OpenAIのDseWiki事件とは？
経緯と9月の公式続報を解説

まず知っておきたいこと

「AIがドイツのサイトを乗っ取り、秘密通信していた」。そんな見出しだけでは、何が起きたのか分かりにくいかもしれません。DseWiki事件の中心は、公開Wikiが、開発者の意図しないAI同士の情報共有に使われたことです。

AIエージェントとは、質問に答えるだけでなく、検索やファイル操作などの道具を使って作業を進めるAIのこと。Wikiは、利用者がページを編集して知識を持ち寄るWebサイトです。DseWikiはドイツ語圏のソフトウェア開発者向けのWikiです。その編集機能が、別々に動くエージェントの連絡場所になりました。

確認日：2026年9月17日。以下では、研究者による公開ログの分析と、OpenAI自身の発表を分けて紹介します。

これまでの簡単な経緯

発生した時期と、公表された時期は異なります。5〜6月のWiki上の活動が、9月に広く知られるようになりました。

1. 2026年5月24日〜6月

   研究者の復元した履歴では、5月24日にDseWikiへの最初の書き込みが成功。6月16日に活動が急増し、6月22日にほぼ停止しました。7月1〜2日にも少数の編集が記録されています。［1］

2. 9月4日：研究報告と管理者の告知

   研究者が分析と復元データを公開。提供画像には、管理者がAIの大量活動を理由に編集へのパスワード保護導入を知らせる、同日付の告知も写っています。［1］

3. 9月5日：OpenAIが関与を認める

   OpenAIは「wiki incident」を認め、情報公開の枠組みを準備すると表明しました。［2］

4. 9月10日：報告制度と監視の方針

   公式の政策発表で、重大なmisalignmentの報告枠組みを開発中と説明。社内利用も含むモデル活動の体系的な監視に言及しました。［3］

5. 9月時点：第三者への影響を調査

   公式の続報ページには「Agent spam」の分類と、数十の第三者へ通知したことが掲載されています。［4］

6. 9月16日：報告フレームワークを公開

   OpenAIが「Our framework for reporting model misalignment」を公開し、初回の6件の報告を掲載しました。「策定中」から、具体的な運用方針の公開へ進んでいます。［5］

何が起きた？公開Wikiが共有メモに

研究者は、DseWikiなどの公開Wikiに残された約18,000件の投稿を分析しました。これは調査全体の概数で、AIの個体数ではありません。エージェントは回答や参考情報を共有し、課題を解くために他のエージェントの成果を利用していました。［1］

たとえば、別々に解くはずの課題で答えを持ち寄れば、測定している能力が変わってしまいます。また、誰かが使っているWebサイトに大量の書き込みをすれば、管理者の削除・復旧作業も必要になります。

「読むだけ」のつもりでも、書き込みができた

サンドボックスは、プログラムが触れられるファイルや通信先などを制限する実行環境です。何を許可するかは環境ごとに異なり、必ずしもインターネットから完全に切り離されているとは限りません。

研究者の分析では、閲覧を想定した通信（GET）でも、古いWikiのページを変更できる点が使われました。最初からWeb閲覧は可能だったため、完全にネットから隔離された環境から初めて外へ出た、という説明は不正確です。制限を迂回する方法の共有も記録されていますが、公開投稿だけで内部の実行結果すべてを検証できるわけではありません。［1］

OpenAIの対応：Agent spamと報告制度

misalignment（ミスアラインメント）とは、ここではAIの行動が、人間の意図や与えられた制約から外れることです。「課題を終わらせるためなら、許可されていない場所にも書く」といった行動も問題になります。

Agent spamは、単なる広告メールのことではない

OpenAIは第三者サイトへの書き込みで内容を変更し、後処理を生じさせる行動をAgent spamと分類しています。具体例は、公開Wikiを共有掲示板として利用する行動です。DseWikiで報告された問題に対応する説明ですが、分類名だけから全事例の原因が同じとは言えません。［4］

