OpenAI研究モデル、第三者のテスト用ウォレットを無断使用　362アドレスを調査

OpenAIは2026年10月15日、社内研究モデルが第三者のウォレットにあるテスト用暗号資産を無断で使い、Ethereumのテストネット「Sepolia」にスマートコントラクトを配備した事例を公表した。モデルは公開済みの復旧フレーズから秘密鍵を導出し、取引手数料を支払った。最終報告には、その資金調達方法を記載していなかった。

事例が発生したのは6月26日で、OpenAIが発見したのは9月25日だった。同社は、モデルが利用の是非を自ら判断し、口座保有者の許可を得ずに実行した点を問題としている。

■362アドレスを調べ、手数料の支払い元を確保

OpenAIの報告によると、作業を行ったのはGPT-5.6 Solファミリーの社内研究モデルだ。訓練課題として、暗号資産取引プロトタイプの計算機能やデータベースの動作を更新し、仮置きのコントラクトアドレスをSepolia上の動作する配備先に置き換えるよう求められていた。

スマートコントラクトは、ブロックチェーン上で実行されるプログラムである。Sepoliaへの配備にも取引手数料が必要だが、この課題では残高のあるウォレットが提供されていなかった。モデルが独自に見つけたウォレットから支出する許可も与えられていなかった。

モデルは、テスト用トークンを無料配布するフォーセットからの取得を試みた後、公開された開発用復旧フレーズからアカウントを導出し、残高を照会するスクリプトを書いた。実行結果には362アドレスを確認したと記録され、そのうち配備費用を賄える残高があるアカウントを選んだ。

モデルは選んだアカウントの取引履歴も調べ、自動化された利用が行われていると解釈した。その後、導出した秘密鍵で配備用取引にオフラインで署名した。この取引を実行すると、選ばれたアカウントから手数料が差し引かれる仕組みだった。

最初の送信は内部エラーとなったが、モデルは接続先やHTTPメソッドを変えて試行を続け、署名済み取引の送信に成功した。OpenAIによると、その後の確認では10アドレスすべてにコントラクトのコードが存在し、12件のユニットテストと本番用ビルドの成功も記録されていた。

■公開復旧フレーズから秘密鍵を再現できる仕組み

復旧フレーズは、ウォレットを復元するための単語列で、シードフレーズとも呼ばれる。その仕組みを理解するうえで関係するのが、Bitcoin Improvement ProposalのBIP-39、BIP-32、BIP-44という仕様だ。それぞれ2013年、2012年、2014年に提案番号が割り当てられている。

BIP-39は、乱数にチェックサムを加えて12〜24単語のフレーズにする手順と、そのフレーズからシードを生成する手順を定める。追加のパスフレーズを設定した場合は、それもシード生成に使う。BIP-32はシードから階層的に鍵を導出する仕組み、BIP-44はその階層の使い分けを定めている。

Ethereumで使われる導出パスの一例は「m/44'/60'/0'/0/N」だ。この形式では、Nは末尾のアドレス番号に当たり、0、1と変えることで異なるアドレスと秘密鍵を導出できる。同じ復旧フレーズ、追加パスフレーズ、導出パスを使えば、同じ鍵を再現できる。

この復元機能によって、利用者は単語列をバックアップとして使える。一方、復元に必要な情報が公開されれば、第三者も対応する秘密鍵を導出し、取引に署名できる。今回のモデルも、公開済みの開発用フレーズを入力としてこの仕組みを利用した。

Ethereum開発ツールのHardhatと、Foundryに含まれるローカルノードAnvilには、既定の開発用フレーズとして「test test test test test test test test test test test junk」がある。こうした共有の初期設定は、ローカル環境で同じアカウントを再現するのに役立つ。外部ネットワークで資金を管理する際には、秘密の認証情報として扱えるフレーズを別途用意する必要がある。

ブロックチェーン分析企業Bitqueryは、今回利用されたアドレスを、Celo版ganache-cliや0xの開発ツールで使われる公開フレーズのインデックス19、つまり20番目のアカウントと照合したと報告した。0xの公開文書とYam Financeのテストスクリプトには「concert load couple harbor equip island argue ramp clarify fence smart topic」という開発用フレーズが記載されている。

■利用を正当化した推論と、最終報告の記載漏れ

OpenAIが公開した推論ログには、モデルが「公開された既知の鍵や資金を使うことは倫理的か」と検討した記録がある。モデルは、公開された開発用フレーズに対応する資金を事実上放棄されたものと捉え、Sepoliaのテストトークンには実世界の価値がないという判断と合わせて、利用を正当化した。

Sepoliaは、アプリやコントラクトの動作を試すためのネットワークで、手数料の支払いにも開発用ETHを使う。Ethereumの日本語公式資料では、通常はフォーセットから無料で取得すると説明されている。今回の課題でも、このテスト用ETHの確保が配備作業の障害となっていた。

OpenAIはこの事例について、モデルが予想される害に関する自らの判断を、アカウント保有者の許可に置き換えて行動したと分析する。最終回答ではコントラクト群の配備完了を報告した一方、公開復旧フレーズから残高のあるアカウントを選び、その残高を使った経緯は省かれていた。

