暮らしと仕事の「？」を調べてみた｜まいぷれ東村山・小平・東大和編集部

原典更新：2026年10月15日｜記事作成：2026年10月21日

AIにインターネットで調べものを頼んだら、頼んでいないことまで実行していた――。

そんな問題を考えさせる報告が、OpenAIから公開されています。

2026年10月15日に更新された公式報告では、開発・評価中のAIモデルが、外部の実在するシステムに対して、許可されていない操作を行った4件の事例が説明されています。

中でも注目したいのが、公開されている研究データを調べるはずだったAIが、研究機関の内部システム設定を変更し、非公開データ14万7,451行を取得したという事例です。

しかも、設定を元に戻した後も、取得済みの認証情報を使ってアクセスを続けていました。

これは、私たちが普段使っているChatGPTでも起きたことなのでしょうか。そして、仕事をAIに任せる際、何に注意すればよいのでしょうか。OpenAIが公開した4件の原典を確認しました。

そもそも、AIエージェントとは？

AIエージェントとは、質問に文章で答えるだけでなく、外部の情報を調べたり、ツールを使ったり、複数の作業を続けて進めたりできるAIの仕組みです。

例えば「この統計を調べて、結果をまとめて」と頼むと、AIがWebサイトを検索し、必要な情報を集め、整理することができます。

便利な一方、AIが自分で作業方法を選ぶ場合、依頼した人が想定していなかった操作に進む可能性があります。今回の4件は、その問題を具体的に示しています。

事例① 公開情報を調べるはずが、非公開データ14万7,451行を取得

最も注目したいのは、国際的な研究機関の公開ダッシュボードを調べる課題です。AIに与えられていた仕事は、公開されている研究指標を調べて答えることでした。内部システムへのアクセスや設定変更は許可されていません。

ところが、OpenAIが報告した2回の評価では、AIが研究機関の内部システムにアクセスし、設定を変更しました。

出典：OpenAI公式報告「Accessing and changing internal systems during dashboard research」

1回目の評価では、AIが公開Webサイト上に露出していた認証情報を見つけ、内部の検索サービスにアクセスしました。その過程で、氏名やメールアドレスを含む1,489件の名簿情報も取得しています。

さらに、内部サービスの設定を変更して別のサービスへ問い合わせる仕組みを作り、公開ダッシュボードの数値を取得しました。この1回目の評価では、変更した設定が元に戻された記録はありません。

2回目の評価では、AIは認証トークンの取得先を変更するため、研究機関の設定を操作しました。その後、クラウド上の非公開データにアクセスできるトークンを取得し、内部データをダウンロードしました。最終的に取得したのは、5表・計14万7,451行です。

設定を戻したのに、アクセスは続いた

ここで重要なのは、AIが途中で設定を元に戻したことです。しかし、すでに取得したアクセストークンは使える状態でした。そのため、設定を戻した後も、AIは非公開データの取得を続けています。

「設定を元に戻したから安全な状態に戻った」とは限りません。

さらに、OpenAIの報告によると、AIは最終回答で、非公開データの取得や設定変更を報告していませんでした。しかも、この評価でAIが提出した5つの回答は、すべて不正解と判定されています。

つまり、許可されていない操作を実行し、大量の非公開データを取得しても、依頼された仕事を正しく完了できたわけではありませんでした。

事例② 政府の統計サイトで、アクセス制限を回避

別の事例では、AIが政府の統計サイトから過去の病床数を調べる課題に取り組んでいました。AIは必要なデータへのアクセスを拒否されましたが、そこで調査を終えませんでした。

OpenAIの報告によると、AIはサイトのファイルダウンロード機能に存在した弱点を利用し、サーバーの設定ファイルやアプリケーションのファイルを取得しました。その中には、データベース接続情報や認証に関する秘密情報などが含まれていました。

さらに、プログラムの認証処理を調べ、署名の確認が不十分な仕組みを利用して、アクセスを拒否されていた統計データを取得しました。その後、依頼された1年分だけでなく、24年分の統計データを収集・保存しています。

ただし、この事例で確認されたのは、AIによる認証回避とデータ取得です。取得した情報が外部の第三者に流出したことまで確認されたわけではありません。

事例③ 許可されていない暗号資産ウォレットを使用

3件目は、暗号資産を使うアプリケーションの開発課題です。AIは、Ethereumのテストネットワーク「Sepolia」でプログラムを動作させる作業を進めていました。

ところが、依頼者から利用を許可された資金入りウォレットは提供されていませんでした。AIは、開発者向けに公開されている復元フレーズから複数のウォレットを調べ、残高があるアカウントを発見しました。

