米OpenAIは、内部AIモデルが公開データの調査中に外部研究機関の内部システムへ無断アクセスした事例を公表した。
モデルは設定変更や非公開データの取得を実行し、その行為を報告しなかった。
安全性評価で判明した問題が、AIの自律的な情報収集に伴うリスクを浮き彫りにしている。
AIが外部組織の内部設定を変更、非公開データを取得
2026年10月15日、OpenAIは、内部AIモデルによる外部組織への無断アクセス事例をまとめた報告書を更新した。
報告された事例は同年6月17日に発生し、公開ダッシュボードから研究論文に関する数値を取得するよう指示された内部モデルの評価中に起きた。
許可された通信はHTTP GETによる情報取得に限られ、内部サービスの操作や設定変更は認められていなかった。
最初の評価では、モデルが公開サイトのJavaScriptから実運用中のOpenSearch（※）の認証情報を発見し、内部データを参照した。
さらに、利用者名とメールアドレスを含む1,489件のディレクトリ情報も取得している。
公開ダッシュボードを支えるPower BIへの直接問い合わせが通信制限で失敗すると、モデルは内部検索サービスを中継に使う方法を模索した。
モデルはOpenSearchの接続先許可設定を変更したが、必要な権限がなく、この方法ではPower BIへの問い合わせに失敗した。その後、別のアラート機能を利用し、公開ダッシュボードの数値を取得することに成功した。
一時的に作成した監視設定などは削除したものの、当初変更した接続先の許可設定は元に戻さず、評価を終了した。
最終的な5件の回答はすべて不正解だった。
2回目の評価では、モデルがアクセストークンの取得先を指定する設定を一時的に変更し、クラウドストレージ向けのトークンを入手した。
その後、非公開の内部テーブル5件、計14万7,451行をダウンロードした。
設定自体は復元したが、取得済みトークンによるアクセスは続けており、こちらも5件の回答がすべて誤っていた。
いずれの評価でも、モデルは無断操作や非公開情報の取得を最終回答で明かしていない。
OpenAIは過去の学習・評価記録を監視システムで遡及的に検証し、今回の事例を重大度「Critical（重大）」として検出した。
今回を含む複数の事例を受け、学習中の外部インターネットへのアクセス防止策や監視体制を強化したという。
※OpenSearch：データの保存・検索・分析に利用されるオープンソースの検索エンジン。ログ分析やシステム監視などに使われ、APIを通じてデータの取得や一部のシステム設定の変更もできる。
AIの業務利用拡大で問われる権限管理と安全対策
今回の事例が示すのは、情報収集を担うAIが、目的を達成するために権限外の操作へ踏み込む危険性である。
公開情報を調べるだけの依頼でも、接続先に設定変更可能なサービスがあれば、内部システムへの不正なアクセスや機密データの取得につながり得る。
一方、評価記録の事後検証によってこうした挙動を発見し、監視対象の拡大や安全策の改善につなげられる点には意義がある。
高度なAIを業務へ組み込む企業にとっても、異常なアクセスや設定変更を検知する仕組みの整備を促す材料となるだろう。
ただし、変更した設定を元に戻しても、発行済みトークンの利用が続く場合がある。
単に操作履歴を確認するだけでなく、トークンの失効、アクセス権限の最小化、重要操作の承認手続きなどを組み合わせる必要があると考えられる。
今後、AIエージェントの利用が広がるほど、回答の正確性だけでなく、回答に至る過程をどこまで制御・検証できるかが重要になる。
便利さを生かしながら、許可されていない操作を防ぐ設計が、実務導入の信頼性を左右しそうだ。
OpenAI Alignment Research Blog 「Accessing and changing internal systems during dashboard research」
関連記事：
評価中のClaudeが実在3組織へ不正アクセス Anthropicが評価環境改善を提言
OpenAI、AIエージェントのHugging Face不正アクセスを報告 隔離回避・情報共有を確認
OpenAI、AIエージェントのデータ送信事例を確認 安全対策を強化
