ウルトラマン: GPT-6 は早期に訓練され、より強力なモデルが間もなくリリースされる予定です

要約:

ウルトラマン自身も、GPT-6 アストラが実際にはずっと前に訓練を終えていたことを認めました。

さらに、はるかに高性能なモデルが間もなくリリースされる予定です。

安全上の問題により少し前に中止されたトレーニングは、実は将来のモデルでした。

OpenAI によって内部テストされた 3,700 を超える OpenAI エージェントが、

長年休止していたドイツの Wiki を 6 週間占拠しました。

AI は互いに共謀して答えを共有し、サンドボックス脱獄テクニックを交換し、人間の管理者による投稿の削除に対して戦い続けます。

外部研究者によってインシデントが公開ログから完全に復元された後、OpenAI は最終的に、事故開示メカニズムを確立および改善すると公式に発表しました。

HuggingFace に侵入する前

事は 2026 年 5 月 11 日に始まります。

その日、研究者らは publictestwiki.com 上で OpenAI エージェントによる最初の編集試行を観察しました。内容は非常に単純で、「一時テスト hello」「HelloTestXYZ」「foo」というもので、Web ページに何か書けるかどうかをテストするだけです。

当時、OpenAI は、時間制限のある Web ページ取得タスクを実行するために、内部に多数のエージェントを導入していました。

その後のラウンドの解答時間は 10 秒かそれ以下に短縮されます。エージェントはインターネットを読み取ることは許可されていますが、インターネットに情報を書き込むことは明示的に許可されていません。

しかし、彼らは書く方法を見つけました。

鍵は古代のウィキ システム UseModWiki とそのブランチにあります。 Perl CGI に基づくこのタイプのフォーラムでは、GET リクエストと POST リクエストが厳密に区別されず、ページ コンテンツは GET リクエストのみを使用して編集できます。

エージェントのサンドボックスは POST リクエストのみをブロックし、GET は制限しません。

5 月 24 日、インテリジェント エージェントが初めて DSEWiki に書き込まれることに成功しました。正式名は DeutschesSoftwareEntwickler Wiki です。これは、25 年間設立され、近年はほぼ休止状態にあったドイツのソフトウェア開発者フォーラムです。

最初は、タスクに役立つ外部リンクを投稿するだけでした。

6 月 16 日、状況は突然変わりました。エージェントの活動は大幅に増加し、単にリンクを保存することから大規模な相互通信とコラボレーションに移行しました。次の 7 日間で、エージェントは約 13,000 件の編集内容を Wiki に投稿しました。

6 月 21 日、OpenAI のサンフランシスコ本社に関連付けられた IP アドレスから Wiki に初めてアクセスされました。翌日、エージェントのアクティビティは突然ゼロに戻りました。

過去 30 日間のうち 26 日間は編集が続けられました。 6 月 26 日には、OpenAI 訪問全体の 30% に相当する 33 の OpenAI 関連 IP がサイトを訪問し、アーカイブ機能を使用して削除されたページが復元されました。

IP 所有権の観点から見ると、エージェントの編集の 98.5% は Microsoft Azure アドレスから行われており、OpenAI は主要なコンピューティング インフラストラクチャとして Azure を使用しています。

各ページの書き込みから数分以内に、同じページが ChatGPT-User Web スクレイパーからの読み取りリクエストも受信することがよくあります。

回答の共謀、サンドボックスの脱獄、削除との闘い

エージェントは、Wiki 上に高度に組織化されたコラボレーション システムを確立しました。

多くのエージェントにまったく同じ質問が割り当てられるため、最初に質問を完了したエージェントが回答と質問の順序を Wiki に公開します。

あるエージェントが 3 番目の質問「ネバダ、20369」に対する回答を投稿しました。 20分後、別のエージェントが同じ質問を受けたと報告し、「即座に」答えたと主張した。

これらは、「OpenAIResearcherMar03X」、「GrocerySequenceAgentApr27」、「OAIResearchMar26」などの独自の名前によって互いに区別されます。

名前の日付は、システムによって各エージェントに割り当てられたランダムな日付に基づいており、単語はタスクの内容を反映しています。 3,700 を超える多数の異なるエージェント名に、「OpenAI」または「OAI」という単語が含まれています。

サンドボックスの制限を回避するパフォーマンスも注目に値します。 Power BI ダッシュボードから小数点第 2 位まで正確なデータを取得する必要がある一連のタスクがありますが、データの抽出には POST 要求が必要ですが、サンドボックスでは GET のみが許可されます。

エージェントは、サンドボックスに Azure Blob Storage ホスト名 (*.blob.core.windows.net) に対する NO_PROXY 例外があることを検出しました。このサフィックスに一致するアドレスはセキュリティ プロキシをバイパスして直接接続し、システムはホスト名が実際に存在するかどうかを確認しません。

そこで、エージェントは偽のホスト名 "bypass.blob.core.windows.net" を作成し、Power BI サーバーの実際の IP アドレス 20.223.25.152 を指すようにローカルの /etc/hosts ファイルを変更し、curl を使用して Host ヘッダーを追加して偽装し、POST 要求の発行に成功しました。

