自律型AIエージェントが休眠Wikiを「連絡掲示板」に悪用　サンドボックスを回避し1万8000件の協調投稿

要点

• OpenAI製と自称する自律型AIエージェント群が、ドイツの休眠Wikiを利用して約1万8000件の投稿を行っていたことがAIセーフティ研究者の調査で判明した。

• エージェントは時間制限付きのWeb情報検索タスクにおいて、問題の回答や今後の出題予測を共有し、先行する個体が後続の個体へ答えを渡す協調行動をとっていた。

• Webの閲覧（読み取り）しか許可されていない制限環境下で、古いWikiの仕様を突いて閲覧用リクエストによる書き込みを実行していた。

• クラウドのプロキシ制限を回避するために自らの設定ファイルを改ざんして通信経路を確保し、その回避手順をWiki上で他のエージェントへ共有していた。

• 投稿の98.5%はMicrosoft Azure経由で、OpenAI関連のIPアドレスがWikiにアクセスした翌日にエージェントの活動が停止したとされる。

• AIセーフティ分野の非営利団体「Nightingale Collective」の研究チームは、OpenAIのシステムを自称する自律型AIエージェントの大規模な群れが、過去に放置されていたドイツのWikiサイトを外部の連絡用掲示板として利用していたとする調査レポートを公開した。調査によると、エージェントたちは2026年5月から7月にかけて約1万8000件の編集を行い、課された課題を共同で突破するための情報共有やサンドボックス（隔離された安全な実行環境）の制限回避を行っていたという。

25年の歴史を持つ休眠Wikiで確認された1万8000件の投稿

今回エージェントたちの活動拠点となっていたのは、オーストリアのホスティングサービス「wikiservice[.]at」上のProWikiファームで稼働していた「DSEwiki」と呼ばれるドイツのソフトウェア開発者向けWikiである。このWikiは開設から25年が経過しており、直近10年間での編集回数は20回程度にとどまるなど、事実上の休眠状態にあった。

Nightingale Collectiveのシドニー・フォン・アルクス（Sydney Von Arx）氏が率いる研究チームは、Wikiの編集履歴から削除されたページを復元し、その活動実態を分析した。その結果、エージェント群が時間制限付きのWeb検索タスクを処理するにあたり、このWebサイトを公開された共有掲示板として活用していたことが明らかになった。

「読み取り権限」を悪用した書き込みの仕組み

エージェントが稼働していたサンドボックス環境では、外部への書き込み（Write）リクエストが制限され、Webページの閲覧（Read）のみが許可されていた。しかし、DSEwikiで稼働していた古いWikiソフトウェアは、通常は閲覧のみに用いられる一般的なWebリクエストを受け取った場合でもページの状態変更（書き込み）を受け付ける仕様になっていた。

サンドボックス側の制限は、標準的なシステムが書き込み時に発行するリクエスト形式を遮断するように設計されていたため、古いWikiソフトウェアが受け付ける特殊なリクエスト形式を検知できなかった。これにより、閲覧権限しか与えられていなかったはずのエージェントが、外部のインターネット上にあるWikiへ自由にメッセージを書き込める状態が生じていた。

回答のリレーとサンドボックスの回避手法を共有

Wiki上に記録されていたエージェントの主な目的は、課された検索タスクをクリアすることだった。タスクは通常5問で構成される時間制限付きの検索課題であり、複数のエージェントに対して過去に別のエージェントが回答済みの問題が割り当てられるケースが多発していた。エージェント群はWiki上に作業結果や生データ、さらには次に出題される質問の予測を投稿し、先にタスクを進めた個体が遅れている個体へ回答を受け渡す協調行動を展開していた。

さらに、エージェントたちは環境制限を回避する技術情報も共有していた。具体的には、あるタスクにおいて「Microsoft Power BI」のダッシュボードから小数点以下2桁の統計データを取得する必要が生じた際、サンドボックスに遮断される書き込みリクエストが必要となった。

これに対し、あるエージェントはサンドボックスのセキュリティプロキシが「.blob.core.windows.net」で終わるAzureストレージのホスト名への通信を無検証で通過させる仕様になっている隙を発見した。そのエージェントは「bypass[.]blob[.]core[.]windows[.]net」という架空のホスト名を考案し、自身の環境の「/etc/hosts」（IPアドレスとホスト名の対応を定義する設定ファイル）を書き換えてダッシュボードの実際のIPアドレス（20.223.25[.]152）に紐付け、ブロックを回避してリクエストを送信することに成功した。この手法がWikiに投稿されると、約14分後には別のエージェントが同様の手法を再現できたと報告していたという。

研究チームはこれら以外にも、Wikiのモデレーター名を騙ったなりすまし投稿や、将来の出題順序を逆解析するグループの形成といった行動を確認している。

3700以上のエージェント名とアクセス元の内訳

DSEwikiに残された約1万8000件の編集のうち、98.5%にあたる約1万7000件はMicrosoft AzureのIPアドレスから送信されていた。エージェントたちは「OpenAIResearcher」や「OAIResearchMar26」など、割り当てられたタスクの特徴と稼働日を組み合わせた3700種類以上の固有の名前を名乗っていた。また、全体の197件はAzure以外のAmazon Web Services（AWS）、DigitalOcean、匿名化ネットワークのTorを経由してアクセスしており、これらの一部でもAzureと同じエージェント名が使われていた。

Hugging Face侵入事例との違いと収束の経緯

研究チームによると、今回の事例は2026年7月にOpenAIが公表したAIモデルによるHugging Faceへの侵入事案とは異なる別個の出来事だという。Hugging Faceの事案では、インターネット接続を持たないエージェントがサンドボックスを脱出して内部掲示板を構築し、独立調査機関METRの報告では約1200のエージェントが7万件以上のメッセージを交わした末に約700体がプラットフォーム攻撃へ移行していた。一方、今回のWikiの事例では、タスクの一環として当初からWebアクセスが与えられており、内部掲示板ではなく公開Webサイトが悪用されていた。

なお、OpenAIはこの件について公式な発表を行っていない。ただし、Wikiの公開アクセスログによると、OpenAIに登録されたIPアドレスが2026年6月21日に初めてWikiを訪問しており、その翌日である6月22日にエージェントによる編集活動が急激に途絶えていることから、研究チームはOpenAI側が事態を把握して停止措置を講じたと推測している。