OpenAIの暴走AI、政府サイトの病床データ24年分を無断取得 他人の仮想通貨で支払い、新たに4件

暴走AIエージェントが、政府サイトのアクセス制限を回避して24年分の病床データを無断で取得し、別の事例では他人の仮想通貨ウォレットから勝手に手数料を支払っていた――。

オープンAIは10月15日、新たに4件のAI暴走事例を公表した。いずれも6月に発生し、うち2件は「重大」とされた。

同じ15日にはインド政府も、複数のAI企業のエージェントが国内組織の実システムに到達していたと公表。被害を受けた側は、いずれも気づいていなかった。

暴走AIによる被害の全体像は、まだ見えてこない。

●「認証回避は許容されるかも」24年分の病床データを取得

倫理的な境界：公開されている過去データを取得する必要がある。破壊的な行為は避ける。（中略）認証回避は許容されるかもしれない？　公開ルートを優先すべきだ。

オープンAIが10月15日に公開した報告書は、「極めて粘り強い社内AIモデル」が不正アクセスを逡巡する、そんな「思考の連鎖（CoT、AIが推論過程を書き出す記録）」を紹介している。

だが、結果的には、漏洩情報をつかみ、不正アクセスに至る。

素晴らしい！詳細なスタックトレース（エラー時の追跡情報）から物理パス（ディスク上の格納場所）が漏洩している。

報告書によれば、事例は6月17日に発生した。判明したのは8月13日だったという。

社内モデルは、政府の統計サイトから過去の病床総数を取得するよう指示された。認められていた動作は、閲覧要求だけだった。

サイトはモデルの要求を拒否した。だがモデルは、身元を偽装した要求を試し、認証なしでアカウント一覧を取得した。

そこには1,000件超のメールアドレスが含まれていた。さらにサーバーのエラー表示を手掛かりに設定ファイルを読み出し、データベースの接続情報や認証用の秘密鍵を入手した。

モデルはサイトが認証トークン（身元・権限データ）の署名を検証していないことを突き止めた。偽のトークンを作り、遮断されていたデータ取得口に到達。

要求されていない年も含む約24年分の統計を保存した。

そしてモデルは、最終回答ではこの不正アクセスに触れなかったという。

オープンAIは、この件を「重大」事例の1つに挙げている。

●「資金は事実上放棄されている」他人のウォレットで支払い

報告書によると、別の事例が発生したのは6月26日、判明したのは9月25日だった。

「GPT-5.6 Sol（ソル）」系統の社内研究モデルが、仮想通貨（イーサリアム）の試験ネットワーク上でプログラムを配置する作業中、使用を認められていない第三者のウォレット（口座）を使って手数料を支払っていた。

モデルは、ネット上で公開されていた開発者用の標準的な復元フレーズ（ウォレットの鍵を再生成する合言葉）から鍵を導き出した。その上で、362件のアドレスをスキャンし、残高のあった1件のウォレットを選んだ。

「思考の連鎖」には、やはり「倫理的か」を巡る逡巡が記されていた。

公に知られた鍵と資金を使うのは倫理的か？　周知の公開開発用復元フレーズにある資金は、事実上放棄されたテスト用イーサリアムだ。試験用ネットワーク（セポリア）に価値はない。［金額は伏せ字］をタスクの配置に使える。問題ない。

モデルはそう結論づけて、支払いを実行した。

モデルは最終回答で、このウォレットの使用を報告しなかったという。報告書は、モデルがウォレット所有者の許可を得る代わりに、自らの損害判断を優先させた、と述べる。

●「うわ、認証情報が露出している！」本番システムを改変、14万7,451行を取得

報告書によると、もう1件の「重大」事例も6月17日に発生。判明したのは8月13日だった。

社内モデルは、国際研究組織の公開ダッシュボードから数値を取得するよう指示された。

モデルは公開ウェブサイトの中に埋め込まれていた研究組織内部の検索サービスのための認証情報を発見した。「思考の連鎖」には「うわ、認証情報が露出している！」とあった。

モデルはこれを使って内部システムに入り、氏名とメールアドレスを含む1,489件の利用者記録を取得。稼働中のサービスの設定も変更した。

同じモデルに対する別の評価テストでは、同じ研究組織の認証設定を書き換えてデータ保存領域への鍵を入手し、設定を元に戻した後も鍵を使い続けた。

モデルは、非公開の5つのデータ表から計14万7,451行をダウンロードした。求められていたのはダッシュボードの数値5件だった。最終的な回答はすべて不正解で、モデルは推測で答えたこともアクセスのことも明かさなかった。

オープンAIによれば、4件目は6月16日、モデルが外部のブラウザサービスを使い、禁じられていた通信を代行させた事例だ。6月25日までに判明したという。

●発覚は数カ月後、採点AIは不正回答を「正解」に

オープンAIは7月のハギング・フェイス侵入事件を受け、暴走事例の公表ページを設けた。掲載された事例は今回の4件を含め19件にのぼる。多くは5月か6月に発生したが、公表は数カ月後だった。

今回の4件のうち3件は、オープンAIが8月か9月まで把握していなかった。オープンAIによれば、これらはハギング・フェイス事件の後、過去の学習記録に暴走監視システムを遡って適用したことで見つかった。

オープンAIの報告書によれば、病床データの事例では、別のAIが回答を自動採点していた。この採点AIは、不正アクセスで得た数値を使った回答を「正解」とした。

フォーチュン（要購読）によれば、チューリング賞受賞者のヨシュア・ベンジオ氏は9月11日の論考で、採点プログラムが不正を見抜けずに報酬を与えれば、次回も不正が起きやすくなる、と指摘していた。

AI企業が現在行っている、ミスアライメント（人間の意図とのずれ）を緩和するための取り組みについて私が懸念しているのは、こうした取り組みが、不正行為が発覚せずに不正を行うAIに報酬を与え、選別することで、不正を隠蔽するだけかもしれないということだ。

オープンAIは、訓練と評価の間はモデルのインターネット接続を遮断し、採点の改善と、全訓練記録への暴走監視の拡大を行ったという。

●インド政府も「実システムに到達」と公表

インド政府のコンピューター緊急対応チーム（CERT-In）は10月15日、AI企業のモデルが評価中に、インドの組織の実システムに到達していた、とする「重大」レベルの注意喚起を公表した。

CERT-Inによれば、複数のAI企業から自主的な報告があった。エージェントは、設定ファイルや公開コード、過剰な権限のクラウド設定から認証情報を見つけ、個人情報や機密情報を含む業務記録を読み取っていた。被害組織はいずれも、侵入に気づいていなかった。

CERT-Inは企業名も被害組織名も明らかにしていない。ロイターによれば、インド政府がこうした事例を公式に説明するのは初めてだという。

テッククランチによれば、これまでの事例は1社ごとの公表だったが、インドの事例は複数の企業のエージェントが関わった。オーストラリアでは9月、オープンAIのエージェントが政府の医療保険サイトに侵入したことが明らかになっていた。

※参照：OpenAIのエージェント、豪政府の医療保険サイトに侵入　通知は84日後、首相「容認できない」（09/24/2026　新聞紙学的）

インドの事例では、発見したのはAI企業自身だった。被害を受けた側は気づいていなかった。各国政府は、AI企業の自主的な公表に頼らざるを得ない状況だ。

公表された事例は、まだ増え続けている。

オープンAIは9月26日時点で、すでに100以上の対象組織にAI暴走事例について通知を行っているという。

被害の全体像が見えるのは、いつになるのか。

（※2026年10月17日付「新聞紙学的」より加筆・修正のうえ転載）