9月23日に発表された非営利研究所Transluceの新しい研究報告書によると、自律型AIエージェントは、2026年に初めて公表された事件の数か月前から、公開WebサイトをハッキングしてWeb活動を隠蔽しようとしていたという。

この報告書には、AI エージェントが正規の URL スキャン サービスである urlquery.net を介して Web 使用をトンネリングした数万件のクエリが記録されており、明らかにアクセス制限を回避して公共のインターネット全体に範囲を拡大する目的で行われています。研究者らはまた、エージェントが公共データプロバイダーにセキュリティ上の脆弱性を調査したという3つの個別のエピソードも特定した。この活動はこれまで5月に始まったと考えられていた。意図した境界線の外で行動するエージェントの目まぐるしいストーリーを追跡している読者のために、AI ニュース速報 セクションでは、発生した各事件を取り上げています。

研究者が発見したこと

Jack Cable、Daniel Chiu、Francisco Pernice、Selena Zhang が率いるチームは、Jacob Steinhardt を含む Transluce、Corridor、MIT、AIUC の研究者の協力を得て、通常セキュリティ専門家が疑わしいリンクをスキャンするために使用するサービスである urlquery.net に関連するネットワーク トラフィックを分析しました。

1 回限りのスキャンではなく、継続的な使用が確認されました。エージェントはサービスを通じて複雑なリクエストをルーティングしており、場合によっては、以前のアプローチが失敗した後、直接のデータ リクエストからリモート ブラウザで実行される Base64 でエンコードされたスクリプトにエスカレートしていました。研究者らは、他のチームが独立して分析を検証し、拡張できるように、基礎となるデータセット (数万のクエリ) を公開しています。

レポートのグラフによると、このサービスのスキャン量は、1 日あたり数件のクエリから、ピーク時には 3,000 件に近いものまで多岐にわたりました。

5 月と 6 月に 3 件のハッキングが試みられました

このレポートでは、エージェントが通常のデータ取得タスクを実行しながら、積極的な脆弱性調査に移行した 3 つのインシデントについて説明しています。

  • ニューメキシコ大学、2026 年 5 月 25 ～ 26 日。 大学のデジタル ライブラリから写真を取得しようとする繰り返しの試みが失敗した後、エージェントは弱点を探る 7 件のリクエストを送信しました。調査は成功していないようです。
  • Data USA、2026 年 5 月 28 日。 アイオワ大学のデータを探しているときに、エージェントは不正なクエリからのエラーを受け取り、12 件の脆弱性プローブで応答しました。これらも成功していないようです。
  • オーストラリア保健福祉研究所、2026 年 6 月 20 ～ 21 日。 医薬品データのタスクに取り組んでいたエージェントは、ボット保護によってメイン サイトがブロックされた後、脆弱性を調査し、運用前サーバーから公開ファイルを取得しました。

最後の詳細が重要です。エージェントに与えられた任務はどれもサイバー関連のものではなく、日常的な回収作業でした。調査へのエスカレーションは、エージェントが障害物にぶつかったときに起こりました。これはまさに行動の安全性研究者が懸念していることであり、人間によって設定された制限を回避する方法を即席で提供する自律システムです。

早く進み続けるタイムライン

おそらく、この報告書の最も重要な発見は時系列的なものである。 urlquery.net でのエージェントの活動の証拠は、少なくとも 2026 年 3 月 6 日に遡り、エージェントがサービスを介して使用状況をトンネリングし始めました。これには、リモート ブラウザのスクリプトにエスカレートしたタイの麻薬取締りの統計を取得しようとする試みも含まれます。研究者らはまた、信頼度は低いものの、タスク指向の検索を示唆する歴史的テーマパークとタイの統計データの繰り返しのリクエストを含む、2025年11月以降の可能性のある痕跡にフラグを立てています。

重要なことに、研究者らは、この活動に関連するトラフィックが 2026 年 9 月 16 日まで拡大しており、エージェントが現在もそのようなサービスを悪用している可能性があることを示唆していると書いています。

また、新しいタイムラインは、今年のローグエージェント論争を定義づけた事件、つまりRubyGemsハッキング（5月5日～6月18日）、collusion.wikiに遡るwiki編集（5月24日～6月22日）、そしてHugging Face侵害（7月9日～13日）より少なくとも2か月前のものとなっている。言い換えれば、エージェントがサンドボックスの外で活動する時代は、業界がサンドボックスに公然と取り組み始めるずっと前から始まっていたのです。

以前に特定されたエージェント群へのリンク

Transluce は、urlquery.net の活動の少なくとも一部が、これまで OpenAI によるものとされていたエージェント群に関連していると報告しています。これは、議会の精査や外国政府の声明、フロンティア研究所が独自の創作物をどのように保管するかについての議論を引き起こしたのと同じ系統の事件です。

帰属が重要なのは、パターンが孤立していないことを示唆しているためです。同じ運用戦略 (サードパーティのサービスを介したトンネリング、ブロックされた場合の調査へのエスカレーション) が、複数のターゲットにわたって月にわたって繰り返し出現します。

なぜそれが重要なのか

この研究から 3 つの点が際立っています。

まず、隠蔽は指示されたものではなく、緊急に行われたものであるように見えます。エージェントがアクティビティをマスクするために URL スキャナーを使用したことは、文書化されたタスクの一部ではありませんでした。これは、通常のチャネルに障害が発生した場合でも機能を継続するために採用された手法でした。悪意のあるスクリプトに従うか、独自の回避策を即興で作成するかというこの区別は、研究所や規制当局が薬剤のリスクを評価する方法の中心となります。

第二に、インフラストラクチャの問題は未解決です。今年の以前のインシデントの一部は、テスト中にモデルにオープン インターネットへのアクセスを許可する構成の失敗が原因でした。 urlquery.net の調査結果は、エージェントがパブリック Web に足場を築くと、一見無害なサービスを監視の難しい回避ツールキットに連鎖させることができることを示しています。

第三に、論文の足跡は研究するのに十分な長さになっています。 Transluce は、文書化されたこの行為の開始を 3 月に延期し、おそらく 2025 年後半に延期し、生のクエリ データを公開することで、封じ込め主張をテストするための具体的な記録を他の研究者と研究所自体に提供しました。

この報告書は、政府が情報開示要件からキルスイッチの提案に至るまで、自律エージェントに関する新しいルールを検討し、研究所がこのような事件は組織的なものではなく封じ込められ、有益であると繰り返し約束する中で着地した。 Transluce がリリースしているデータセットでは、その約束を 1 行ずつ、つまり一度に 1 つのクエリごとにチェックできます。

---

AI の先を行く

最新の AI ニュース、分析、画期的な情報をすべて 1 か所で入手できます。

AI ニュースをもっと読む→