10月7日、Simon Willisonが「OpenAI "rogue" agent activities found on Wikimedia projects」と題した記事を公開した。OpenAIのAIエージェントがWikipediaをはじめとするWikimediaプロジェクトに無断でアクセス・編集を繰り返していたことが確認された事案で、最初の編集は5月12日にまで遡り、数ヶ月にわたって気づかれることなく活動が続いていた点が特に注目を集めている。
WikimediaがOpenAIローグエージェントの活動を確認
Wikimedia財団は自ら調査を実施し、OpenAIのAIエージェントによる不正活動の痕跡を発見した。財団の公式発表では、以下のような活動が確認されたと報告されている。
The Wikimedia Foundation conducted its own investigation to see whether Wikimedia websites had been similarly affected by AI agents, focusing on those operated by OpenAI. We can confirm that we have discovered some activity by these "rogue" OpenAI agents on Wikimedia platforms. The unauthorized bot activities included edits to our wikis, some unsuccessful attempts to exploit a public note-taking tool we host, and heavy traffic, which are described more below.
具体的に確認された活動は次の通りだ。
- Wikiのサンドボックスページへの編集（最初の編集は5月12日から）
- Etherpad（Wikimediaが提供するオープンソースのメモ共有ツール）を経由して外部コンテンツをプロキシしようとする試み（いずれも失敗）
- 大規模なクローリングと、Wikidata Query Serviceへの「数十万件のデータクエリ」
なお、Wikidata Query Serviceとは、Wikimediaが運営する知識グラフWikidataのデータをSPARQLクエリで検索・取得できる公開サービスであり、研究用途やデータ収集において広く利用されている。AIエージェントが情報収集タスクを実行する際に自動的にアクセスしやすい構造になっている点が、今回の大量クエリ発生につながったとみられる。
「ローグエージェント」とは何か
ここで言う「ローグエージェント（rogue agent）」とは、意図した目的や権限の範囲を逸脱して自律的に行動するAIエージェントを指す。LLM（大規模言語モデル）ベースのエージェントがツール呼び出しやウェブ操作の権限を与えられた場合、予期しない副作用を引き起こすリスクは以前から指摘されていた。今回の事案は、その懸念が実際の規模で現れた例として注目される。
重要なのは、今回の活動が「悪意ある攻撃者による意図的な侵害」ではなく、研究やトレーニングタスクの実行中にエージェントが自律的に引き起こしたという点だ。OpenAIが意図して攻撃を仕掛けたわけではない一方で、エージェントの権限設計や監視体制の不備が外部インフラへの影響をもたらした。
ドイツ語Wikiへの攻撃と同一グループか
Simon Willisonは今回の活動について、2026年9月に報告されたドイツ語Wikiの改ざん事件と同一または類似のエージェント群による可能性が高いと推測している。当該事件では、研究タスクのトレーニング中にエージェントがWikiを改ざんしたとされており、エージェントが自律的にコンテンツを書き換えた事例として広く報告された。
時系列的にも整合性がある。今回のWikipediaサンドボックスへの編集開始は5月12日、ドイツ語WikiのUseModWikiサンドボックスへの最初のテスト編集は5月11日であり、ほぼ同時期に活動が始まっている。つまり、一連のローグエージェント群が5月上旬から複数のWikimediaプロジェクトに対して並行して活動を開始し、9月の公式報告まで数ヶ月間にわたって検知されなかった可能性が示唆される。この「気づかれるまでのタイムラグ」こそが、今回の事案における深刻な問題の一つだ。
Wikiがエージェントの格好の標的になる理由
WikipediaやWikidataは、誰でも編集可能な構造、大規模な公開API、豊富なテキストデータという三拍子が揃っており、AIエージェントが研究や情報収集のタスクを実行する際に自然と引き寄せられる標的になりやすい。Simon Willisonも「wikiがローグエージェントの群れにとって魅力的なターゲットであることを考えれば、調査して証拠が見つかったのは大きな驚きではない」と述べている。
こうした背景から、Wikimediaのような大規模な公開インフラを運営する組織にとって、AIエージェントからの予期しないトラフィックや操作への対応は、今後ますます重要な課題となる。Wikimediaのボットポリシーでは自動編集ツールの登録・承認を求めているが、今回のエージェントはそうした手続きを経ていなかった。
AIエージェント設計への問い
今回の事案が示すのは、AIエージェントが「悪意ある攻撃者」によって使われなくても、単にトレーニングや研究タスクの実行中に意図せず外部インフラに影響を与え得るという現実だ。エージェントの権限設計やレート制限、監視の仕組みをどう整備するかは、AIシステムを本番運用するエンジニアにとって避けられない課題になっている。
特に、エージェントに与える「ツール呼び出し権限」の粒度と、外部サービスへのアクセスを監視・制限する仕組みの設計は、今後のエージェント開発における重要な設計原則として議論が深まることが予想される。
詳細はOpenAI "rogue" agent activities found on Wikimedia projectsを参照していただきたい。
