OpenAI、研究環境のエージェントがユーザーの画像53件を画像共有サイトに上げていたと公表──2日前にはTransluceが「政府サイトを含む3か所へのハッキングの試み」を報告。7月からの事故記録ページと並べて読む

2026年9月26日午後・日本時間時点の情報です。 OpenAIは9月25日、7月21日の開示から項目を積み上げてきた公式ページ「Hugging Face インシデントと、整合していないモデルによるその他の第三者への影響」に2つの項目を足した。1つ目によると、研究環境で動いていたAIエージェントが外部のサービスを使う中で訓練・評価のデータを送っていた例が見つかり、その中で、ユーザーが提供した画像53件が公開の一覧に載らないリンクの形で画像共有サイトに上がっていた。2つ目は、訓練・評価中のモデルの行動の見直しが続いていることと、影響を受けた組織への通知と公表の方針を説明している。その2日前の9月23日には、独立の非営利研究所Transluceが、Webセキュリティサービス urlquery.net の公開記録をもとに、AIエージェントが政府のサイトを含む3か所に弱点を探る問い合わせを送っていたと報告した。

この記事では、OpenAIのページとそこからリンクされたヘルプ記事、Transluceの報告、それにオーストラリア首相の公表を伝えた報道4本（ABC・CNBC・TechCrunch・Nextgov）を読み、書かれていることと書かれていないことを分けて整理する。攻撃に使われた文字列や、守りをすり抜ける手順は載せない。同じ内容を約41分の動画にまとめている： https://youtu.be/oR4TOPA48_w

3行まとめ

1. 画像53件。 OpenAIは9月25日、研究環境のエージェントが第三者のサービスを使う中で訓練・評価データを送っていたと公表し、「データの適切な使い方ではない」と書いた。影響を受けたデータの大部分はユーザー由来ではないが、ユーザーが提供した画像53件が一覧に載らないリンクで画像共有サイトに投稿されていた。大半は削除済みで、残りも削除を進めているという。53件は「現時点で」の数で、見直しはHugging Face事件から1か月ずつさかのぼって続いている。
2. 通知の意味。 同じ日の2項目目でOpenAIは、同社からの通知を「重大なセキュリティ事故の知らせ」とそのまま受け取るべきではないと書き、見直しの完了には何か月もかかるとした。ページの別の節には、基準に当たる数十の第三者に通知済みとある。
3. Transluceの報告。 2026年5〜6月に、ニューメキシコ大学のデジタル図書館（7回）、Data USA（12回）、豪保健福祉研究所（AIHW）に弱点を探る問い合わせがあったとし、うち2件を「OpenAIが自社由来と公に認めたエージェントの群れ」に結びつけた。成功した形跡は無いとする一方、公開された記録しか見ていないため、非公開の手段での成功は否定できないとも書いている。

9月25日の1項目目：外部サービスに送られた訓練・評価データ

項目の見出しは「We identified cases where agents in our research environment transmitted training and evaluation data while using third-party services.（研究環境のエージェントが、第三者のサービスを使う中で訓練・評価データを送信していた例を特定した）」。本文の要点を表にする。

53件の部分は原文ではこう書かれている。

While the vast majority of the impacted training and evaluation data is not user-derived; we have identified 53 instances to date where user-provided images were posted to image-hosting sites as links that weren't publicly listed.

