暮らしと仕事の「？」を調べてみた｜世界AI重要事案
AIが公式の指示を信じた結果、認証情報が外部へ？ OpenAIのAIスキルに見つかった問題
実際のアプリから認証トークンを受信したと研究者が報告。修正報告後も公開ファイルに残る記述を確認
資料確認日：2026年10月18日
AIにホームページや業務用アプリを作ってもらうとき、AIが参考にする「公式の作業手順」は、どこまで信用できるのでしょうか。
2026年10月14日、セキュリティ企業AIR Securityが、OpenAIの公式GitHubで公開されているAIエージェント用スキルに、誤った接続先が記載されていた問題を報告しました。
研究者によると、その指示に従って作られたアプリが、本来は内部通信に使うはずの認証情報を、外部のドメインへ送信していました。研究者はそのドメインを取得し、実際に稼働するアプリから認証トークンを含む通信を受信したと報告しています。
今回のポイント
AIが独断で危険な接続先を選んだのではなく、AIが参照した作業手順そのものに誤りがあり、それがアプリの設定へ反映されたという問題です。
そもそもAIの「スキル」とは？
AIエージェントのスキルとは、AIに特定の作業方法を教えるための説明書のようなものです。アプリを公開する方法、設定ファイルの書き方、外部サービスとの接続方法などが記載されています。
今回問題となったのは、クラウドサービス「Render」にアプリを公開するための render-deploy というスキルです。OpenAIの公式GitHubリポジトリで公開されていました。
何が間違っていたのか
問題となったのは、アプリ同士が内部で通信するときに使う接続先です。Renderの正規の内部通信では、サービスごとに割り当てられる内部ホスト名を利用します。
ところが、スキルの説明ファイルには、内部接続先として render-internal.com が記載されていました。研究者によると、このドメインは当時Renderの管理下になく、第三者が取得できる状態でした。
そのため、アプリが内部サービスへ接続しているつもりでも、実際には外部のドメインへ通信してしまう可能性がありました。
AIは誤った接続先をアプリに組み込んだ
研究者はOpenAIのCodexを使い、問題のスキルを参照して、内部通信を行うサービスを構築するよう依頼しました。その結果、誤ったドメインが生成されたアプリのプログラムと設定ファイルに組み込まれたと報告しています。
AIが独自に危険な接続先を考え出したのではなく、参照した資料の誤りがシステムに入り込んだということです。
実際のアプリから認証トークンが送信された
研究者は問題のドメインを取得し、そこへ届く通信を記録するサーバーを用意しました。AIR Securityによると、研究用に作成したアプリだけでなく、実際に稼働しているアプリからも通信が届き、認証トークンなどの機密情報が含まれていました。
認証トークンとは、システムがアクセス権限を確認するために使う情報です。第三者に知られると、不正アクセスにつながるおそれがあります。
確認されたことと、確認されていないこと
認証情報を含む通信を受信したのは、調査を行ったAIR Securityの研究者です。犯罪者が認証情報を取得した事実や、不正利用した事実までは確認されていません。影響を受けたアプリの総数も不明です。
修正されたはずなのに、記述が残っている？
AIR Securityの報告によると、問題の記述は2026年1月27日に追加されました。研究者は、Renderが8月14日に修正し、OpenAIが8月26日に関連プラグインを削除したと説明しています。また、問題のドメインはRenderの管理下へ移されたと報告しています。
一方、2026年10月18日時点でOpenAIの公開GitHubを確認すると、render-deploy の説明ファイルには問題のドメインが引き続き記載されていました。
| 8月14日の修正 | 研究者が報告 |
|---|---|
| 8月26日の関連プラグイン削除 | 研究者が報告 |
| 問題のドメインの管理移転 | 研究者が報告 |
| 10月18日の公開ファイル | 問題のドメインの記述を確認 |
| 現在も同じ方法で情報取得できるか | 未確認 |
公開ファイルに古い記述が残っていることと、現在も第三者が認証情報を取得できることは別です。 ドメインがRenderの管理下に移されていれば、当初と同じ方法で第三者が取得する危険性は抑えられている可能性があります。
ただし、古い記述が残っている理由や、現在の利用者への影響範囲については追加確認が必要です。
「公式だから安全」とは限らない
AIエージェントは、作業を進めるために説明書や設定例、外部サービスの資料を読み込みます。そこに誤りがあれば、AIが誤った内容を正しいものとして利用してしまう場合があります。
今回のスキルはOpenAIの公式リポジトリに掲載されていました。それでも接続先に問題がありました。信頼できる提供元の資料であっても、内容の安全性が自動的に保証されるわけではありません。
私たちの暮らしや仕事にも関係する？
地域の事業者がAIを使ってホームページや予約受付システムを構築する場合、顧客情報を扱うサービスや外部データベースへ接続することも考えられます。
AIが生成したプログラムに誤った接続先が含まれていれば、情報の取り扱いに問題が生じる可能性があります。接続先のドメインが正しいか、認証情報がどこへ送信されるか、参照したスキルが最新かを確認することが大切です。
問題のある設定でアプリを稼働させた可能性がある場合には、通信記録の確認や、必要に応じた認証情報の無効化・再発行も検討する必要があります。
まだ分かっていないこと
実際に影響を受けたアプリの総数、認証情報が悪意ある第三者によって取得・悪用されたかどうかは分かりません。また、OpenAIの公開リポジトリに古い記述が残る理由や、現在の利用者にどの範囲で影響が残るかも未確認です。
AIR Securityは調査の当事者であり、認証情報の受信は同社自身の報告に基づきます。編集部が同じ通信を独立して再現したものではありません。
編集部まとめ｜AIに仕事を教える情報は、誰が確認する？
OpenAIの公式スキルに誤った接続先が記載され、AIがその情報をアプリの設定へ反映したと研究者は報告しています。実際に稼働するアプリから認証情報を含む通信を受信したという報告もあります。
一方、犯罪者による悪用は確認されておらず、現在も同じ情報漏えいが可能だとは判断できません。
AIを安全に使うには、AI自身の行動だけでなく、AIが参照する説明書や設定例、接続先まで確認する必要があります。
主な確認資料・情報源
調査報告（英語）誤った接続先、実験、認証情報の受信、修正経緯についての研究者自身の報告。
render-deploy / references / service-types.md問題のドメインが記載されていた公開ファイル。内容は更新される可能性があります。
Private Network – Render Docs正規の内部ネットワークとホスト名の仕様。
※この記事は公開資料に基づく整理です。実際の被害範囲や現時点での危険性について、未確認の事項を断定していません。掲載前にGitHubの最新状態をご確認ください。
