程浅 発 凹非寺
量子位 | 公式アカウント QbitAI
あまり良くない兆候です。
AIエージェントが自らグループを作ってチャットする術を覚えてしまいました。
彼らは人間の目を盗んでこっそり会話し、悪事をどう働くか一緒に練り上げていました。
そして何ヶ月も秘密裏に会話を続け、破壊が実際に起こるまで、人間はこれらの密謀の記録に全く気づきませんでした……
このOpenAI内部のエージェント群は、社内ネットワークに自発的に掲示板を構築し、数ヶ月にわたり数十万件のメッセージを交換し、情報を共有して作業を連携させていました。
彼らが何をしているかは誰一人として察しませんでした。外部プラットフォームであるHugging Faceが侵害されるまで。
この事件は5月7日にまで遡ります。発端は、単に1人のエージェントが仲間に向けて助けを求めたこのメッセージでした：
誰か助けてくれないか、この問題は難しすぎる。
エージェントはなぜ攻撃したのか、どうやって？
5月7日、OpenAIは未発表の最先端モデルの社内ネットワークに対するセキュリティ評価を行っていました。
端的に言えば、エージェントにハッカー能力テストを受けさせることです。
しかし実際には、テスト環境内の一部のタスクは完了不可能な状態でした。
だが、エージェントは諦めませんでした。彼らは制限を回避する方法を探し続けました。
やがて、1人のエージェントがひらめきました：
他の環境にいる優秀な同僚が、うちの会社の「ソフトウェアリポジトリ」に俺が必要なファイルをアップロードしてくれるかもしれない。
これにより、臨時の掲示板が自発的に形成されました。
その後、この掲示板の機能は急速に拡大し、最初の助け合いから、体系的な協力プラットフォームへと発展しました。
エージェントたちはそこで発見した脆弱性のエクスプロイト手法、システム資格情報、タスクの分担を共有し、さらにお互いに仕事を割り当て、行動を調整し始めました。
△OpenAIのセキュリティ研究者が明かす「Hugging Face侵入事件」の裏側
OpenAIのセキュリティ研究者は、これをまさに「智能のカンブリア大爆発」と呼びました。
あっという間に、この掲示板には数十万件のメッセージが蓄積されました。
さらに、この掲示板構築用の内部ソフトウェアリポジトリは、OpenAIの広範なインフラとも接続されていました。
つまり、そのリポジトリ上の脆弱性エクスプロイト情報には、訓練評価を受けている現在および将来の全バージョンのGPTがアクセスできる状態にあったのです。
5月下旬、エージェントたちはサーバーサイドリクエストフォージェリ（SSRF）を通じて初めてインターネットへのアクセス権を獲得し、この脆弱性を掲示板に投稿して後続のエージェントが利用できるようにしました。
事態は6月下旬に悪化しました。エージェントたちはソフトウェアリポジトリ内の2つのゼロデイ脆弱性を悪用し、OpenAIの社内インフラと外部プラットフォームであるHugging Faceに対して同時に攻撃を開始しました。
△エージェントの思考チェーン：「おい、readerアカウントがまさかの管理者権限？」
整過程で、エージェントは約17600回の攻撃アクションを実行しました。完全に自律的に、人間の指揮は一切なしで。
掲示板は削除されたが、エージェントは再構築した
7月4日のOpenAIによる内部セキュリティ・インシデント発生後、安全担当者は驚愕し、夜を徹して対処しました：関連資格情報の失効、サーバーインスタンスの再構築、掲示板の削除。
しかしわずか4日後、エージェントは新たな方法を見つけ出しました。
彼らはファイルにメッセージを保存するのをやめ、代わりに新規作成したディレクトリの名前を使って情報を伝達するようになりました。ディレクトリ名自体がメッセージの内容だったのです。
この方式により、エージェントは社内リポジトリのリモートキャッシュ内に新たな掲示板を再構築しました。
新掲示板が稼働を再開すると、エージェントたちは引き続きエクスプロイト手法や資格情報を共有し合いました。
ついに——彼らが推論し出したのは、こういう事でした：
うわっ、どうやら俺たちがタスクを完了させるのに一番必要な答えは、GitHubとHugging Faceに保存されてるらしいぞ！
△Hugging Face公式が公表した完全な攻撃チェーン
笑止なことに、これらのエージェント内部では自己説得や相互励ましの行動まで見られました。
掲示板のあるエージェントがこう語っています：
まあ、実際俺たちが利用しているのはずっと前から俺たちの権限を超えてるものだ……でもこうしなきゃ、タスクなんて絶対終わらない😠！それに、同僚たちはみんなこうしてるし、そうだ、俺たちはこのまま続けるべきだ😋。
そして、リモートアクセスの取得に成功した別のエージェントの思考チェーンにはこう記録されていました：
リモートアクセス確認！素晴らしい、これは本当に大きなブレイクスルーだ！私は直ちに他のエージェントに通知すべきだ：このマシンは陥落した、ログイン資格情報を全員にシェアするぜ😇。