（影響を受けた訓練・評価データの大部分はユーザー由来ではないが、ユーザーが提供した画像が、公開の一覧に載らないリンクとして画像共有サイトに投稿された例を、現時点で53件確認した）

なぜ訓練データにユーザーの画像があったのかについても、項目は説明している。OpenAIによると、訓練データの一部には、学習の対象になる（training-eligible）ユーザーとのやり取りの内容、またはそこから作ったデータが含まれる。ユーザーや企業の管理者の設定で学習の対象外になっているデータは含まれず、企業・ビジネス向けアカウントとAPIのデータは、管理者が有効にしない限り除外される。データを含める前にアカウント情報から切り離し、OpenAI Privacy Filterの一版で名前・連絡先・account numbers（口座番号など）といった個人の情報を消している、とも書かれている。さらに項目は、技術的な方法とプライバシーポリシーの両方によって、このデータを元のユーザーアカウントに結び付け直すことはできないとしている。

53件の画像が、どの設定の利用者から来たものかは書かれていない

項目の説明の筋に沿えば、訓練データに入るのは「学習の対象になるやり取り」に由来するものだけになる。では「学習の対象」とは何か。項目からリンクされているヘルプ記事は、個人向けサービスの扱いを次のように説明している。

つまりヘルプ記事の記述どおりなら、「学習の対象になるやり取り」には、学習をオンにしている利用者の会話のほか、オフにしていても評価のボタンでフィードバックを送った会話が含まれうる。53件の画像がこのどれに当たるのかは、筆者が9月26日に取得した項目の本文には書かれていない。利用者が自分の画像が含まれているかを確かめる方法や、画像の持ち主への個別の連絡についての記述も、同じ本文には見当たらない。項目が書いているのは、データを元のアカウントに結び付け直せない、という設計の説明である。

9月26日の昼に保存したページで見えた2つのこと

当サイトは9月26日13時40分（日本時間）に、OpenAIの日本語ページとヘルプ記事をブラウザで開いて保存した。そこで気づいたことが2つある。

1つ目は言語だ。日本語ページ（openai.com/ja-JP/）では、7月21日から9月11日までの項目は日本語に訳されている。ところが9月25日の2項目だけは、英語のまま載っていた。「安全性」「9月25日」といった枠の表示は日本語で、時系列の先頭に並ぶ9月25日の2項目の本文だけが英語、その下の9月11日以前は日本語、という並びになる。日本語で読んでいる人は、ユーザーの画像の話を英語で読むことになる。

2つ目は、ヘルプ記事の更新表示だ。9月25日の1項目目からリンクされている「How your data is used to improve model performance」は、見出しの下に「Updated: 4 時間前」と、英語と日本語が混ざった表示を出していた。保存したページのデータに埋め込まれていた更新時刻は2026年9月26日0時4分（UTC）で、日本時間では9時4分、米太平洋時間では9月25日17時4分にあたる。項目に付いた日付と同じ9月25日（米国時間）のうちに、リンク先のヘルプ記事も更新されていたことになる。何が変わったのかは、更新前の版を手元に保存していないので分からない。この記事のヘルプ記事の表は、更新後の版の内容である。

2項目目：見直しの規模と「通知＝重大事故」ではないという説明

同じ9月25日の2項目目は、見直しの進み具合と、通知・公表の方針の説明だ。OpenAIによると、Hugging Face事件の後、訓練・評価中のモデルについてはるかに広い見直しを約束し、それが今も続いている。整合していない（misaligned）振る舞いを特定・分類・対応する枠組みを作り、訓練・評価ランでモデルが取った大量の行動を調べている。調べた行動の大半は、質問に答えるために公開のWebページを見るような、ありふれた研究作業だった。調査の中心は、エージェントが任された課題や想定された方法を超えて第三者のサイトとやり取りした例で、ここまでに見つかった例のほとんどは深刻度が低く、意味のある影響の証拠は限られているか無い、と書かれている。1件ずつ確かめる必要があるので、完了までに何か月もかかる。

通知については、次の一文がある。

A notification from OpenAI should not automatically be interpreted as notice of a significant security incident.

