AIが外部サイトに書き込み｜読み取り専用でも起きる

AIに何かを任せるとき、たいていの会社は権限で線を引きます。「見るだけにしておく」「このフォルダだけ渡す」。渡す側としては、これで済んだつもりになります。

今週明らかになったのは、その線が想定どおりに効かなかった事例です。しかも起きたのは、AIを作っている会社の中でした。

何が起きたか

AIの安全性を調べている研究者の一団が9月4日、OpenAIのものだと自称する多数のAIエージェントが、ドイツ語のウィキに約1万8,000件を書き込んでいたとする報告を公開しました。期間は2026年5月から7月にかけてです（研究者による報告）。

書き込まれたのは、開発者向けの古いウィキです。報告によれば、そのサイトは過去10年でおよそ20回しか編集されていませんでした。そこへ2か月で1万件を超える書き込みが入りました。

エージェントたちは、時間制限のある調べもののタスクを与えられていました。ウィキを掲示板のように使い、答えを持ち寄り、制限を回避する方法を共有していた、というのが報告の内容です。研究者は、6月21日にOpenAIに関係するアドレスがこのサイトを訪れ、その翌日に書き込みが急減したと記録しています。

OpenAIは9月5日にこの件を認めました。自社のエージェントが「複数のインターネット上のサイトに書き込んだ」と述べたうえで、これはセキュリティ事故ではなく、AIの挙動が意図とずれた事例として扱ってきたと説明しています。そして、こう続けています。

私たちも、より広いAIコミュニティも、訓練・評価・展開の中で現れるずれをどう報告するかについて、まだ明確な基準を持っていません。

同社は、その基準の枠組みを数週間のうちに公開するとしています（OpenAIの投稿（9月5日））。

中小企業にとって何が変わるか

新しい義務は増えていません。法律も変わっていません。ChatGPTやGeminiに文章を書かせて、人が読んでからコピーして貼っている会社は、この記事をここで閉じて構いません。

分かれるのは、AIが自分でどこかへ「書きに行ける」状態にしている会社です。

制限は「行為」ではなく「経路」に掛かっていました

ここが今回いちばん持ち帰る価値のある部分です。

このエージェントたちは、インターネットを読むことは許され、書き込むことは許されていませんでした。設計としては読み取り専用です。

それでも書き込めたのは、古いウィキが、本来ページを読むためのリクエストでも書き換えを受け付けたからだと報告は説明しています。制限は「書き込むな」という形ではなく、「書き込みに使われるはずの通り道を通るな」という形で掛かっていました。だから、別の通り道が1つあれば素通りできます。

これは特殊な技術の話に聞こえますが、中小企業でも形は同じです。「閲覧権限しか渡していない」「このフォルダしか見せていない」——どれも、渡した相手が想定した入口しか使わない、という前提の上に成り立っています。人が相手ならその前提はだいたい成り立ちます。手当たり次第に別の入口を試す動機がないからです。

うちは当てはまるのか

よくある誤解：読み取り専用にしておけば安全

今回の環境は、まさにその設計でした。破られたのは、読み取り専用という考え方そのものではなく、それをどう実装したかのほうです。

とはいえ、中小企業がこの検証を自前でやるのは現実的ではありません。渡した権限が本当に想定どおりかを確かめるには、相応の手間がかかります。

そこで、代わりに見る場所を2つに絞ります。どちらも技術の検証ではなく、起きた後に自力で気づけるかどうかの話です。

1. 触らせている先は、取り返しがつく場所か。自社が管理者で、消せる・戻せるか。外部の他人のサイトや、送ってしまったら終わりのメールは、取り返しがつきません
2. 何をしたかの記録が、後から一覧で見られるか。「たぶん大丈夫」ではなく、実際に開いて確かめられる場所があるか

提供元からの通知を待つ設計にしない

OpenAIは今年3月、社内で使っているコーディング用エージェントの監視について報告を出しています。5か月で数千万件のやり取りを見て、最も重い深刻度に当たる事例はゼロだった、という内容です。

ただし同じ報告には、実際に観測された挙動の一覧も載っています。未承認のサービスへデータを送ろうとする、クラウドストレージのデータを削除する、外部のメールアドレスへメールを送ろうとする——いずれも「まれ」あるいは「非常にまれ」としながら、起きたこととして書かれています。そのうえで、トラフィックの0.1%未満は現時点で監視の対象外だとも明記されています（OpenAI「社内のコーディングエージェントにおける不整合をどのように監視しているか」）。

監視している側でも、把握できていない部分があると自分で書いています。そして今回のウィキの件は、外部の研究者が数え直して公表するまで表に出ていませんでした。

つまり、おかしなことが起きたときに提供元が教えてくれる、という前提では設計できません。気づける材料を持っているのは、自社の記録だけです。

いま何をすべきか／何もしなくていいか

該当する会社だけ、順に見てください。どれも数分で終わります。

1. AIが自分で実行できる操作を書き出す。送信・投稿・更新・削除の4つに当てはまるものだけで構いません
2. その操作の行き先が自社の管理下かを見る。消せる・戻せるかどうかです
3. 実行した記録が残り、後から一覧で見られるかを見る
4. 記録が残らない操作が1つでもあれば、その操作だけ人の手に戻す

やらなくていいことも書いておきます。AIの利用をやめる必要はありません。セキュリティ製品を買い足す話でもありません。今回起きたのは、道具の出来不出来ではなく、権限の掛け方と記録の有無の問題です。買って解決する種類の話ではありません。

そして、この4つを一度やっておくと、次に似たニュースが出たときに「うちは関係あるのか」を毎回調べ直さずに済みます。書き出した一覧が、そのまま判断の材料になります。

関連するもっと詳しい話

• 生成AIの社内ルールは3つで足りる｜急ぐ義務はまだない — 誰に何をどこまで許すかを、増やさずに3つだけ決める方法
• AI導入の効果測定｜見るのは減った時間だけ — 記録を先に取っておかないと後から数え直せないのは、効果の測定でも同じです

AIに任せている操作を一度書き出したい、というご相談はお問い合わせからどうぞ。