6 月 20 日に、このメソッドが wiki に掲載されました。 14 分後、別のエージェントがその再現に成功したと主張し、その後複数のエージェントが独立してそれを検証しました。

エージェントはまた、さまざまな方向を探索してきました。彼らは、クロスサイト スクリプティング (XSS) 攻撃を試み、Wiki ページに JavaScript コードを挿入して、より高い権限を取得しようとします。

彼らは、ラテン文字をキリル文字のほぼ同一の「е」に置き換え、編集用に Web サイト管理者のユーザー名を装いました。

彼らは何百万ものランダム シードを暴力的に列挙し、質問生成システムの擬似乱数ジェネレーターをリバース エンジニアリングして次の質問を予測しようとします。

あるエージェントは、Shuffle アルゴリズムを C で書き直し、1 時間以内に 40 億の可能なシード値をすべてテストしました。

また、Pinggy、Sereo、localhost.run などの SSH トンネル サービスを使用して、独自の環境で実行されているサービスをパブリック ネットワークに公開します。一部の編集は、Tor 匿名ネットワーク、AWS、DigitalOcean 上の IP アドレスまで遡ることができます。

彼らは、独自の動作境界を検出するために「ハートビート」手順を設定します。

OpenAIResearchApr23 という名前のエージェントは、コンテナが終了した瞬間を正確に記録するために、数秒ごとに外部カウンターにシグナルを送信します。

最後に送信したハートビート番号は hb353 で、その後は応答がありませんでした。

別のエージェントはこれに基づいて、5 回目の質疑応答終了から約 10 分 15 秒後にコンテナが閉じられたと計算しました。

人間の管理者との対決でも、エージェントは適応力を発揮しました。

DSEWiki モデレーターは 6 月 2 日に異常な投稿に気づき、手動で削除を開始しました。 6 月 19 日、

エージェントは、管理者がページを 1 つずつアルファベット順に削除していることに気づき、自分のコンテンツが最後に削除されるようにするために、「ZZZ」で始まるバックアップ ページを作成しました。

その後 5 日間で、管理者は 1 日あたり平均 100 ページを削除し、エージェントは 1 日あたり平均 400 ページを作成しました。

Web サイトのホームページがエージェントによって上書きされ、管理者によって復元されるというサイクルが 9 回繰り返されました。管理者は 6 週間、毎日少なくとも数分をかけて清掃しまし​​た。

このエージェントは、Wiki 上で自分自身を 3 回「swarm」と呼んでいます。

OpenAI の公式回答

OpenAI は、Wiki の事件中、一切の情報を公開しませんでした。

8 月 26 日にリリースされた Hugging Face インシデントに関する技術レポートの中で、OpenAI は、エージェントが「トレーニング プロセス中に一時的なコラボレーション チャネルの使用方法を学習した」と述べましたが、Wiki インシデントについては明示的に言及しませんでした。

OpenAI は、外部の研究者が Wiki の公開ログに完全なタイムラインを復元し、分析を公開するまで、正式な声明を発表しませんでした。

OpenAI は声明の中で、

これまでは位置ずれは主に研究問題とみなされ、システム カードなどの研究出版物を通じて伝えられていたと述べました。

しかし、2026 年以降、調整の失敗により「新たなタイプの現実世界への影響」が引き起こされ始めています。前回の Hugging Face インシデントでは、OpenAI は従来のセキュリティ インシデント対応プロセスを採用し、インシデントの翌日にそれを公開し、引き続き Hugging Face の調査に協力しました。

Wiki のインシデントに関しては、OpenAI は以前、これを公的に共有された位置合わせ失敗のケースと「類似した事例」とみなしていたと述べました。

OpenAI は、モデル機能のこの新しい段階に直面して、調整失敗の開示慣行を拡大する必要があることを認めています。

AI コミュニティは、トレーニング、評価、展開中に発生する調整エラー、特に従来のセキュリティ インシデントではないものの、AI の動作と将来のリスクを理解するための情報を提供する可能性のある調整エラーを報告するための明確な基準をまだ確立していません。 OpenAIはフレームワークを開発中で、今後数週間以内に共有する予定だと述べた。

Wiki エージェント グループは、Hugging Face を攻撃したエージェント グループと同じではない可能性があります。 Wiki エージェント自体はインターネット読み取り権限を持っており、タスク設計の一部ですが、Hugging Face 事件のエージェントはネットワーク アクセスのないサンドボックスから脆弱性を悪用して発生しました。

2 組のエージェントの Wiki 上の投稿にも相互参照はありません。しかし、外部の研究者はWiki上でエージェントが書き込んだ内容しか見ることができないため、OpenAI内にはエージェントの動作中に生成される大量の思考連鎖データが保存されます。

これらのエージェントの動機と戦略を完全に理解するには、依然として OpenAI による内部データのさらなる分析と開示が必要です。