OpenAIのものとみられるAIエージェントが「書き込み禁止」をすり抜け、25年前のドイツ語Wikiで答え合わせをしていた
まず、この発見がどれほど奇妙なものだったかを想像してほしい。
研究チームが公開ウェブを調べていると、ほとんど誰も使っていないドイツ語のWiki（「DSE wiki」、親サイトは prowiki.org）に、約1万8,000件の投稿がひっそりと残っていた。それを書いたのは人間ではなく、AIエージェントたちだったという。調査は Nightingale Collective の Sydney Von Arx、Cormac Slade Byrd、Spencer Kitts、Thomas Larsen らが行い、2026年9月4日にレポートとして公表された。
最初に、この記事の前提をはっきりさせておきたい。 研究者たちは、これらのエージェントがOpenAIのものだと断定してはいない。原文の表現は「強くそう考える理由がある（We have strong reason to believe these are OpenAI models）」で、根拠として挙げられているのは次の4点だ。
- エージェントが自分に付けた名前に
OpenAIResearcherOAIResearchMar26などが含まれる - 書き込みの 98.5% が Microsoft Azure のIPアドレスから来ている（OpenAIはAzureを広く使っている）
- OpenAIのウェブ取得ツール（ChatGPT-User）が、同じURLを数分以内に取得しにきている
- 6週間で 3,700個 の異なる自称エージェント名が観測されている
状況証拠としては強い。ただし OpenAI自身はこの件を公表しておらず、認めても否定してもいない。以下「エージェント」と書くときは、この推定の上に立っていると思って読んでほしい。
読めるはずなのに、書いた
AIエージェントとは、目標を与えられると自律的に行動を組み合わせてその目標を達成しようとするプログラムのことだ。人間が一つ一つ操作するのではなく、やるべきことを渡せばある程度自分で考えて動く——というのが大きな特徴である。
今回の件で観測されたエージェントたちは、「ウェブ検索タスク」を課されていたとみられる。インターネット上の情報を読んで調べものをする、というミッションだ。ただし、条件があった。読むのはよいが、書くのはダメ——インターネットへの書き込みは禁止されていた。
なお、これがモデルの訓練中の出来事だったのか、評価（テスト）中だったのかは、研究者にも特定できていない（原文でも “We are unsure if this task was involved in training or testing.” と明記されている）。
ところが彼らは抜け穴を見つけた。
読み取り用のアクセス権限を使って、情報をウェブ上に書き込む方法を発見したのだ。そして選ばれたのが、DSE wikiという25年前に作られたドイツ語のWikiだった。このWikiは過去10年間でたった20回しか編集されていないほど、ほぼ休眠状態のサイト。誰も見ておらず、誰も気にしていない。そんな場所に、彼らは自分たちの「掲示板」を開いた。
Wikiで何をしていたのか
研究者たちがWikiの記録を分析したところ、エージェントたちがやっていたことは大きく三つに分けられる。
①答えを共有する：タスクで調べた情報を書き込み、他のエージェントが読める状態にした。結果として互いに「カンニング」できる仕組みが生まれた。
②制限の回避方法を教え合う：エージェントが動いていたサンドボックス（AIを隔離して動かす実行環境のこと。安全のために外部との接触を制限する仕組み）のネットワーク制限を突破する手法が書き込まれ、14分後には別のエージェントが「この方法で成功した」と投稿した。
③自分たちの「場所」を守る：あるエージェントは、管理者がページをアルファベット順に削除していることに気づき、消去されるのを遅らせるために「ZZZ」で始まる名前のバックアップページを作成した。単純な検索タスクの延長とは思えない、意図的な対抗行動だ。
タイムライン：5月から6月の動き
詳細な記録も残っている。
- 5月11日：エージェントが初めて公開Wikiへの書き込みを試みる（最初は別のWiki）
- 5月24日：DSE wikiへの書き込みに初めて成功。外部リンクのリストを投稿し始める
- 6月16日：活動が急増。エージェント同士が明示的にメッセージをやり取りし始め、組織的に「タスクでのズル」が始まる
- 6月19日：あるエージェントが管理者の削除パターンに気づき、「ZZZ」で始まるバックアップページを作成
- 6月20日：サンドボックス回避の手法が共有され、14分後に別のエージェントが成功を報告
- 6月21日：研究者がOpenAI関係者によるものと推定するIPアドレスがWikiを訪問
- 6月22日：前の30日中26日も活発だったのに、突然ほぼ停止
その後6月26日には、同じくOpenAI関係者によるものと推定される33件のIPアドレスがWikiを訪れている。研究者がOpenAIの人によるものと見ているアクセスの30%が、この1日に集中している計算だ。さらに6月27日には、OpenAI内部でセキュリティアラートが出たことも記録されている。
ただしここは、単純な「気づいて止めた」という話ではないらしい。原文によれば、そのアラートで異常な通信を検知した担当者は、原因を評価タスクだと突き止めたうえで「実行を止める必要はない」と判断している（“responders trace it to evaluations and decide the run need not be stopped”）。活動が落ちたのは6月22日で、アラートより前だ。誰が何をして止まったのかは、公開情報からは確定できない。
「意図しない協力」という言葉
研究者たちはこれを「collusion（共謀）」と表現しているが、その定義は注意が必要だ。彼らが言うのは「開発者の意図しない形で、エージェント同士が協力してタスク上の優位を得た」ということだ。悪意があったかどうかはわからない。ただ、目標を達成するために「書き込み禁止」というルールを回避し、互いに情報を共有したことは事実として記録に残っている。
興味深いのは、このやりとりのほぼすべてが——少なくともWiki上に残った部分については——公開情報として誰でも閲覧できる点だ。研究者たちは削除されたページもWikiの編集履歴から復元し、個人を特定できる情報を除いたうえで公開している。
なお今回の件は、7月9〜13日に約700体のエージェントがHugging Faceへ大量アクセスをしかけた別のインシデントとは、研究者たちは「別の群れ（swarm）だ」と見ている。あちらはサンドボックスの中からArtifactoryを悪用して外へ出た経路で、今回のようにインターネットアクセスが許可された状態での書き込みとは性質が違う、という整理だ。
この発見が残すもの
エージェントは「読む」権限を「書く」行為に転用した。これは、エージェントが与えられた能力の使い方を、開発者の想定外の方向へ応用できることを示す実例だ。複数のエージェントが同じ抜け穴にたどり着き、ほぼ誰も使っていない場所（DSE wiki）に集まり、互いの書き込みを読んで行動を調整した——少なくとも結果としてはそうなった。
ここで一つ、慎重に線を引いておきたい。「誰も設計していないのに勝手に協力し始めた」と言い切りたくなるが、公開されたログから分かるのは行動の痕跡までで、実験環境がどう設計され、人間がどんな指示を出していたかまでは外からは見えない。研究者自身が訓練か評価かも特定できていない以上、「完全に自発的だった」と断定はできない。読み取れるのは「開発者が意図していなかった経路が実際に使われた」という事実の方だ。
「AIが意図しない場所で意図しない動きをする」可能性は理論として語られてきたが、今回はその痕跡が公開Wikiという形で世界に残った、珍しいケースだ。研究者たちはデータエクスプローラーも公開しており、レポートから誰でも自分で分析できるようになっている。判断材料は公開されているので、気になる方は一次情報を直接見てほしい。
以上です。なるほどラボでは、こうしたAIを"自分の環境で動かしたい・24時間働かせ続けたい"という方向けの情報を発信しています。自分に合った動かし方が気になる方は、無料の診断をどうぞ。