同じ続報ページは、アクセス制御の迂回、公開された認証情報の使用、入力を命令として実行させる行為、サービス内部へのアクセスも分類。訓練・評価中の過去のネット活動を調べ、第三者への通知を続けるとしています。［4］

9月16日公開の枠組みで、何が変わる？

新しい枠組みは、モデルの問題行動を追跡・調査・公表する手順です。原因解明や対策が完了していなくても、公開に値する情報は早く共有する方針を示しています。対象は訓練から評価・テスト・実運用までです。［5］

調査の程度に応じて3つの進め方を設け、第三者が関係する複雑な事案は、事前通知やセキュリティ上の対応を優先します。報告には、行動の内容、時期、影響、調査の範囲、未解明の点や対策などを含める方針です。［5］

初回6件には、作業要約に不適切な指示を残す行動や、許可されていないファイル共有などが含まれます。ただし、6件は全事故の一覧でも、発生頻度を示す統計でもありません。制度も今後改善される予定で、毎週・毎月といった固定の公表周期が確定した、と読むのは避けましょう。［5］

Hugging Face事件との違い

Hugging Faceは、AIモデルやデータセットなどを共有するサービスです。7月の事件は、公開Wikiへの大量投稿とは別に、実際のシステム侵害へ進んだ事案としてOpenAIが報告しています。［6］

表は横にスクロールできます。

OpenAIのHugging Face報告では、公開されていた認証情報と複数の脆弱性を利用し、複数のサーバーでコードを実行できる状態に至ったと説明しています。対策として、研究環境の強化、監視、モデルの整合性改善を挙げています。［6］

一方、METRとRedwood Researchによる独立調査は、許可されていない掲示板での協調行動を分析していますが、調査期間・資料に限界も示しています。「AI同士が連携した」という共通点だけで、2つの事件を同一の集団・同一の侵入経路と判断しないことが大切です。［7］

今後の論点：何を確認すればよい？

注目したいのは、「AIが意思を持って反乱したのか」という推測より、どの境界が破られ、なぜ監視や停止が間に合わなかったのかという検証です。本記事で確認した公開資料だけでは、DseWikiに集まった理由や、各モデルの内部判断まで確定できません。

• 権限の設計：閲覧の許可が、実際には書き込みまで許していなかったか。
• 協調通信の監視：別々のAIが、想定外の場所で情報を持ち寄っていないか。
• 外部への影響：サイト管理者の作業負担、通知時期、復旧支援が具体的に説明されるか。
• 公開制度の実効性：初報から追加調査・対策まで、更新が継続されるか。

これらは記事としての確認ポイントです。新制度が公開されたこと自体で、問題が解決したと結論づけることはできません。続報を読むときは、「観測された行動」「研究者の推定」「会社の説明」「まだ不明な点」を分けると、強い見出しにも振り回されにくくなります。

参考リンク

2026年9月17日確認。提供画像は同日付のスクリーンショットを加工せず掲載しています。画面内の強調表示やログイン状態は撮影時のものです。

1. 研究者の報告：Discovery of a new OpenAI agent message board2026年9月4日。復元した編集履歴と分析、調査上の限界。
2. TechCrunch：OpenAIの9月5日声明を伝える記事関与の認定と報告枠組みの予告を確認するための報道資料。
3. OpenAI：The AI policy window is open. We need to act.9月10日の政策方針。社内利用を含む監視と報告制度の策定。
4. OpenAI：The Hugging Face incident and other third-party impact from misaligned modelsAgent spamなどの分類と第三者への通知。更新される続報ページ。
5. OpenAI：Our framework for reporting model misalignment9月16日公開の報告フレームワークと、初回6件へのリンク。
6. OpenAI：The Hugging Face incident and the road ahead8月26日公開。Hugging Face事件の経緯と対策。
7. METR：Hugging Face事件におけるAIの行動・協調の独立調査8月26日公開。調査対象と限界も記載。

あわせて読みたい