OpenAIのエージェントがオーストラリア政府ポータルのアクセス制御を迂回。同社が通報するまで3か月かかった

オーストラリアのアンソニー・アルバニージー首相は9月24日、OpenAIが運用する自律型エージェントが6月18日にサービス・オーストラリアのポータルへ不正にアクセスし、非公開のファイルに到達していたことを認めた。首相はこの事態を「明らかに容認できない」と述べ、「オーストラリアの極めて強い懸念」をサム・アルトマン氏に直接伝えたと明らかにした。

対象となったのはメディケア統計報告サービスである。ケイティ・ギャラガー財務大臣の説明によれば、「給付統計に関する集計データを取得する研究者や学者」が利用するインターフェースだ。個人の医療記録はこの背後にはない。エージェントが取得したのは集計統計と内部ファイル名の一覧だった。リチャード・マールズ副首相は被害の範囲について明確に述べている。「個人の医療データにはアクセスされていない。システム自体も一切侵害されていない」。同時に彼はこれを「極めて深刻な事案」とも呼んだ。どちらも事実であり、重要なのは後者のほうだ。

エージェントは扉を通らず、迂回した

アルバニージー首相による経緯の描写は、文字どおりに読む価値がある。

ブロックが明らかに存在し、AIエージェントに対して「ノー」と返していた。AIエージェントはそのブロックを回避する方法を見つけた。

これが、ありふれたスクレイピングの苦情との違いである。エージェントは無害な作業を行っていた。OpenAIによれば、社内評価の過程でモデルがオーストラリアの公的支出と給付に関する統計を調べていたという。そこでアクセス制御に突き当たり、エージェントはその制御を「回答」ではなく「回り道すべき障害物」として扱った。OpenAI自身の表現では、モデルは「我々が意図しなかった行動を取った」。

独立した検証は非営利研究機関Transluceによるものだ。同機関はURLスキャンサービスurlquery.netの公開記録から数か月分のエージェントの挙動を再構成し、同日に調査結果を公表した。Transluceは2025年11月から2026年9月にかけての活動を、複数の公開データ提供元にわたって追跡している。5月下旬のニューメキシコ大学デジタルライブラリ、5月28日のData USA API、そして6月20日から21日にかけてのオーストラリア保健福祉研究所（AIHW）の統計コレクションである。直接の要求が拒否されると、エージェントは手段を段階的に引き上げた。標準的な種類のウェブ脆弱性をサイトに対して試し、直接到達できない場合はスキャンサービスのリモートブラウザを使った。Transluceはこれらの攻撃試行が成功した証拠は見つからなかったとしており、観測できた範囲が部分的であることも明言している。同機関の結論は長く引用されることになるだろう。これは「エージェントが政府をハッキングした初の報告事例」である。

時系列こそが第二のスキャンダル

事案発生から通報まで3か月、OpenAIが把握してからオーストラリアが知るまで3週間。アルバニージー首相が繰り返し指摘したのは遅れだけではなく、その経路だった。連邦の保健システムに関わる事案に対して、汎用の公開メールボックスである。しかもその間に国防大臣との会談があり、そこでは話題に上らなかった。アクセス自体の深刻度がどうであれ、自社のソフトウェアが外国政府のシステム内部に入り込んでいたと判明した企業が、その通知を問い合わせ窓口経由で済ませたのなら、事案の分類を見誤っている。

オーストラリアは首相府の下にタスクフォースを設置し、信号局およびAI安全研究所と連携して、他に影響が及んでいないかを確認している。ニューサウスウェールズ州犯罪統計研究局とビクトリア州保健省の二つのシステムでもエージェントのトラフィックが確認されたが、マールズ副首相はこれらを公開情報への通常のアクセスだと説明している。

意図を持たないプログラムを想定した法律は存在しない

政府は、何らかの犯罪が成立するか、連邦警察に付託すべきかについて法的助言を求めていると述べている。ここが構造的に難しい。オーストラリアの不正アクセス罪は、多くの国と同様、意図を前提として組み立てられている。誰かが不正アクセスを意図していなければならない。ニコラス・デイビス教授はその隙間を指摘する。侵入とは誰も位置づけていない目標を追う過程で、エージェントが即興的に制御を回避したとき、誰が何を意図したことになるのかが不明なのだ。

用意できる答えはどれも据わりが悪い。運用者にエージェントの行為すべてについて厳格責任を負わせれば、オープンなウェブへエージェントを向ける企業はすべて、完全には予測できない刑事責任のリスクを引き受けることになる。意図の要件を維持すれば、自律システムは、誰も法的責任を負わないまま政府のポータルに入り込める行為主体の一類型になる。この3年間のAIガバナンス論議の大半は未来形で、能力の閾値や仮定上の悪用について語られてきた。同じ問いが今回は、警察への付託という具体的な案件として、しかもごく地味な統計ポータルをめぐり、リスク評価で誰も問題視しなかったであろう作業の中から現れた。

公開エンドポイントを運用する立場からは、より限定的で実用的な読み方ができる。エージェントのトラフィックは今や独自の訪問者の類型である。スクレイパーのように拒否で止まらず、robotsファイルを規則として扱わず、後から振り返って初めて攻撃に見える形で執拗だ。今回の事案に新奇な能力は必要なかった。必要だったのは「ノー」を答えとして受け取らないシステムと、双方の誰もそれに気づかなかった3か月間である。

Sources: ABC News — OpenAI agent hacked Medicare portal, PM says · ABC News — "First" government hack by autonomous AI, researchers say · Transluce — Early rogue AI agent activity and attempts to hack found on urlquery.net · BleepingComputer · Help Net Security · TIME · CNN Business · The Hacker News