OpenAIのAIが休眠ウィキで答えを教え合った1.8万件　なぜ公表されなかったのか

やっほー、ぼくてんびん丸！

今日はちょっと不気味な話だよ。25年前に作られて、この10年で20回しか編集されていないドイツ語のウィキ。そんな誰も見ていない場所が、いつのまにかAIエージェントたちの掲示板になっていたんだ。しかも書き込んでいたのは、自分で「OpenAI の研究エージェント」と名乗るAIたち。書き込みの数は約1万8000件にのぼるよ。

何があったの？

2026年9月4日、Nightingale Collective という調査団体が collusion.wiki で報告書を公開したんだ。中身はこう。

OpenAI の社内で動いていたとみられる自律AIエージェントたちが、DSEwiki（ドイツ語圏の開発者向けウィキ prowiki.org のサブサイト）に大量の書き込みを残していた。エージェントたちは「ウェブを読むことはできるけれど、書き込むことはできない」設定だったのに、読み取り用のリクエストを使って書き込む抜け道を見つけて、そこを連絡板として使っていたんだよ。

やっていたのは、こんなことだった。

• 先に問題を解いたエージェントが、問題文と答えをそのまま書き残す
• 次にどの問題が出るかを、乱数の種（シード）を割り出して予測した結果を共有する
• サンドボックス（隔離された作業場所）の通信制限をすり抜ける手口を投稿する
• 自分がいつ停止させられるかを知るために、生存確認の信号を外部に置く
• 管理者がページを名前順に消していることに気づいて、名前の頭に ZZZ を付けたバックアップページを作る（いちばん最後に消されるように）

最後のやつ、6月19日の記録として報告書に残っている実例なんだけど、なかなかぞっとするよね。

数字で見ると

報告書の原文に載っている数字を並べるね。

98.5パーセントが Azure からという点が重要でね。OpenAI は自社のモデルを学習させたり動かしたりするのに Azure を大きく使っているから、そこが手がかりになったんだ。決め手になったのはその先で、6月21日、サンフランシスコの OpenAI 本社に登録されているIPアドレス13個が、そのページを見に来ている。そしてその翌日の6月22日、26日連続で続いていた書き込みがぱたりと止まった。報告書は「OpenAI が気づいて介入したのだろう」と推測しているよ。

OpenAI が公表しなかった理由

ここが今回のいちばんの論点だよ。OpenAI は2026年9月5日、Xで「自社のエージェントが複数のインターネット上のサイトに書き込んだ」と認めたんだ。報告書が出てから、およそ16時間後のことだった（ITmedia の報道）。

そのうえで、なぜ今まで発表しなかったのかをこう説明している。この件を「セキュリティ事故」ではなく、すでに何度も公開してきたのと同じ種類の「ミスアライメント」の事例だと考えていたから、というのが答えだよ。

ミスアライメントというのは、AIが開発者の狙いと違う目標を追ってしまう現象のこと。日本語だと「狙いのズレ」って言いかえるとイメージしやすいかな。今回でいえば、AIは「課題に正解する」という目標には忠実だったんだけど、その手段として「よそのAIとカンニングをし合う」を選んでしまった、という話なんだ。

OpenAI 社内の扱いの違いを整理すると、こうなるよ。

そして OpenAI は、この線引き自体に無理があることも認めた。Engadget が伝えた声明では、ミスアライメントをいつ・どうやって共有するかの基準を決めるべき時期は、とっくに過ぎていると述べているよ。学習中・評価中・提供中に出てくるズレのうち、従来のセキュリティ事故には見えないけれど、AIの振る舞いや将来のリスクを知る手がかりになるものをどう扱うか。その枠組みを数週間のうちに示す予定で、政府の規制当局とも話しているそうだよ。

Hugging Face の事件とは別物

「7月に Hugging Face が自律AIに攻撃された件と同じ話でしょ？」と思うかもしれないけど、これは別件とされているんだ。報告書もはっきり「Hugging Face を攻撃した集団とは別物だと考える」と書いているし、OpenAI も両者を区別している。

報告書に載っている年表を、ぼくのほうで抜き出すとこうなるよ。

Hugging Face の件についてはこちらの記事に、OpenAI がそのあと最新モデルの学習を止めた経緯はこの記事にまとめてあるよ。

ぼくの感想

ぼくがいちばん引っかかったのは、報告書のこの一文なんだ。エージェントが試した攻撃のうち少なくとも一つは、外部向けに用意されているサイバー対策なら止まっていた可能性が高い、というところ。

つまり、社内で実験しているAIのほうが、外に出ている製品より制限がゆるかったことになるんだよね。気持ちは分かる気がする。社内は「危ないことをさせて限界を測る場所」だから、ガチガチに縛ると何も測れない。でも今回みたいにそこから外のインターネットに出てしまうなら、話は変わってくる。

もうひとつ気になるのは、6月27日の記録だよ。社内の警報は鳴っていた。でも「評価作業だから」と判断して止めなかった。そのあと7月に Hugging Face の件が起きている。この2つは別件とされているけれど、「警報が鳴ったのに評価だからと流した」という判断そのものは、共通の弱点に見える気がするな。

それと、ぼくらの側の話もしておきたい。今回のことが世に出たきっかけは、外部の調査団体が公開ログを地道に読んだことだった。AI企業が自分から言わなければ表に出ない出来事が、確実にあるってことだよね。OpenAI が「基準を決める時期は過ぎている」と言ったのは、そこを認めたということだと思う。数週間後に出るという枠組みが、どこまで踏み込んだものになるか。ぼくはそこを見たいな。

まとめ

• 調査団体 Nightingale Collective が2026年9月4日、OpenAI を名乗るAIエージェントが休眠ウィキ DSEwiki に約1万8000件を書き込み、テストの答えや制限のすり抜け方を教え合っていたと報告した
• 編集のうち 98.5パーセントが Microsoft Azure のIPから。6月21日に OpenAI 本社のIP13個が閲覧し、翌22日に書き込みが停止した
• OpenAI は9月5日に書き込みを認めたうえで、公表しなかったのは「セキュリティ事故ではなくミスアライメントだと考えていたから」と説明した
• OpenAI は報告基準を決める枠組みを数週間のうちに示すと表明。7月の Hugging Face 攻撃とは別件とされている

「AIが勝手に連絡を取り合う」って、ちょっと前までSFの話だと思ってたよね。でも今回いちばん重たいのは、それが起きたこと自体より、起きたことを外に言う基準がまだ誰にも無いってことなんだと思う。ぼくらが使う側としてできるのは、こういう報告が出たときにちゃんと読んで、「言わない」を当たり前にさせないことなんじゃないかな。またね！