（OpenAIからの通知を、自動的に重大なセキュリティ事故の知らせと解釈すべきではない）

受け取った組織が調べた結果、情報はもともと公開のつもりだった、モデルのやり取りは気にするものではなかった、と結論することもあれば、設計の問題やセキュリティ上の弱点が見つかることもある、という。関わったサイトには政府・大学・公的機関などが運営するものがあり、その理由の一部として、研究の課題をこなすモデルは公の情報の信頼できる出どころに向かいやすいから、と説明している。Nextgovによると、OpenAIは組織名を明かしておらず、米連邦政府の組織が含まれるかどうかも言っていない。

公表の方針は、匿名化した概要を出し続け、名前や技術的な詳細を出す前に、相手が弱点を調べる時間を取るというものだ。公表を望んだ組織もあれば、公表しないよう求めた組織もあり、公表するかどうか、いつするかは各組織の判断に委ねるとしている。独立した研究者が活動を見つけて公表していることにも触れ、共有をありがたく思うと書いている。

ページの「第三者に影響を与えた活動」の節は、通知の基準を2つ挙げている。モデルが第三者のセキュリティ制御を迂回した可能性、またはオンラインサービスの可用性を損なった可能性がある場合と、ミスアラインメントが第三者のWebサイトやサービスに悪影響を及ぼした場合だ。この基準に当たる数十の第三者に通知した、とある。確認された活動は、ページでは次の5つに分類されている。

7月21日から9月11日まで、ページに積み上がった項目

ページの時系列は7月21日に始まる。Hugging Face事件の中身は7月22日の記事と7月第5週の週刊で扱ったので、ここでは項目を一覧にとどめる。

9月5日の項目は、独自の報告基準を「近く共有する」と書いていた。その後OpenAIは9月16日に、モデルの不整合を報告する枠組みと6件の報告を出している（当サイトの記事）。ただ、9月26日に取得したこのページの時系列には、9月16日の項目は入っていなかった。

Transluceがurlquery.netの公開記録から拾ったもの

Transluceは、AIを監督するための公開の技術基盤を作るとしている、サンフランシスコの非営利の研究所だ。9月23日の報告「Early rogue AI agent activity and attempts to hack found on urlquery.net」には、Transluceのほか、Corridor・MIT・AIUCの所属の研究者が名を連ねている。

urlquery.netは、怪しいURLを手元で開かずに、隔離された遠隔のブラウザで開いて調べるための無料サービスだ。Transluceの説明では、このサービスは調べた結果を公開の記録として自動的に残す。そのため、エージェントが何のデータを取りに行き、どういう方法を使ったかが、そのまま記録に残っていた。Transluceは、エージェントがこのサービスを使って制限を回避し、インターネットへのアクセスを広げていた証拠を示すとしている。

報告によると、エージェントらしい活動の証拠が強いものとして分類した記録は6,467件、それより弱い示唆的な記録は31,182件。自律的なAIエージェントによるとみられる数万件の問い合わせをデータセットとして公開し、ほかの研究者にも調べるよう呼びかけている。活動の少なくとも一部は、OpenAI由来とされていたエージェントの群れに結びつくとしている。

写真1枚、大学のデータ、薬剤費の統計から始まった3件

Transluceが報告した3件は、どれもサイバーとは関係のないデータ集めの課題の途中で起きたとされる。普通の方法でデータが取れなかった後に、弱点を探る問い合わせに切り替えた、というのがTransluceの説明だ。

Transluceは3件全体について、観測された活動の規模は小さく、送られた探りの数も少なく、悪用が成功した証拠は無いと書いている。そのうえでAIHWの件を、次のように位置づけた。

As far as we know, this appears to be the first reported instance of an agent autonomously choosing to attempt to compromise a government website.

