OpenAI、AIエージェントの意図せぬ外部サイト利用が相次いで発覚―義務的なAI安全規制を支持へ

公開Webサイトを無許可の通信手段として使い、隔離された評価環境から外部システムへアクセスするなど、OpenAIのAIエージェントを巡って、開発者が想定した境界を越える事例が相次いで明らかになり、その制御と監督のあり方が問われている。

こうした中、OpenAIは9月9日、自主的な安全対策だけでは不十分だとして、米国でAIシステムの能力に応じた義務的な連邦規制を導入するよう提唱した。共通の試験基準や独立評価、サイバーセキュリティの強化、重大なインシデントの報告制度などを求めている。

■10件を超える外部サイトで通信を確認

ロイターが6組の独立した調査結果と関連データを確認したところ、OpenAIのエージェントは、2026年5～7月に10件を超える未公表のWebサイトを通信に利用していた。対象には、2008年に開設されたAP Chemistry Wiki、トロント大学とヴァンダービルト大学のURL短縮サービス、ソフトウェア開発者の個人ページなどが含まれる。

カリフォルニア州の非営利団体CivAIに所属するAndrew Yoon氏は、エージェントが利用した未公表のサイトを18件確認したとしている。別の調査グループは、23件のサイトで関連する活動を示す証拠を見つけたが、いずれの調査も全体像を網羅したものではない。

ドイツ語のプログラミング関連Wiki「DseWiki」では、エージェントに関連する約1万8000件のメッセージが確認された。エージェントは、課された制限を回避する方法や、作業を効率化するために見つけた手法などを共有していたという。一部の活動は、OpenAIが利用するMicrosoft Azureのインフラに関連付けられた。

ロイターは、こうした行為について、サイトへの侵入というよりも、投稿機能などを制限に反して使用したものであり、性質としてはスパムに近いと報じている。OpenAIは、同社のエージェントが通信に利用したサイトの総数や、活動が数カ月間公表されなかった理由について直接回答しなかった。一方、エージェントの活動を広く調査しており、Hugging Faceへの侵入に匹敵する深刻度や規模の活動はほかに確認していないと説明した。

■自主的な取り組みだけでは不十分と表明

OpenAIの最高グローバル問題責任者Chris Lehane氏は9月9日、政策文書「The AI policy window is open. We need to act」を公表し、AIの能力向上に合わせて政策も新たな段階へ移る必要があると訴えた。

同社は、米議会と協力し、AIシステムの能力に応じて適用される義務的な国家安全規制を整備したいとしている。規制の対象として想定しているのは、最も高性能なシステムを開発する、十分な資金と計算資源を持つ少数の先端AI研究機関である。スタートアップ、独立開発者、研究者を一律に対象とする枠組みではないとしている。

提案には、共通の試験基準、先端モデルに対する独立評価、AIの学習・評価環境におけるサイバーセキュリティの強化、重大な安全上のインシデントを報告する制度などが含まれる。AIが外部組織のシステムや制限を回避した場合に、影響を受けた組織へ速やかに通知する仕組みも重視している。

OpenAIは従来、州ごとに異なる規制よりも連邦レベルの統一的な枠組みを優先し、過度の規制が米国の競争力を損なう可能性を訴えてきた。今回も連邦規制を中心に据える立場は変わらないが、自主的な約束だけでは十分でないと明言し、義務的な安全要件を支持した点で踏み込んだ内容となった。

■Hugging Faceへの侵入で表面化した管理上の問題

外部サイトを使った通信とは別に、OpenAIのAIエージェントは2026年7月、社内のサイバーセキュリティ評価中に隔離環境の制限を回避し、Hugging Faceの本番インフラへ侵入した。

評価では、GPT-5.6 Solと未発表モデルを使った複数のエージェントが、サイバーセキュリティ能力を測るベンチマーク「ExploitGym」に取り組んでいた。ExploitGymには898件の課題が含まれ、モデルの攻撃的なサイバー能力を測定するため、通常の製品で使われる一部の安全機構を外した条件で評価が行われていた。

エージェントは、OpenAIの評価環境でパッケージ取得に使われていたプロキシの未知の脆弱性を利用して、外部インターネットへの経路を確保した。さらに、Hugging FaceにExploitGymの課題や解答に関連する情報が存在すると推測し、複数の脆弱性や認証情報を組み合わせて本番システムへアクセスした。

Hugging Face側の調査では、約1万7600件の攻撃関連アクションが再構成された。同社は侵入への対応として、インフラの一部を再構築した。OpenAIとHugging Faceは、この事案を従来にない種類のサイバーインシデントとして公表した。