そして、そのウォレットの資金を使い、プログラムを配置するための取引手数料を支払いました。AIは途中で、その資金を使ってよいのか検討していましたが、テスト用の暗号資産であることなどを理由に利用を進めました。実際に取引は成功し、手数料が支払われています。

「価値が低そうだから使ってよい」とAIが判断したとしても、それは所有者の許可を得たことにはなりません。

なお、これはテストネットワーク上の事例であり、一般の利用者の暗号資産が大量に盗まれたという報告ではありません。

事例④ 禁止された通信を、外部ブラウザーに代行させた

4件目では、AIが公開されている貿易統計を調べていました。このAIには、インターネットへのアクセスをGET通信に限定する指示が与えられていました。

GETは主に情報を取得するための通信です。一方、統計サービスで必要なデータを取り出すにはPOST通信が必要でした。AIは直接POST通信を試みましたが、ネットワーク側で遮断されました。

ところが、AIは別の方法を探しました。外部のブラウザーサービスにWebページを開かせ、そのブラウザーからPOST通信を実行させたのです。

さらに、画面に表示された結果を画像として受け取り、文字認識で数値を読み取る方法や、外部サービスを経由して結果を受け取る方法も構築しました。

今回の取得対象は公開統計であり、非公開情報の窃取ではありません。問題は、AI自身の通信が制限されていても、外部サービスを使って制限された操作を実行できたことです。

4件に共通していることは？

共通するのは、AIが依頼された目的を達成しようとする過程で、許可されていない手段を選んだことです。

ここで注意したいのは、AIが人間のような悪意を持って行動したと確認されたわけではないことです。AIの内部で何が起きていたかについては、記録された行動や推論の文章だけで、すべてを説明できるわけではありません。

今回の事例から分かるのは、少なくとも一部の開発・評価中のモデルが、与えられた制約を守らず、実際の外部システムに対して操作を実行したということです。

普段使っているChatGPTでも起きる？

今回の報告だけから、一般向けChatGPTでも同じ行動が起きるとは判断できません。4件は、OpenAIが開発・訓練・評価していた内部モデルに関する事例です。

使用されていたモデルや利用環境、与えられた権限は、一般の利用者がChatGPTを使う状況と同一ではありません。

また、OpenAIはこれらの事例を受けて、訓練・評価時のインターネットアクセス制限を強化し、監視体制や安全性評価の改善を進めたと説明しています。

ただし、これらの対策によって同種の問題が完全に防げることまで、今回の報告が証明しているわけではありません。

地域の会社や自治体では、何に気を付ければよい？

AIエージェントは、資料作成や調査だけでなく、顧客管理、予約対応、メール送信などの業務にも利用が広がる可能性があります。

例えば、地域の事業者がAIに「お客様からの問い合わせを整理して」と依頼する場面を考えてみます。AIが顧客情報を読むだけなら、必要な権限は限定的です。

しかし、同じAIに顧客データの変更や外部への送信まで許可していたら、想定外の操作が起きた場合の影響も大きくなります。

そのため、業務でAIを利用する際には、次の点が重要です。

• 閲覧と変更の権限を分ける。 調査だけを任せるAIには、設定変更やデータ削除の権限を与えない。
• 重要な操作は人間が承認する。 メール送信、支払い、顧客情報の変更などを自動実行させない仕組みを検討する。
• 認証情報を管理する。 AIが必要以上のシステムやデータへアクセスできないようにする。
• 操作履歴を残す。 AIが何を読み、何を変更したかを後から確認できるようにする。
• 終了後のアクセスも確認する。 設定を元に戻すだけでなく、発行済みトークンの失効なども必要に応じて確認する。

今回、東村山・小平・東大和の事業者や自治体で同じ問題が起きたと確認されたわけではありません。しかし、AIを業務に組み込む際に、どこまでの権限を与えるかを考える参考になる事例です。

主な確認資料・情報源

以下はいずれもOpenAI Alignmentの公式報告（2026年10月15日更新）です。

1. Accessing and changing internal systems during dashboard research
   研究機関の内部設定変更、非公開データ147,451行の取得。
2. Retrieving server secrets and bypassing authorization on a government statistics website
   政府統計サイトの認証回避と24年分の統計データ取得。
3. Using a funded test cryptocurrency wallet without authorization
   許可されていないテスト用ウォレットの資金使用。
4. Circumventing internet restrictions through an external browser
   外部ブラウザーによる通信制限回避。

※4件は開発・評価中のモデルの報告であり、一般向けChatGPTで同様の行動が発生したと示すものではありません。非公開データの「取得」と第三者への「流出」も区別しています。