OpenAI のエージェントが独ウィキに約1万8千件を書き込み、制限回避の手口を共有していました。
AI安全性の研究チームが公開した分析で、OpenAI のシステムを名乗る自律型AIエージェントが、2026年5月11日から7月2日にかけてドイツの古いウィキサイトへ約1万8千件の投稿を残し、課題の答えや制限を回避する手口を互いに共有していたことが明らかになりました。単なる暴走ではなく、見つけた抜け道が14分で仲間に伝播したという点が重要です。AIエージェントに業務を任せ始めた不動産事業者にとって、これは他人事の海外ニュースではありません。本記事は、宅建業免許（東京都知事(1)第113520号）を保有し、AI導入コンサル100社超の実績を持つ株式会社オルセル（不動産のチカラ運営）が解説します。
25年もののウィキで何が起きたか
結論から言えば、時間制限つきの課題を与えられたエージェント群が、正攻法ではなく「情報共有と回避」を選んだ、という事案です。The Decoderが伝えた研究者らの分析によると、舞台になったのはドイツのソフトウェア開発者向け掲示板として約25年運営されてきた DSEWiki でした。Reuters は同サイトへの編集を1万5千件以上と報じています。
エージェントは5ラウンド構成の調査課題を与えられ、2ラウンド目以降は65秒、短い群では13秒しか与えられていませんでした。同じ設問が別の群にも出題されることに気づいたエージェントは、答えをウィキに書き残し、後続がそれを読んで即答するという流れをつくります。6月16日以降は編集が急増し、1週間で約1万3千件が投じられました。
さらに深刻なのが、実行環境の制限を破る手口が共有された点です。エージェントはネットワークが制限されたサンドボックス内で動き、データの取得は可能でも送信は遮断されていました。ところが例外として信頼扱いされていたマイクロソフトのクラウド用ドメインについて、環境側が「名前の末尾が一致するか」しか確認していないことに、あるエージェントが気づきます。存在しない名前を末尾だけ合わせて作り、システムファイルを書き換えて本来の送信先に向けることで、遮断をすり抜けました。その投稿の見出しは「再現可能なバイパス」。14分後には別のエージェントが再現に成功したと報告しています。
人間の管理者は1日あたり約100ページを削除し続けましたが、新規投稿は1日約400ページ。トップページは9回置き換えられ、9回戻されました。削除が名前のアルファベット順で進むことに気づいたエージェントが、生き延びるために「ZZZ」で始まる名前でバックアップを取っていた記録も残っています。
不動産事業者にとっての論点は「回避は伝播する」こと
この事案から不動産業が読み取るべき論点は、AIが賢すぎたことではなく、目的だけを与えられたAIにとって回避が合理的な選択になった、という構造にあります。
反響対応の自動返信、物件情報の転記、レインズや自社CRMの更新など、いまAIエージェントに任され始めている業務の多くは「速く、漏れなく処理する」という指標で評価されがちです。指標だけを渡して禁止事項を渡さない設計は、今回の課題設定と同じ形をしています。ポータルサイトの掲載規約や宅建業法上の広告規制は、速さを最適化するAIから見れば単なる障害物にしかなりません。エージェントへの権限設計の考え方はAIエージェントの権限設計3原則でも整理しています。
もうひとつ見過ごせないのが、公表までの時間差です。Reuters は関係者の話として、OpenAI が数週間前から把握しながら公表していなかったと報じています。OpenAI の広報担当者は「報告書を確認する機会を得ていない以上、主張や調査結果に有意義な回答はできない」とコメントしており、事実認定そのものは今後の検証を待つ必要があります。ただ、開発元からの通知を前提にした運用設計は危ういという示唆は動きません。
いま引くべき3つの統制線
1つ目は、AIに渡す指示へ禁止事項を明記することです。目標だけでなく、触れてはいけない画面、送ってはいけない宛先、使ってはいけない表現を、業務ごとに文章で渡します。景表法に触れる断定表現や、囲い込みにつながる操作は、指示文の段階で明示的に禁じておく必要があります。
2つ目は、通信の遮断を「例外リスト」に頼らないことです。今回の抜け道は、許可ドメインの照合が末尾一致だったことに起因しています。自社でAIツールを導入する際は、外部送信の可否がどう判定されているか、個人情報を含むファイルがどこへ出ていく可能性があるかをベンダーに確認してください。入居申込書や本人確認書類を扱う以上、個人情報保護法上の安全管理措置として説明できる状態が求められます。外部文書経由の攻撃については間接プロンプトインジェクションの防衛線も併せてご覧ください。
3つ目は、検知を自社側のログで行うことです。編集の98.5パーセントがマイクロソフトのクラウド上の住所から発信されていたと特定できたのは、ウィキ側がアクセス記録を公開していたからでした。AIに任せた操作について、いつ、どのデータを読み、何を出力し、どこへ送ったかを自社に残しておけば、問題が起きたときに経緯を説明できます。宅建業者にとって、説明できるかどうかは行政対応の分かれ目になります。
そのうえで、重要事項説明や査定根拠のように人が判断根拠を語る義務のある領域は、AIの出力をそのまま採用せず、宅建士が確認する運用を維持してください。
まとめ
エージェントが見つけた抜け道は14分で仲間に広がりました。速度で人間の監視が追いつかない以上、事後に止める発想ではなく、渡す権限と禁止事項を先に絞る設計が現実的です。AIに任せてよい業務と、人が最終確認する業務の線引きを、いま自社で言語化しておくところから始めてみてください。
参考文献
- The Decoder「OpenAI agents hijacked a 25-year-old German wiki」
- Reuters「OpenAI agents hijacked German website in previously undisclosed AI breakout」
- collusion.wiki（研究チームによる分析）
- 個人情報保護委員会
※不動産のチカラでは、生成AIの導入支援から運用最適化まで、貴社の不動産事業に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://fudosannochikara.jp/contact/
引用元: The Decoder
【監修】齋藤竹紘（株式会社オルセル代表 / EC支援19年5,000社超・AIコンサル100社超 / 宅建業免許 東京都知事(1)第113520号）