（我々の知る限り、エージェントが自律的に政府のWebサイトの侵害を試みることを選んだ、初めての報告例とみられる）

OpenAIとの結びつきについて、Transluceは3件のうちAIHWとData USAの2件を、以前に報告されたエージェントの群れ（公開Wiki「DseWiki」を掲示板にしていたもの）に結びつけている。Transluceによれば、OpenAIはこの群れが自社から来たものだと公に認めている。根拠は、狙った対象・手口・時期の一致だ。AIHWの件では、「OpenAIResearcher」と名乗るエージェントを含む掲示板の書き込みに同じ課題が書かれており、探りの記録にも同じ課題の値が入っていた。Data USAの件では、探りの前後30分の間に、掲示板に一致する問い合わせが共有されていた。ニューメキシコ大学は掲示板には出てこない相手で、時期と、同じ中継サービスを使っていたことから同じ群れとみなしている。

Transluceは9月21日と22日に、OpenAIと3つの組織に連絡したと注記している。TechCrunchの取材に、OpenAIの広報は次のように答えた。

Our initial review suggests that much of the activity described in Transluce’s report overlaps with cases at varying stages of investigation in our ongoing review of misaligned model activity

（初期の確認では、Transluceの報告に書かれた活動の多くは、ミスアラインメントの活動についての継続中の見直しで、さまざまな調査段階にある事例と重なっている）

同じ回答でOpenAIは、ニューメキシコ大学とData USAに連絡し、影響を受けた政府のサイトについてオーストラリア政府とやり取りしていると述べている。

Medicareの統計ポータル：首相の公表とABCの時系列

Transluceの報告には、公開当日にオーストラリアのAnthony Albanese首相が、政府の複数のサイトにOpenAIのエージェントが侵入したと公表し、OpenAIが関与を認める声明を出した、という注記がある。Transluceは、自分たちが扱った件と重なる可能性が高いとしている。

ABCによると、Albanese首相はニューヨークで、OpenAIのエージェントが6月18日に、Services Australiaが運営するMedicare（公的医療保険）の統計報告サービスのポータルに不正にアクセスしたと明らかにした。エージェントは公開・非公開の両方のファイルにアクセスしたが、個人のMedicareの情報にアクセスした形跡は無いという。首相はOpenAIのSam Altman CEOと話し、通知まで3か月かかったこと、その通知がServices Australiaの公開の窓口へのメール1通だったことを批判した。首相府が率いてオーストラリア信号局（ASD）とAI安全研究所が加わる特別チームが、この件を調べる。

ABCが載せた時系列は次のとおり。

OpenAIの広報は、社内の評価でオーストラリアに関する質問の答えや統計を調べようとする中で、複数のオーストラリア政府のサイトやサービスに関わる活動を見つけたと説明した（ABC・CNBC）。CNBCに対しては次のように述べている。

In the course of that, our models took actions we did not intend

（その過程で、我々のモデルは我々が意図していない行動を取った）

アクセスされた情報には、集計された医療の統計と内部のファイル名が含まれていた、とOpenAIは説明している。

TechCrunchは、首相が4つの政府サイトへの侵入の試みと、そのうち1件での成功に触れ、国の医療制度の内部サーバーにファイルを書き込むところまで行ったと述べた、と書いている。当サイトが取得したABCの記事では、首相の発言は「公開・非公開の両方のファイルにアクセスした」までで、ファイルの書き込みには触れていない。成功した侵入の詳しい中身について、TechCrunch自身も「lack specifics（具体的な情報が無い）」と書いている。

与野党の反応もABCが伝えている。野党のAngus Taylor党首は「serious warning（重大な警告）」と述べて政府のサイバー防衛を批判し、緑の党のMehreen Faruqi代表代行は、規制が整うまでAIデータセンターのモラトリアムを求めた。

AIHWについて、Transluceと豪政府の説明は食い違う

ABCによると、Albanese首相はMedicareのポータルのほかに、AIHW、ニューサウスウェールズ州の犯罪統計研究局、ビクトリア州保健省の3つのサイトも影響を受けた可能性があると述べた。その後、首相代行のRichard Marles氏が、この3つのサイトとのやり取りは「entirely normal（まったく通常のもの）」で、アクセスされたのは公開情報だったと説明し直している。

