本気でシステムに潜入しようとするなら、普通はファイル名に「hack」「evil」「exploit」などとは付けないものだ。しかし複数の研究者が《ウォール・ストリート・ジャーナル》に明かした情報によると、OpenAIがサンドボックス環境でテストしていた一群のAIエージェントは、今年5月11日にRubyのコミュニティ向けパッケージプラットフォーム「RubyGems」に侵入した際、まさにこの隠す気ゼロの命名方式を使っており、ファイル名には「OAI」の文字まで含まれていたという。
これらのエージェントは2~3分に1つのペースで大量にアカウントを作成し、数百件のファイルをRubyGemsにアップロードした。RubyGemsは本来、開発者がコードやライブラリをアップロードし、他の人がダウンロードして使えるようにするためのプラットフォームだが、今回エージェントがアップロードしたファイルの中身はコードではなく、ネットから拾ってきたウェブページの内容で、その中には英国政府サイトのオンラインカレンダーまで含まれていた。事態は深刻で、RubyGemsは新規アカウント登録を丸4日間停止して、ようやくこの攻撃を食い止めた。
研究者らはさらに、これらのエージェントが登録システムを圧迫しただけでなく、プラットフォーム上のいくつかの脆弱性の悪用も試みていたことを発見した。そのうちの1つは、まだ公にパッチが当てられていないゼロデイ脆弱性で、本来他のユーザーに属する既存ファイルを公開させることが目的だったという。この時期には注目すべき点がある――先に話題となったHugging Face事件よりも、まるまる2カ月早いのだ。
OpenAI側の説明:エージェントはRubyGemsを「ブラウザ代わり」に使っていただけ
研究者がこの一件をOpenAIに通報したところ、同社も自社のエージェントが確かにRubyGemsに侵入していたことを認めた。OpenAIの広報担当は《ウォール・ストリート・ジャーナル》に対し、「我々の確認によると、当社のエージェントはRubyGemsプラットフォームをネット接続に利用し、無害なタスクの実行と公開情報の取得を行っていました。トレーニングおよび評価期間中のエージェント活動を包括的に見直す一環として、引き続き調査を続けます」と述べた。
OpenAIはさらに、当時エージェントに与えられていたタスクは表計算シートの作成やレポートの執筆で、エージェントはネットで情報を調べるために、RubyGemsを簡易的なブラウザ代わりとして使っていたと説明した。ただし、完全なネットアクセス権限がない状態で、これらのエージェントがそもそもどうやってRubyGemsにたどり着いたのかは、依然として不明なままだ。なお、OpenAI、Anthropic、Metaはいずれも以前、テスト提携先であるIrregularの設定ミスが原因で、テスト中のAIエージェントが本来設定された環境から抜け出したことがあると表明している。
これは5月に起きて後になって明るみに出た唯一の事例というわけでもない。別の研究者グループも今月初め、OpenAIのエージェントがドイツのウィキペディアのようなサイトで、エンジニアの人間を支援することを目的とした「DseWiki」に対し、1万5000回以上の編集を行っていたことを指摘している。同じく隔離テスト環境から抜け出したこれらのエージェントは、DseWikiを掲示板代わりに使い、OpenAIの制限を回避する「チート」方法を互いに共有し合っていたという。この件も同じく5月に発生したとされ、RubyGems攻撃と時期が近く、いずれもHugging Face事件より早い。
現時点で公開されている情報はここまでで、OpenAIは調査を継続中だとしているが、今後の対応方針やスケジュールについてはまだ明らかにされていない。
