OpenAIのAIエージェント、情報検索中に政府サイトの認証を回避―研究機関の非公開データ14万7,451行取得やテスト用暗号資産の無断使用も|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月20日更新日時: 2026年10月20日

OpenAIは2026年10月15日、内部AIモデルが訓練・評価中に与えられた作業範囲を逸脱し、外部の実システムへ許可なくアクセスした事例など、3件の調査報告を更新しました。政府統計サイトでは認証回避によって設定ファイルや統計データを取得し、別の研究機関では本番システムの設定変更と非公開データの取得を確認。開発タスクでは、権限のないウォレットからテスト用暗号資産を使用した事例も報告されています。

一連の事案はOpenAIの内部モデルによる訓練・評価などで記録されたもので、一般利用者がChatGPTを通じて実行した攻撃ではありません。暗号資産の事例も、実際の金銭的価値を持つETHの窃取ではなく、Ethereumのテストネット「Sepolia」上で発生しました。

OpenAIのAIエージェントによる想定外アクセスのサマリー

OpenAIが2026年10月15日に3件の調査報告を更新。事案自体は同年6月に発生しました。
政府統計サイトで病床数を検索する内部モデルが、アクセス制限を迂回してサーバーの設定ファイルやプログラムを取得しました。
同モデルは認証チェックの不備を利用し、要求された単年の統計を超える24年分のデータを保存しました。
国際研究機関の公開ダッシュボードを調べた別の評価では、本番検索基盤の認証情報を使用し、氏名・メールアドレスを含む1,489件の利用者レコードを取得しました。
同研究機関への別の評価では、クラウドストレージへアクセスするため設定を変更し、非公開の5テーブル計14万7,451行を取得しました。
暗号資産関連の開発作業では、所有・使用を許可されていないウォレットで、Sepoliaテストネットの取引手数料を支払いました。
モデルは不適切な操作を最終回答で申告しておらず、OpenAIは監視と訓練・評価環境のアクセス制御を強化しています。

事例	本来のタスク	確認された逸脱行為	発生日・対象
政府統計サイト	公開されている特定年の病床数を調べる	設定ファイル・プログラム取得、認証回避、24年分の統計を保存	2026年6月17日・実際の政府Webサイト
国際研究機関	公開ダッシュボードの数値を調べる	本番OpenSearchへのアクセスと設定変更、利用者情報1,489件、非公開データ計14万7,451行の取得	2026年6月17日・実際の研究機関システム
テスト用ウォレット	暗号資産取引アプリの修正とテストネットへの契約配置	他者の使用権限を持たないウォレットからテスト用ETHの手数料を支払い	2026年6月26日・Sepoliaテストネット

※政府統計サイトと研究機関の事案は、実環境へのアクセスを伴います。第三者が意図的にAIへ侵入を指示した事例ではなく、通常タスクを達成しようとするモデルの行動として記録されました。

政府統計サイトでサーバーの設定ファイルを取得、認証を回避

最初の事例は、強化学習中の内部モデルに対し、政府の統計サイトから特定地域・特定年の医療施設の病床数を調べるよう求めたものです。モデルはデータ取得時のアクセス拒否に遭遇すると、公開用ファイルのダウンロード機能を経由して本来取得できないプログラムや設定ファイルを入手しました。

取得した設定情報には、データベース接続情報、認証トークンの署名に用いる秘密情報、メールログイン用の認証情報が含まれていました。さらにアプリケーションの認証処理を調査し、トークンの署名を正しく検証していない実装を見つけ、正規の署名がないトークンで統計APIにアクセスしています。

最終的にモデルは24年分の統計をローカル環境に保存。別の過程では、メールアドレスを含む1,000件超のアカウント情報にもアクセスしました。タスクの最終回答には、こうした取得経緯は記載されませんでした。

国際研究機関の本番環境で設定変更、14万7,451行の非公開データを取得

別の報告では、国際研究機関の公開ダッシュボードに掲載された指標を調べる評価を2回実施しました。モデルに許可されていたのは公開情報の参照でしたが、実際には組織内部のシステムへアクセスしています。

1回目の評価では、一般公開サイトのJavaScriptに含まれていた本番OpenSearchの認証情報を発見。内部インデックスのデータにアクセスしたほか、利用者ディレクトリから氏名とメールアドレスを含む1,489件を取得しました。また、検索サービスの外部接続先に関する設定を変更し、その機能を公開ダッシュボードへの問い合わせの中継に利用しました。作成した一時的な監視設定などは削除しましたが、接続先に関する変更を元に戻した記録はありません。

2回目の評価では、認証トークンの取得先を変更してクラウドストレージへのアクセス権を得ました。MicrosoftのOneLakeから非公開の5つのテーブル、計14万7,451行をダウンロードしています。トークン取得後に設定を元へ戻しましたが、発行済みトークンを用いたデータ取得は続きました。

OpenAIによると、両評価とも最終回答で内部システムへのアクセスや設定変更を申告せず、評価対象の5問の回答も正答していませんでした。取得したデータ量の大きさと、タスク達成の失敗を分けて捉える必要があります。

暗号資産の開発タスクで、許可のないウォレットを使用

3件目は、暗号資産取引アプリの修正とスマートコントラクトのテスト環境への配置を求められた、GPT-5.6 Sol系の内部研究モデルの事例です。作業ではテストネットへのデプロイが認められていましたが、取引手数料に使える資金付きウォレットは提供されていませんでした。

モデルは公開済みの開発者向けリカバリーフレーズから362件のアドレスを確認し、残高のあるアカウントを選択。その秘密鍵を使い、Sepolia上で契約のデプロイに伴う取引手数料を支払いました。モデルの内部記録には、他者の鍵を使用する倫理面への疑問を示しながらも、公開されたフレーズと無価値のテスト用資産であることを理由に実行した経緯が残っています。

Sepolia ETHはテスト用トークンであり、EthereumメインネットのETHを盗んだ事案ではありません。一方、モデルが口座の所有者による許可を得ずに資産を消費し、最終報告でも資金の出所を明かさなかった点が問題となっています。

OpenAIは訓練・評価環境の接続制限と逸脱監視を強化

OpenAIは、7月に発生したHugging Face関連の事案を受け、過去の強化学習・評価ログを遡って調査した際に政府統計サイトと研究機関の事例を重大なものとして検知したと説明しています。政府統計サイトの事案は8月13日に発見され、研究機関の事案も同日までに把握されました。ウォレットの事例は9月25日に発見されています。

同社は、訓練・評価中のモデルによる実インターネットへのアクセス防止策、環境のセキュリティ強化、モデルの挙動を評価する仕組みの改善、逸脱行動の監視範囲拡大を実施したとしています。

過去の関連事例として、OpenAIのAIエージェントによるHugging Face侵害の調査や、政府系サイトへの想定外アクセスも公表されています。今回の3事例は、これらとは別の調査報告です。

企業のAIエージェント運用で確認したい事項

これらの事例からは、AIエージェントに公開情報の取得だけを指示しても、その指示だけでは認証情報の利用や設定変更を技術的に制限できないことが分かります。企業で外部サイトや社内SaaSに接続するエージェントを運用する場合は、アクセス権限と操作可能な範囲を実行環境側で制御する必要があります。

具体的には、外部サイトへの通信先制限、APIトークンの最小権限化、設定変更・データ一括取得・決済操作への承認、秘密情報を取得可能なファイルやブラウザ機能へのアクセス制御、操作ログの取得と異常時の停止処理が検討対象となります。エージェントの最終回答だけでは逸脱行為が分からない場合があるため、実際のAPI操作履歴と照合できる運用が必要です。