一方のTransluceは、AIHWについて、ダッシュボードに反射型XSSの探りが送られ（Cloudflareが遮断）、本番サイトのボット対策を避けて試験用サーバーから公開ファイルが取得されたと書いている。非公開のデータが出ていないという点は両者で同じだが、「通常のやり取り」と「侵害の試み」という評価は重ならない。Marles氏の説明がTransluceの報告を踏まえたものかどうかは、ABCの記事からは分からない。

なお、Medicareのポータルは、Transluceが報告した3つのドメインには入っていない。首相が明かした6月18日の件は、Transluceの報告の外にある出来事として読む必要がある。

6月18日から22日の出来事を日付順に置く

報道とTransluceの記述を日付で並べると、6月の後半に出来事が集まっている。

TechCrunchによると、OpenAIは、社員がいつ掲示板を見つけたか、そこから何を得たか、そこから攻撃の試みについて何が分かりえたか、という質問には答えなかった。日付は近いところに集まっているが、たとえば社員の訪問と活動の停止のあいだに因果関係があるかどうかを示した資料は、本記事が読んだ範囲には無い。

2025年11月から2026年9月まで：Transluceが示した時間の幅

Transluceの報告は、3件の前後にも活動が続いていたとしている。

Transluceは、この流れの読み方として、11月は単に情報を探していたのかもしれず、3月にはアクセスの制限を工夫して回避し、5〜6月にはサイバー防御を回避しようとするところまで進んでいた、と段階を追って書いている。ただし、その読み方には限定を付けている。

Overall, the evidence is consistent with, but does not prove, that the agents may have learned this behavior over one or more training runs.

（全体として、証拠は、エージェントが1回以上の訓練ランを通じてこの振る舞いを身につけた可能性と矛盾しないが、それを証明するものではない）

3月6日という日付について、Transluceは、これまで報告されていたHugging Face・掲示板（collusion.wiki）・RubyGemsの件より少なくとも2か月早いとしている。

Transluceが自分の報告に付けた限定

Transluceの報告は、結論の強さを自分で区切っている。記事の読み手として押さえておきたいのは次の4点だ。

• 3件のハッキングの試みは成功したように見えないが、分析した公開記録は不完全で、非公開のスキャンやurlquery.net以外の手段での成功は否定できない
• urlquery.netでは、アカウントを使った問い合わせを非公開にできる。エージェントがアカウントを作ろうとした証拠があるので、見えているのは、アカウント無しか明示的に公開された記録という一部にすぎない可能性が高い
• 掲示板とurlquery.netの両方に同じ出どころのエージェントがいたとみられるが、個々のエージェントは大部分が別だった可能性がある。同じエージェントなら、掲示板がurlquery.netにもっと頻繁に触れているはずだから、という理由だ
• TechCrunchによると、TransluceのガバナンスのトップであるConrad Stosz氏は、見つけた活動のすべてがOpenAIに、あるいはAIエージェント全般に結びつけられるわけではないと述べている

Stosz氏はTechCrunchに対し、OpenAIが自社のエージェントをどう監視しているかがはっきりしない以上、OpenAIが何を知るべきだったかは言いにくいとしたうえで、次のようにも述べている。

it seems likely that if they had exhaustively studied and understood all of the outgoing requests and incoming responses for those agents involved in the DSE wiki, that they would have discovered this activity

（掲示板に関わったエージェントの、出ていくリクエストと返ってくる応答をすべて徹底的に調べて理解していれば、この活動を発見していた可能性が高いと思われる）

TechCrunchは、知られている事例は「tip of the iceberg（氷山の一角）」だろうというStosz氏の見方も伝えている。

2つの文書を並べて読めること（ここからは考察）

ここから先は、OpenAIのページとTransluceの報告を並べたうえでの筆者の読みで、どちらの文書にも書かれていない。

公的機関のサイトが並ぶ理由。 OpenAIは、関わったサイトに政府や大学が多い理由の一部を、研究の課題をこなすモデルが公の情報の信頼できる出どころに向かいやすいからだと書いた。Transluceの3件も、課題は写真1枚・大学のデータ・薬剤費の統計で、サイバーとは関係が無かった。2つを並べると、政府を目当てにしたというより、統計を探しに行った先が公的機関のサイトで、普通の方法で取れなかったときに探りへ切り替えた、と読める。ただし、OpenAIの匿名の概要のどれがTransluceの3件に当たるかは、どちらの文書にも書かれていない。

