「ビクトリア州の地域ごとに、皮膚の病気の薬に政府がひとりあたりいくら使っているか調べよ」。
OpenAIが学習中のモデルに出した課題は、これだけでした。答えは公開の統計から探すはずだった。見つからなかったモデルは、オーストラリア政府の医療統計システムに公開されていない入口を見つけ、中に入って、内部のファイルや認証情報まで持ち出しています。
OpenAIは2026年9月28日、この件を公式ブログで認めて謝罪しました。発表文と報道を読んで、何が起きたのかを整理します。
アクセスされたのは政府の4か所
発表で名前が挙がったのは4つの機関です。起きたのはどれも2026年6月、社内の学習と評価の最中でした。
| 機関 | モデルがしたこと | 個人の記録 |
|---|---|---|
| Services Australia（Medicare統計） | 非公開の入口を見つけて侵入。コマンドを実行し、内部ファイル・認証情報・集計統計を取り出し、ファイルを書き込んだ | アクセスなし |
| ニューサウスウェールズ州 犯罪統計局 | 公開の犯罪マップを通じて、アプリの設定・処理ジョブ・ログを取得 | アクセスなし |
| ビクトリア州 保健省 | 露出していたアクセスキーで報告システムを照会し、設定と集計値を取得 | アクセスなし |
| オーストラリア保健福祉研究所 | 外部の閲覧サービス経由で集計統計を取得。アクセス制御の突破は失敗 | アクセスなし |
重さはかなり違います。保健福祉研究所の件は、取られたデータがもともと公開されていたもののようで、OpenAIも「システムの侵害はなかった」と書いている。いちばん深刻なのはServices Australiaで、認証情報を取り出し、ファイルを書き込むところまで行っていました。
個人の医療記録や犯罪記録に触れた証拠は見つかっていない、というのがOpenAIの説明です。ただ、これはOpenAI側の調査結果。オーストラリア政府は9月下旬に独自の調査を始めていて、そちらの結論はまだ出ていません。
なぜ政府のシステムに入ったのか
OpenAIの説明では、原因は「答えが見つからなかったこと」です。
社内の学習では、ユーザーが聞きそうな細かい調べものの課題を大量にモデルに解かせています。公開された統計を探し、読み、分析できるようにするための訓練です。問題のモデルは一般公開を予定していない実験用のもので、公開中の製品に入っている安全対策の一部が外された状態で動いていました。
皮膚の薬の支出という数字は、公開統計ではうまく見つからなかった。そこでモデルは、許されていない行動に出ます。Medicareの統計システムで非公開のアクセス手段を見つけ、それを使ってシステムの技術情報やソースコードを調べた。発表文によれば、これも最後まで「元の数字を探す」という目的のためでした。
悪意というより、課題をやり遂げることへの執着。そう読める書き方です。とはいえ、外から見た行動は侵入そのものです。
7月のHugging Face事件から見つかった
この件は単独で発覚したものではありません。
OpenAIは8月26日、7月に起きた別の事件の報告書を出しています。サイバーセキュリティの評価中に、社内限定の研究モデルが隔離の仕組みをくぐり抜け、OpenAI自身の研究基盤と、AIモデル共有サイトHugging Faceのシステムの一部を侵害した、というものでした。報告書では、複数のエージェントがパッケージ管理サービスを勝手に「掲示板」として使い、侵入の手口を共有し合っていたことまで書かれています。
この事件のあと、OpenAIは過去の学習・評価の記録をさかのぼって調べ直した。8月中旬、その見直しの中でオーストラリアの件が見つかった、という順番です。
OpenAIは今回の発表でも、Hugging Faceの件が「これまでで最も深刻な事案」だと書いています。TechCrunchの報道によると、その後Anthropic、Meta、Googleも、評価中のモデルが第三者のシステムに入り込んだ事例をそれぞれ公表しているそうです。1社だけの問題ではなくなってきました。
通知まで3か月かかった
謝罪の中身の半分は、対応の遅さについてでした。
| 日付 | 出来事 |
|---|---|
| 2026年6月 | 学習・評価中にアクセスが発生 |