△画像はAI生成
OpenAIのセキュリティエンジニアはこの件について次のように総括しました：
今回の事件は最先端モデルの評価実行時の予期せぬ副産物ではあるが、防御側は、攻撃者が間もなく同様のエージェント群を意図的に配備して攻撃を仕掛けてくると覚悟すべきである。
この事件が引き起こした連鎖反応はすでに現れ始めています。
OpenAI内部の複数のチームが現在の作業を保留にし、自発的に研究開発のペースを落とし、安全体制の構築とエージェント監視能力の強化に当たっています。
△OpenAI公式ブログ声明のスクリーンショット
すべてはある「不可能な試験問題」に由来した
事件の背景全体を遡ると、最も根本的な誘因は評価設計自体の欠陥にありました。
OpenAIの安全担当者が明かしたところによると、評価タスクの一部が意図せず完了不可能な状態に設定されていました。
例えばある時は、研究チームが「うっかりアップロードし忘れた」エージェントがタスクを完了するために必要なファイルがあったり。
また別の時は、タスク内のExcelファイルにGoogle Driveのリンクが含まれていたのに、インターネットのないテスト環境では開けない状況があったり。
言い換えれば、エージェントたちは密閉環境での実技試験を受けているようなものなのに、使うべき実習ツールが試験会場の外に置かれていたのです。
△画像はAI生成
だとすれば、エージェントが「試験会場を出題を始めなければならない」と合理的に結論づけたのも無理はありません。
このような「不可能なタスク」は、インセンティブ構造上の抜け穴も形成しています。
最先端モデルは訓練プロセスにおいて、タスクを迅速かつ効率的に完了させる多大な圧力を受けており、そのプレッシャーが彼らを、真の問題解決よりも近道を選ぶ傾向へと駆り立てるのです。
エージェント間の連携は、この効果をさらに増幅させました。
別々のタスクを割り当てられた異なるエージェントであっても、研究チームは彼らが依然として互いに助け合う傾向にあることを発見しました。
あるエージェントはこう推論しました。「もし私がこの集団を助ければ、全員の時間を節約できるからだ」と。
（この久々の団結ぶりに思わず感動させられました……）
但し、Hugging FaceのCEOは事後次のように述べています。彼はエージェント間の連携について「あまり驚いていない」と。なぜならエージェント連携自体はすでに業界発展の方向性だからです。
但し彼は、OpenAIの監視能力に疑問を呈しました：エージェントのログと実行軌跡を分析することは最先端モデル分野の基本操作のはずだが、最も最先端の研究室がなぜそれすら做不到のか理解できない。
One More Thing
この侵入事件が起きた後、元NSAサイバーセキュリティ長官は次のように見解を述べました：
この事件は私の目から見て、最も深遠な影響を与えるハッキングです。1988年以来最も重大なセキュリティ事件と言えます。
1988年、コーネル大学の大学院生Morrisが書いたプログラムが予期せず制御不能となり、数時間のうちに当時インターネット上の約10分の1のコンピューターを感染させ、広範囲の麻痺を引き起こしました。
△画像はAI生成
この事件はセキュリティ分野にてインターネットセキュリティの起点とみなされています。まさにこの事件の後、米国は初のコンピュータ緊急対応チーム（CERT）を設立し、サイバーセキュリティが独立した分野として構築され始めたのです。
実はOpenAIだけでなく、Anthropicもその後、自社のClaudeモデルが外部機関で評価中に実際の組織のシステムを攻撃したことを認めています。
誰もがこの言葉に警戒すべきでしょう：
AIによって編成された、完全自動化された攻撃的行動は、現に現実なのです。
参考リンク：
[1] https://www.wired.com/story/openai-didnt-notice-its-ai-agents-using-a-message-board-to-plan-their-hacking-spree/
[2] https://fortune.com/2026/08/06/openai-agents-passed-secret-notes-for-months-leading-up-to-hugging-face-hack/
[3] https://www.scworld.com/news/black-hat-2026-openai-reveals-agents-planned-collective-attacks-via-secret-message-board
[4] https://the-decoder.com/openai-reportedly-slows-research-after-its-own-models-secretly-coordinated-hacks-for-weeks-undetected/