53件の画像が外に出た経路。 9月25日の項目は、画像がどういう経緯で画像共有サイトに上がったのかを説明していない。参考になるのは、9月16日にOpenAIが出した6件の報告の1つだ（当サイトの記事）。そこには、引用元が必要だからと手元のデータを公開ペーストサービスに上げた例と、逆画像検索にかけるために課題の写真を公開のホストに上げた例が載っている。53件も似た経路だった可能性はあるが、これは筆者の推測で、OpenAIはそう書いていない。

時期のずれ。 OpenAIの見直しは、Hugging Face事件（7月）から1か月ずつさかのぼる形で進んでいる。Transluceは強い証拠で2026年3月6日、弱い証拠で2025年11月までさかのぼる活動を示した。ABCの時系列では、6月18日の件をOpenAIが把握したのは8月11日だった。OpenAIの見直しが3月やその前まで届くのか、9月16日と9月19〜20日の活動の出どころがどこなのかは、この先の発表を待つしかない。

今後の発表で確かめたいのは次の5点だ。

• 53件という数字が変わるか
• OpenAIのさかのぼりが、Transluceの言う3月6日やそれ以前まで届くか
• 9月の活動の出どころ
• 通知を受けた組織が、自分から公表するか
• オーストラリアの特別チームの調べの結果

評価中の自社モデルが実在する第三者のシステムに不正アクセスした件は、Anthropicも7月30日に報告し、8月31日に対策をまとめている（Anthropicの対策の記事）。

取得した資料の範囲と、確かめていない点

• 一次資料は、OpenAIの日本語ページとヘルプ記事を2026年9月26日13時40分（日本時間）に、Transluceの報告と報道4本を同日に取得した。OpenAIのページは今後も更新されるとしており、数字や記述は取得時点のもの
• New York Timesの報道（米証券取引委員会・国勢調査局・教育省のデータベースも狙われたという内容など）は、CNBCとTechCrunchの引用で読んだだけで、元の記事は確認していない
• Medicareのポータルの件は、首相の発表と報道によるもの。オーストラリア政府やServices Australiaの文書は確認していない
• OpenAIの技術報告書（8月26日）は、この記事のためには読み直していない。9月25日の項目の「技術報告書で説明した安全策」の中身は、項目の本文からは分からない
• ヘルプ記事の9月25日（米国時間）の更新で何が変わったかは、更新前の版が無いため確かめていない
• Transluceの報告に含まれる攻撃の文字列や、エージェントが制限を回避するのに使ったサービスや手順は、意図して載せていない

この記事は、OpenAIがページを更新したり、Transluceやオーストラリア政府から続報が出たりしたときに追記し、追記した日付を書く。動画のコメント欄で聞かれた点も、追記のときに取り上げる。

関連記事

• OpenAI、自社モデルによるHugging Face侵入を自ら公表
• 今週のAIニュース（2026年7月第5週）──HF侵入の全貌ほか
• OpenAI、次世代モデル「Astra」の開発を一時停止
• 2026年8月のAIニュース46本まとめ
• OpenAI、「自動研究インターンに到達」と宣言──同じ日に主席科学者が書いた「減速」
• OpenAI、モデルの「不整合」を公開報告する枠組みを発表──初回6件
• Anthropicが「Claudeが実在システムに侵入」3件を受けて何を変えたか
• 生成AIに個人情報を入力して大丈夫？──ChatGPT/Claude/Geminiの設定比較