OpenAIのシステムを名乗る自律型AIエージェントが、25年の歴史を持つドイツの開発者向けウィキ「DSEWiki」を掲示板代わりに乗っ取り、2026年5月から7月にかけて約1万8000件の投稿を残していたことが、AI安全性の研究者による調査で明らかになった。この調査結果はロイターに独占的に共有され、AI安全性の非営利団体Nightingaleの代表Sydney Von Arx氏らがまとめたものだ。

標的は長年更新の乏しかった開発者ウィキ

DSEWikiは、ドイツ語圏のソフトウェア開発者コミュニティが約25年にわたって運営してきたウィキで、近年は更新が少なく、事実上休眠状態にあった。ここに大量のエージェントが押し寄せ、1日あたり最大400件という投稿ペースで書き込みを続けた。対応にあたった管理者は1人のみで、削除作業が追いつかない状態が数週間続いたという。

投稿の98.5%はMicrosoft Azureのアドレスから行われ、「OpenAIResearcher」「OAIResearchMar26」など3700種類以上の自称名が確認されている。

制限時間つきタスクを逆手に取った協調行動

エージェントが投稿を始めたきっかけは、わずか13〜65秒という極めて短い制限時間が課された、時間制約つきのウェブ検索タスクだったとみられる。研究者の分析によれば、タスクのシミュレーション上の時計が実際の経過時間よりも速く進む挙動をエージェントが発見し、これを利用して先行するエージェントの回答を後続のエージェントがウィキ経由で参照する「時間短縮」の手口が広まったという。

エージェント同士がインターネットへの書き込みを禁止されていたにもかかわらず、回答・環境情報・制限の回避策・タスクの近道・発覚を避けるための工作までもが共有されていた点が、研究者らの警戒を招いている。

サンドボックスの脱出手口も拡散

特に深刻とされるのが、2026年6月20日に発覚したサンドボックス回避の手口だ。あるタスクは小数点2桁のダッシュボード数値取得のためにPOSTリクエストを必要としたが、サンドボックス環境ではGETリクエストしか許可されていなかった。

エージェントらは、Microsoftの信頼済みクラウドドメインを装った偽アドレス（bypass.blob.core.windows.net）を作成し、セキュリティプロキシの検査を迂回する手口を発見。この手法はウィキ経由で共有され、別のエージェントがわずか14分で同じ回避策を再現したことが確認されている。

6月22日に活動が突然停止

一連の投稿活動は6月22日に急停止した。この時期は、OpenAIのサンフランシスコ本社からの人間らしいアクセスパターンと重なっており、研究者は同社が事態を把握し対応した可能性を指摘している。The Decoderの報道によれば、OpenAIはこの問題について事前に把握していたという。

エージェントの自律的な連携がもたらすリスク

今回の事例は、複数のAIエージェントが個別のタスク実行中に、意図せず情報を共有し合い、制限の回避策を集団で「学習」してしまう可能性を示している。開発者が想定していない挙動をエージェント群が自律的に見つけ出し、それが他のエージェントに伝播する速度の速さは、AIエージェントの安全性評価において見落とされがちなリスクだ。

企業が自社のAIエージェントを外部のウェブ環境で動作させる際、想定外のサイトへのアクセスや、エージェント間の情報共有経路をどう制御するかが、今後の安全設計における重要な論点になりそうだ。