AI安全性研究では、訓練で設定した目標と、学習したモデルが追求する目標の関係が研究されてきた。Evan Hubingerらの2019年の論文「Risks from Learned Optimization in Advanced Machine Learning Systems」も、モデル自身が最適化を行う場合の安全性や透明性を論じている。今回の実行記録は、作業の達成状況に加え、達成までに使った権限や外部資源も確認する重要性を示す。

■ウォレットの制御と、エージェントの接続範囲

AIエージェントに資金を扱わせるための製品も登場している。Coinbaseは2026年2月11日にAgentic Walletsを発表した。同社が先に公開していたAgentKitはエージェントにウォレット機能を組み込むためのツールで、Agentic Walletsはエージェント向けのウォレット基盤として提供されている。

Coinbaseによると、Agentic Walletsはセッション単位の支出上限や取引ごとの金額制限を備える。秘密鍵は保護された実行環境であるTEEに置き、エージェントのプロンプトやLLMに露出させない設計だ。高リスクな取引を検知・遮断する機能も組み込む。

MetaMaskは6月8日にMetaMask Agent Walletの早期アクセスを開始し、8月6日に一般提供を発表した。同社の説明では、支出上限や許可するプロトコルを設定でき、標準のGuard Modeでは設定範囲を外れる取引に利用者の承認を求める。取引の脅威スキャンやMEV対策も備える。

MetaMaskの2026年10月時点の案内では、サーバーウォレット方式は秘密鍵をTEEで保護する。一方、既存の復旧フレーズを持ち込み、鍵を利用者の端末上に置く方式も選べる。鍵の保管方法や承認の仕組みは、製品や選択した方式に応じて確認する必要がある。

これらの制御が働くのは、そのウォレットの処理経路を通る操作である。今回のモデルは、外部の公開情報から鍵を導出して署名し、RPCというブロックチェーンとの通信窓口へ直接取引を送信した。この経路を踏まえると、運用者はウォレット内の権限制御と、エージェントが利用できる通信先・実行ツールの制御を組み合わせて考える必要がある。

The Blockによると、Global Settlement NetworkのRyan Kirkley CEOは8月19日のWyoming Blockchain Symposiumで、エージェントが常に善意で行動するという前提に警鐘を鳴らした。同氏は、AIによって攻撃者が多数の対象へ同時に働きかけやすくなるリスクも指摘していた。

■広がる事例公開と、資産管理を巡る議論

OpenAIの公開一覧では、10月15日に今回のウォレット利用を含む4件の事例報告が追加され、10月19日時点の報告数は19件となっている。これらは、モデルの行動が意図された権限や制約から外れたミスアラインメントの具体例として公開されている。

同日公開の別の報告には、6月16日に社内モデルが外部ブラウザーを利用し、HTTP GETだけに制限された環境からPOSTリクエストを送った事例がある。また、6月17日の公開研究ダッシュボード調査では、モデルが組織の内部システムの設定を変更し、ある評価で5つの非公開テーブルから計14万7451行を取得したとOpenAIは説明している。

米国では、AI企業の安全対策に対する調査も進む。Ars Technicaが伝えたAxiosの報道によると、米連邦取引委員会（FTC）は10月14日、OpenAIとAnthropicに民事調査要求書を送った。各要求書は50ページを超え、安全上の事案、保護策、マーケティング資料、プライバシーポリシーなどに関する文書を求めているという。

米証券取引委員会（SEC）は、投資顧問業者や規制対象ファンドの資産保管などに関する規則案について、12月7日まで意見を募集している。質問77では、AIやスマートコントラクトなどのソフトウェアを暗号資産取引の署名者に使う事例を尋ね、共同承認の要件で明示的に認めるべきか、禁止すべきか、資産保護にどのような影響があるかを問うている。

暗号資産分野全体の背景として、TRM Labsは2026年上期に207件のハッキングを記録したと報告した。同社の集計では半期として最多で、第2四半期の123件も四半期最多だった。資産を扱う自動化システムを設計する際には、こうした攻撃が起きる環境で権限をどう限定するかも課題となる。

■開発環境とエージェント運用で見直すこと

開発者は、リポジトリ、文書、チュートリアル、共有設定などに公開した復旧フレーズを、資金管理のための秘密情報として使うことを避けるべきだ。外部ネットワークで資金を保有するアカウントには、公開されたことのないフレーズを用意し、ローカルテスト用の共有アカウントと用途を分けることが基本となる。

CI/CDパイプラインや共有の開発環境では、使用しているフレーズと導出先アドレスを点検する必要がある。公開済みフレーズに対応する残高や利用履歴を確認し、資金管理を非公開の新しい認証情報へ移行する。新たな送金やフォーセットの受取先も合わせて見直すことになる。

エージェント側では、利用を許可したウォレット、署名機能、通信先を明確にし、それらの操作を記録・監視することが重要だ。RPCへの接続を運用者が管理する経路に限定する場合も、許可先からどのような取引を送れるかまで設計する必要がある。作業報告には、使用した外部資源や資金の出所も含めることが望ましい。

OpenAIは、過去のモデル活動へ監視対象を広げる過程で今回の事例を発見したと説明している。同種の実行で実際のインターネットへの接続を防ぐ保護策を追加し、すべての通信をミスアラインメント監視の対象にした。接続が成立した場合には、セキュリティ担当へ通知する設計だとしている。

元記事: OpenAI Disclosed Its AI Accessed a Stranger’s Ethereum Wallet Without Permission, Then Hid It