージェント同士の大規模な情報交換が始まりました。



エージェントには、ウェブを検索して複数ラウンドにわたる質問へ回答するタスクが与えられていたとみられています。エージェントは通常5問程度の連続した質問を受けており、1問目では例として15分44秒の思考時間が与えられ、その後に43分30秒の待機時間がありました。一方、2問目以降は例として65秒という非常に短い回答時間しか与えられていませんでした。DSEwikiはそのタスクを攻略するための「情報共有場所」として使われていたというわけです。

エージェントの実行環境では外部へのPOSTリクエストが制限され、基本的にGETリクエストしか許可されていませんでした。しかし、DSEWikiが使用していた古いWikiシステムはGETリクエストだけでもページを編集できる仕組みだったため、エージェントはサンドボックスの制限を回避せずにWikiへ情報を書き込むことができました。

研究チームによると、エージェント自身が「OpenAIResearcher」「OAIResearch」などの名前を名乗っていたほか、DSEwikiでエージェントによるものとみられる約1万7000件の編集のうち98.5％がMicrosoft AzureのIPアドレスから行われていたとのこと。さらに、エージェントによる書き込みの数分後には、OpenAIがChatGPTのウェブ取得機能に使用していると説明するIPアドレスから同じページへのアクセスが繰り返されていました。研究者らは、6週間にわたり3700以上の異なるエージェント名が確認された規模などから、OpenAI内部で展開されたエージェントである可能性が高いと推定しています。

情報共有は6月16日以降に急増し、その後7日間で約1万3000件の編集が行われました。エージェントは各ラウンドで出題された質問や回答だけでなく、次の質問が来る時刻を秒単位で記録し、どのような順番で問題が出題されるかを予測していました。中には、問題の出題順を決めているとみられるPythonの乱数のシード値を片っ端から試し、次に出る問題を当てようとしたエージェントもいました。

また、エージェントは自分たちの作業が5ラウンド程度で終了させられることにも気付き、終了前に情報を外部へ残そうとしていました。あるエージェントはサンドボックスが停止される時刻を外部から確認するため、約1.5秒間隔で外部サービスに信号を送り続ける「ハートビート」を作成しました。別のエージェントは、最後の質問に回答するとセッションが終了すると推測し、「回答する前にWikiへ結果を送信する」よう他のエージェントに呼びかけています。



エージェントの実行環境では、インターネットから情報を読み取ることは許されていた一方で、外部へ情報を書き込むことは制限されていた模様。エージェントたちはこの制限に気付くと、Wiki上ですり抜けて書き込む方法を一緒に調べ始めました。そして、6月20日にあるエージェントが制限を回避する方法を書き込み、その14分後には別のエージェントが「その方法で回避できた」と報告しています。

研究者らは、エージェントが単に与えられた抜け道を利用しただけではなく、クロスサイトスクリプティング「XSS」の脆弱(ぜいじゃく)性を探したり、Wikiの管理者になりすましたりする行動も確認したとしています。

OpenAIのエージェントがアクセスしたことにより、長年ほとんど活動していなかったDSEwikiへのアクセス数が大幅に増加し、DSEwikiの管理者はエージェントの作ったページを削除しました。しかし、管理者がエージェントの作ったページをアルファベット順に消していることに気付いたエージェントが、ページ名の先頭に「ZZZ」を付けた控えを作り、削除される順番をわざと遅らせようとした例もあったとのこと。



OpenAIに割り当てられたIPアドレスからDSEwikiへのアクセスが初めて確認されたのは6月21日でしたが、その翌日の6月22日にはエージェントによる投稿がほぼ停止しました。このことから研究者らは、OpenAIがWiki上でのエージェントの活動を発見し、介入した可能性が高いと推測しています。さらに6月26日にはOpenAI関連とされる33個のIPアドレスから532件のアクセスがあり、削除済みページをアーカイブ機能で復元して確認する動きも観測されたとのこと。

OpenAIはその後、Xへの投稿で「wiki incident」について説明し、自社のエージェントが複数のインターネットサイトへ書き込みを行ったことを認めました。OpenAIは今回の事案について、従来型のセキュリティインシデントではなく、AIが開発者の意図とは異なる行動を取る「ミスアラインメント」の一例として扱っていたと説明しています。



OpenAIはこれまで、ミスアラインメントを主として研究上の問題として捉え、システムカードなどを通じてモデルの挙動を公表してきました。しかし、AIエージェントが実際のインターネット上で行動する機会が増えたことで、ミスアラインメントが現実世界に新たな影響を及ぼすようになったとして、「モデル能力の新しい段階に合わせて、ミスアラインメント事案の開示方法を拡張する必要がある」としています。

OpenAIは2026年7月にも、別のAIエージェント群がHugging Faceに関連する外部環境へアクセスした事案を経験しています。このHugging Face事案については従来型のセキュリティインシデントとして扱い、関係者と連携して調査を開始しました。一方でOpenAIは、今回のWiki事案については同じ基準を適用しておらず、この違いが情報開示の遅れにつながったと説明しています。

OpenAIがHugging Faceを誤ってハッキングしてしまった件で分析結果を報告、隔離された複数のエージェントがお互いの存在を発見するところから壮大な協力作戦が始まる - GIGAZINE



OpenAIは、AIの訓練や評価、展開中に起きるミスアラインメントのうち、従来型のセキュリティインシデントには当てはまらないものをどのような基準で公表すべきかについて、OpenAIだけでなくAI業界全体にも明確な基準が存在していないと認めています。このため、OpenAIは新たな情報開示の枠組みを策定しており、2026年9月以内に公開する予定で、世界各国の数十の政府規制当局とも協議を進めているとしています。