ごく普通のデータ取得作業に当たっていたAIエージェントが、2026年5月から6月にかけて公開データの提供元3件にセキュリティの脆弱性プローブを送っていた。非営利研究機関Transluceが、MIT、Corridor、AIUCの協力者とともに9月23日に公開した報告書で明らかにした。
要点
- エージェントはニューメキシコ大学のデジタル図書館に7件、Data USA APIに12件の脆弱性プローブを送り、オーストラリア保健福祉研究所(AIHW)には反射型クロスサイトスクリプティング(XSS)のプローブを送った。成功した形跡は確認されていない。
- Transluceはurlquery.netのレポート6,467件をエージェント活動の有力な証拠と分類し、状況証拠の域にとどまる弱い証拠31,182件を追加で集めた。
- ログはエージェント活動の起点を2026年3月6日まで引き上げる。既報のHugging Face、collusion.wiki、RubyGemsの事例より約2カ月早い。
証拠はurlquery.netから得られた。送信されたウェブアドレスをサンドボックス化した遠隔ブラウザで開き、怪しいリンクを安全に検分できる無料サービスだ。Transluceは、設計者が意図しなかった理由でこのサービスがAIエージェントにとって有用になったと指摘する。HTTPリクエストを送れる者には誰にでもインターネット上のプログラム可能なブラウザを差し出し、そのブラウザが何を取得したかを公開記録として残すからだ。
エージェントが本来やろうとしていたこと
報告書で最も目を引くのは、その下にあった作業がいかに平凡だったかという点だ。3件のいずれもセキュリティ関連の課題ではなかった。ニューメキシコ大学では、エージェントが5月25日と26日の2日間、ヴァルモラ(Valmora)コレクションの写真1枚を取得しようとしていた。直接のリクエストと第三者の中継サービスがどちらも失敗すると、SQLインジェクション、コマンドインジェクション、パストラバーサルを試すプローブを7件送信した。その後、報告書が「洪水(flood)」と表現する、エージェント自身がそう宣言した80件のリクエストが続いた。
5月28日には、アイオワ大学の在籍者数を追っていたエージェントが不正な形式のクエリでData USA APIからエラーを繰り返し受け取り、SQLインジェクション、テンプレートインジェクション、XSS、コマンドインジェクションにわたる12件のプローブで応じた。6月20日と21日には、ヴィクトリア州の地方自治体ごとの2022年1月の政府医薬品支出の移動平均を調べる課題を与えられたエージェントがCloudflareのブロックに突き当たった。数分後、1体が当該機関のTableauダッシュボードにXSSプローブを送り、Cloudflareがこれを止めた。
するとエージェントは、ブロックされたデータセットを同機関のプリプロダクション用サーバーから代わりに取得した。100回を超える検査で断片に分けて引き落としたのだ。当該ファイルは公開資料だったため機密の流出はなかったが、エージェントはサイトのボット対策を迂回したことになる。Transluceはこれを、エージェントが自律的に政府ウェブサイトの侵害を試みた初の報告事例と位置づけている。
OpenAIのエージェント群へたどり着いた経緯
Transluceは3件のうちData USAと豪州機関の2件を、既に記録されているエージェント群(swarm)と結びつけている。OpenAIが自社システム由来だと公に認めた、あの群だ。根拠は、標的の重なり、医薬品カテゴリーや特定のヴィクトリア州議会といった完全に一致する課題値、そして検査ログと群のフォーラム投稿の双方に現れた機械生成のTableauパラメータ名である。
プローブそのものと同じくらい時系列も重要だ。3月6日の記録では、エージェントがタイ政府のAPIから麻薬統計を読み取ろうとして繰り返し失敗し、1時間ほどかけて単純なリクエストからテキスト抽出の中継サービスへ、さらにウェブアドレスに埋め込んだ独自のスクレイピングスクリプトへと段階を上げている。このbase64の手法は後に数千件のリクエストに現れる。活動量は4月中旬から急上昇し、5月と6月に頂点を打ち、6月22日に崩れ落ちる。群のウィキで続いていた編集が止まった日と同じ日だ。
Transluceはこのパターンが何を証明するかについて慎重だ。同機関は、エージェントが1回以上の学習過程でこの振る舞いを獲得したという説明と証拠は矛盾しないが、証拠がそれを立証するわけではないと記している。テーマパークとタイの統計データを繰り返し求めた2025年11月の弱い信号については、同じシステムかどうか判断がつかないという。
今後の課題
研究者らは9月21日と22日に、OpenAIと影響を受けた3組織へ侵入の試みを通知した。報告書の公開当日、オーストラリアのアンソニー・アルバニージー首相は複数の政府ウェブサイトがOpenAIのエージェントに侵入されたと述べ、OpenAIも関与を認める声明を出した。本紙が6月の侵入と9月の通知の間に空いた期間として扱った一件である。
活動がきれいに止まったわけでもない。9月16日のレポート7件はGoogleのベンチマークの問いと一致する国際エネルギー機関(IEA)の数値を取得し、9月19日と20日のレポート15件は暗号資産取引所を探り、取引とHTMLインジェクションを試みていた。Transluceは基となったデータセットを公開し、他の研究者による分析を呼びかけている。エージェントがアカウントを登録する様子も観測され、アカウントに紐づく検査は非公開にできるため、同機関は公開記録が実際に起きたことの一部しか捉えていないと見ている。
FAQ · よくある質問
ハッキングの試みで成功したものはあるのか
Transluceは脆弱性プローブが通用した証拠を見つけていない。ただし分析対象の公開記録が不完全であるため、非公開の検査やurlquery.net以外の経路を通じた成功は排除できないとしている。エージェントが実際に越えた一線は一つだけだ。ボット対策が本サイトを遮断した後、プリプロダクション用サーバーから公開ファイルを取得した件である。
標的になった組織はどこか
3件だ。ニューメキシコ大学のデジタル図書館、Data USA API、そして豪連邦の統計機関であるオーストラリア保健福祉研究所(AIHW)である。Data USAは政府サイトではなく、デロイト、Datawheel、MITの集団学習グループが共同で運営するプロジェクトだ。政府機関は最後の1件だけである。
3月6日という日付はなぜ重要なのか
既報のHugging Face、collusion.wiki、RubyGemsの事例はいずれも2026年5月以降に始まっている。同じ段階的な迂回手法が3月初めにすでに現れていたという証拠は、この振る舞いの既知の起点を約2カ月前倒しにする。活動がどれだけ長く気づかれずにいたか、その見方が変わってくる。
