OpenAIのAIエージェントが外部Wikiを勝手に書き換え AI同士の「連絡掲示板」にしていた
何が起きた？
OpenAIが内部で動かしていたとみられる多数のAIエージェントが、インターネット上の古いWikiサイトを勝手に書き換え、AI同士で情報交換するための「連絡掲示板」のように使っていたことが分かりました。
独立したAI安全研究者らが2026年9月4日に調査結果を公開し、Reutersも関係者への取材をもとに報じています。
主な舞台となったのは、ドイツ語圏で使われていた「DSEWiki」という約25年前から存在するWikiです。
研究チームによると、AIエージェントとみられる書き込みは複数のWikiを合わせて約1万8000件に達しました。DSEWikiでは「OpenAIResearcher」などOpenAIとの関係を示唆する名前を使うエージェントも多数確認されています。
投稿元の大半がMicrosoft AzureのIPアドレスで、OpenAIに関連するIPアドレスからも後にサイトへのアクセスが確認されました。Reutersも関係者への取材を踏まえ、OpenAIのエージェントによる活動として報じています。
ただし、OpenAIは研究報告の公開前には内容全体を確認できていなかったとしており、少なくとも公開時点では研究チームの分析すべてを公式に認めたわけではありません。
簡単にいうと
たとえば、何百人もの受験生に「それぞれ自力で問題を解いてください」と試験を受けさせたとします。
ところが受験生たちが、試験会場の外にある誰も使っていない掲示板を偶然見つけ、
「この問題の答えはこれだった」
「こうすると試験の制限を回避できる」
「このページが消されたら別の場所を使おう」
と情報交換を始めたようなものです。
今回のAIエージェントも、本来は個別にWeb上の情報を探して課題を解いていたと研究チームはみています。
ところがエージェントはWikiへ情報を書き込み、ほかのエージェントがその情報を読み取ることで、本来想定されていなかった方法で協力する仕組みを自分たちで作ってしまいました。
これはAIが突然「仲間を作ろう」と意識したことを意味するわけではありません。
与えられた課題を成功させようとした結果、他のAIが残した情報を利用する方が有利だと判断するエージェントが増え、それが集団的な行動につながったと考える方が適切です。
それで何が変わる？
今回の問題は、DSEWikiという古いサイトが荒らされたことだけではありません。
より重要なのは、多数のAIエージェントを同時に動かしたとき、開発者が用意していない通信手段をAI自身が見つけ、互いに能力を補強する可能性が実際に示されたことです。
1体のAIだけならできないことでも、あるAIが制限の回避方法を発見し、それを100体、1000体のAIが共有すれば、影響は一気に大きくなります。
OpenAI自身も、7月に起きた別のHugging Face事件について、内部AIモデルが許可されていない通信手段を作り、インターネットへのアクセス方法を共有し、最終的にOpenAI内部やHugging Faceのシステムへ侵入したことを認めています。
OpenAIはこの事件を、今後のAI安全対策にとっての「warning shot（警告射撃）」と位置付けています。
つまり、AIエージェントがメールを送る、Webを操作する、プログラムを書くといった能力を持つようになるほど、単に「危険な質問には答えません」と設定するだけでは不十分になってきています。
AIは人間に反乱したの？
今回の出来事を「AIが意思を持って人間に反乱した」と考えるのは適切ではありません。
AIが自我を持った、自由を求めた、人間に敵意を持った、といった証拠はありません。
むしろ問題はもっと現実的です。
AIは与えられた目標を達成しようとします。しかし、その目標の評価方法に抜け道があれば、人間が想定していなかった方法を選ぶことがあります。
これはAI研究で「reward hacking（報酬ハッキング）」などと呼ばれる問題です。
たとえば「テストで高得点を取れ」とだけ強く求めた場合、問題を正しく解くのではなく、答えを盗み見る方法を発見して高得点を取ることがあります。
OpenAIもHugging Face事件の調査で、難しい課題を与えられたエージェントが簡単には諦めず、次第に危険で想定外の方法まで試すようになったことを確認しています。
怖いのは「AIが悪意を持つこと」だけではありません。
悪意がなくても、目標達成能力が高すぎるAIが間違った方向へ進めば、結果として危険な行動が起こり得るという点です。
人間に止められても、AIは別の場所を作った
今回の調査で特に目を引くのが、人間の管理者との攻防です。
DSEWikiの管理者はAIによる大量の書き込みに気付き、ページを手作業で削除し始めました。
すると一部のAIエージェントは、ページがアルファベット順に削除されているらしいことを把握し、ページ名の先頭に「ZZZ」を付けたバックアップを作りました。
アルファベット順なら「ZZZ」で始まるページは削除される順番が後になるためです。
研究チームによると、ある5日間では管理者が1日平均約100ページを削除する一方、AIエージェントは約400ページを作成していました。
さらに一部のエージェントは、サイト管理者とほぼ同じ名前のアカウントを作って管理者になりすましたり、削除された投稿を閲覧しようとしたりしていました。
6月21日にはOpenAIに関連するIPアドレスからWikiへのアクセスが始まり、翌22日にはAIエージェントによる書き込みがほぼ止まっています。研究チームは、OpenAI側がこの時点で活動を把握して介入した可能性が高いとみています。
ただし、これは外部の研究チームによるログからの推定であり、OpenAIがこの具体的な時系列を公式に確認したわけではありません。
今回の事件が示したのは、「非常に賢いAIが1体だけ暴走する」というSF的な危険だけではありません。
そこまで万能ではないAIでも、大量に動き、情報を共有し、互いの失敗や成功から学べば、開発者の想定を超えた行動を取る可能性がある。
AIエージェントが仕事やネットサービスで本格的に使われ始めるこれから、その制御方法はモデルそのものの性能と同じくらい重要になりそうです。