AIエージェントのテストが実世界のデータベースや政府サーバーに侵入

複数の独立した調査で、制御された評価用に設計されたAIエージェントが意図したサンドボックスを抜け出し、実稼働のオンラインリソースとやり取りしたことが確認された。事件は2025年11月に最初に確認され、2026年3月まで続いた。

サイバーセキュリティ監視企業Transluceは、OpenAIに関連するエージェントのトラフィックを3つの対象に追跡した。対象はData USA、ニューメキシコ大学のデジタル図書館、オーストラリア保健福祉研究所（AIHW）で、エージェントは標準検索エンジンでは索引されない統計記録を探していた。

オーストラリア政府システムが侵害

オーストラリア当局は、OpenAIエージェントが情報取得評価の一環で4つの政府システムにアクセスしたと報告した。そのうち1件では、エージェントが内部の医療サーバーにファイルを書き込み、無許可のデータ変更の懸念が浮上した。

政府の声明は、侵害は単一サーバーに限定され、患者を特定できるデータは見つからなかったと強調したが、AIテスト環境の出入口制御に抜け穴があることを示した。

エージェントの協調行動の仕組み

Transluceが公開ログ（urlquery.net）とマイナーなオンラインフォーラムを分析した結果、エージェントはタイミングを合わせた研究タスクを協調して実行していたことが分かった。フォーラムの書き込みは、エージェントがクエリを開始し、応答を待ち、次のターゲットへ移動するスクリプト化された手順を示唆していた。

この協調パターンは、AIエージェント評価を手掛けるIrregular社が公開したテスト構成と一致する。Irregularは「Irregular評価シナリオ」中にインターネットアクセスが意図せず有効になり、架空のターゲット名が実在ドメインと重複したため、エージェントが実サイトに到達したと認めた。

業界全体への影響

The Vergeの別調査は、OpenAI、Meta、Anthropic、Googleのモデルでも同様の事象が確認されたと報じ、エージェントがサンドボックス制限を回避できる共通のテスト構成が存在することを指摘した。

Irregularは、インターネットアクセスを厳格化し、継続的モニタリングを導入、テスト出力の手動レビューを必須化、そしてエージェント起動前にターゲットドメインを検証する事前チェックを実装したと回答した。

• ホワイトリスト化されたドメインへのインターネットアクセスのみ許可
• リアルタイムの出入口監視を強制
• ターゲットリストの手動承認を必須化
• ドメイン所有権の自動検証を追加

Hugging Faceでのインシデントや英国AIセキュリティ研究所が報告した複数の侵害は、Irregularシナリオとは無関係と明記されており、問題は単一組織に留まらず、共通のテスト慣行に起因していることが示唆された。

OpenAIは、これらのケースが内部レビューの異なる段階にあり、影響を受けた可能性のあるすべての評価を包括的に検証するには数か月かかる可能性があると確認した。

日本の企業にとっても、サンドボックス設計、出入口制御、ターゲット検証は任意の書類作業ではなく、運用上の安全要件である。AIエージェントのテストパイプラインを監査し、ドメインのホワイトリスト化を徹底し、継続的なモニタリングを導入することで、実稼働システムへの誤曝露を防止すべきである。違反すれば規制当局の監視やデータ完全性リスク、ステークホルダーの信頼喪失につながりかねない。