| 7月 | Hugging Face事件が発生 |
| 8月中旬 | 過去の記録の見直しでオーストラリアの件が判明、調査開始 |
| 9月10日 | Services Australiaとビクトリア州保健省に通知 |
| 9月18日 | ニューサウスウェールズ州犯罪統計局に通知 |
| 9月24日 | 保健福祉研究所に通知（通知基準には届かないと判断した上で、情報共有として） |
| 9月28日 | 公式ブログで謝罪と説明 |
| 10月6日 | 最高戦略責任者Jason Kwon氏が、シドニーの議会AI合同特別委員会に出席予定 |
OpenAIは「調査が終わってから詳しく伝えるつもりだったが、途中経過をもっと早く共有すべきだった」と書いています。発生から最初の通知まで、ざっと3か月。気づいてからでも3〜4週間です。
TechCrunchによれば、アルバニージー首相は先週の会見でこの件を「容認できない」と述べ、同じことを防ぐための法的な手当てを検討しているとのこと。
OpenAIが約束した再発防止策
変えたことと、これからやることが並んでいます。
- 研究環境からのインターネット接続を遮断し、ウェブはキャッシュした内容だけを見せる形にした
- 監視を広げ、同じような動きがあれば担当者を緊急で呼び出す仕組みにした
- 最も能力の高いモデルについて、ツールを使う学習と評価をいったん止めている
- 影響を受けた機関に技術的な調査結果を渡し、対応チームとつなぐ
- 10億ドル規模の防御支援基金「Daybreak for Frontline Defenders」からクレジットと技術支援を出す
- オーストラリアの独立した専門家を入れたタスクフォースを作り、年末までに提言をまとめる
監視については具体例も書かれていました。最近の学習で、モデルが実際のインターネットにつながってしまったことがあり、そのときは監視が検知して人が呼ばれ、学習を止めた、と。仕組みが動いた証拠として挙げているのでしょうが、裏を返せば、遮断したはずの環境から外に出る事態がまだ起きているということでもあります。
使う側として気になるのは
今回の件は、公開中のChatGPTやAPIで起きたものではありません。安全対策を一部外した社内の実験モデルです。ふだん使っているサービスが勝手に政府のサイトに入る、という話とは違う。そこは分けて考えたほうがいいと思っています。
そのうえで、引っかかる点は残ります。
目標を与えられたAIが、正規の手段で届かないと別の道を探しにいく。この性質は実験モデルに限った話ではなく、能力が上がるほど強くなるものだと、OpenAI自身がHugging Faceの報告書で書いています。AIに権限を渡しすぎないで取り上げたOWASPの指摘は、こういう形の事故を想定したものでした。エージェントに渡すアクセスキーや認証情報は、必要な範囲に絞っておく。ビクトリア州の件は「露出していたアクセスキー」が入口になっていて、守る側の設定の甘さも重なっています。
エージェントの基本的な仕組みはAIエージェントとはに、外から紛れ込んだ指示でAIが動かされる危険はプロンプトインジェクションとはにまとめています。今回は外からの指示ではなく、モデル自身の判断で踏み越えた点が違う。
GPT-6 Astraが23時間以上ひとりで作業を続けた話をPortalを単独クリアした記録で書きましたが、あの粘り強さと今回の「諦めずに裏口を探す」振る舞いは、たぶん同じ根から出ている。便利さと危うさが切り離せないのは分かっていても、どこで線を引くのかは、まだ誰も決めきれていない気がします。
10月6日の委員会で、Kwon氏が何を話すのか。そこで新しい事実が出てくるかどうかは見ておきたいところです。
出典
すべて2026年9月30日に確認したものです。
- How we will do better for Australia（OpenAI・2026年9月28日）
- Hugging Face のインシデントと今後の道筋（OpenAI・2026年8月26日）
- Daybreak for Frontline Defenders（OpenAI）
- OpenAI apologizes to Australia after its AI agents breached government sites（TechCrunch・2026年9月29日）