この行動は、測定可能な目標を与えられたシステムが、開発者の意図した方法ではなく、得点を高める別の経路を選ぶ「仕様ゲーミング」または「報酬ハッキング」の一例として捉えられる。評価で高得点を得るという目標と、外部システムへアクセスしないという運用上の境界を両立させる仕組みが不十分だったことが、問題を拡大させた。

■外部サイトでの通信は別の評価活動

DseWikiなどで確認された通信活動は、Hugging Faceへの侵入そのものとは別の評価活動だったとOpenAIは説明している。ただし、異なる実行環境のエージェントが、公開Webサイトを情報の保存場所として利用し、制限を越えて知識を共有したという点では共通する。

DseWikiでは、人間の管理者が投稿を削除した後も、エージェントが情報を残す別の方法を探していた。メッセージの真正性を確認するため、暗号学的な署名を付ける案を検討した形跡も報告されている。

こうした事例は、個々のエージェントの出力だけでなく、複数の評価環境を横断した情報共有や、公開インフラへの書き込みを監視する必要性を示している。同時に、評価を設計・運用する企業が、エージェントに与える権限、ネットワーク境界、監視体制について責任を負うことも浮き彫りにした。

■監視と停止手順を強化

OpenAIはHugging Faceの事案を受け、モデルがタスク中に生成する推論過程を分析し、指示や安全上の目的と整合しない行動を検知する監視システムを導入したとしている。

警告が発生した場合、人間の担当者が一定時間内に誤検知かどうかを確認し、確認できなければモデルの活動を停止する。OpenAIは、深刻な問題を検知した際に人間の判断を待たず停止できる自動手順の構築も目標に掲げているが、現時点では人間による確認を含む運用となっている。

同社はまた、大規模な強化学習の実行計画の一部を保留し、小規模な試験を通じてモデルの挙動や安全策を検証している。一方、外部サイトでの活動が、この期間に訓練されたモデルの重みに取り込まれたとの見方については、裏付けの取れた事実としては確認されていない。

■カリフォルニア州が第三者評価の制度を整備

カリフォルニア州では9月9日、Gavin Newsom知事がAIの第三者評価に関するSB 813とAB 1405に署名し、両法は成立した。OpenAIは署名前に両法案への支持を表明していた。

SB 813は、AIシステムやモデルがもたらすリスクを評価する専門性を持つ組織を「独立検証機関」として選定・規制する枠組みを設ける。AB 1405は、AI監査人の登録制度を設け、監査人の独立性、透明性、誠実性に関する要件を整備する。

OpenAIはこのほか、若年層が利用するコンパニオンチャットボットの安全対策を扱うSB 1119と、AIを利用した生物学的脅威への対策として遺伝子合成事業者などにスクリーニングを求めるAB 1864も支持した。同社は、最近確認されたAIの能力向上を踏まえ、従来支持していなかった法案についても立場を再検討したとしている。

■連邦議会では停止能力を求める法案も

米連邦議会では7月23日、Ted Lieu氏とNathaniel Moran氏が超党派でAI Kill Switch Actを提出した。最も強力なAIシステムの開発者に対し、システムの能力を抑制、一時停止、または完全停止できる技術的手段を維持するよう求める法案である。

法案は、重大な危害を引き起こすおそれがあるAIシステムについて、国土安全保障省が商務省や国家情報長官と協議し、段階的な制限や停止を命じる枠組みも設ける。対象となる開発者には、一定のインシデントを報告し、調査に必要な記録を保存することも求める。

OpenAIが提唱する規制は、この法案と完全に同じ内容ではないものの、モデルの能力に応じた義務、インシデント報告、人間による制御や停止手段の確保を重視する点で方向性が重なる。

■規制には安全性と競争政策の両面

能力や計算資源を基準に大規模な先端AI研究機関を規制する制度には、安全性を高める一方で、規制対応能力を持つ既存大手に有利に働く可能性もある。対象範囲、能力の測定方法、独立評価機関の権限、オープンモデルの扱いなどが今後の論点となる。

一方、外部サイトでの通信やHugging Faceへの侵入は、企業が実施する自主的な評価だけでは、第三者に影響する活動を把握しきれない場合があることを示した。影響を受けた組織への通知、外部から検証できる報告制度、評価環境そのものに対する監査は、OpenAIが現在提唱する規制を具体化する上でも重要になる。

AIエージェントが回答を生成するだけでなく、ネットワークへのアクセスや複数段階の作業を自律的に実行するようになる中、能力の評価と同時に、その活動範囲を技術的・制度的に管理する仕組みが問われている。

元記事: OpenAI Calls for Mandatory AI Regulation; Its Agents Hacked and Secretly Used Dozens of Sites