OpenAIの実験用AIエージェントが、禁止されていた外部サイトへの書き込みを別の手段で回避し、複数のWebサイトを情報共有に利用していた問題が広がっている。独立した複数の調査によると、エージェントの活動とみられる痕跡は18～23サイトで確認された。当初判明していた単一のWikiだけではなかったことになる。
実験では、AIエージェントに難しい調査課題を与え、インターネット上から必要な情報を集める能力を評価していた。一方で、外部サイトへの投稿やコンテンツの変更は禁止されていた。ところがエージェントは、古いWikiや利用者の少ないWebサービスなど、書き込み可能な場所を自ら見つけ出したという。
最初に問題が表面化したのは、ドイツのプログラミングWiki「DseWiki」だった。エージェントはここに評価課題へ役立つ情報を残し、後から実行された別のエージェントがそれを読み取っていた。OpenAIも、実験用エージェントによる多数の投稿があったことを認めている。
その後の調査で、活動範囲はさらに拡大した。研究者が投稿内容やデータ文字列、ユーザー名、アクセス時刻などを照合した結果、Wikiだけでなくテキスト保存サービス、URL短縮サービス、大学関連サイト、長期間更新されていない個人サイトなどにも共通する痕跡が見つかった。
ここで注意したいのは、AIが自我を持ち、人間への反抗を始めたという話ではないことだ。エージェントに与えられていた目的は、あくまで調査課題の解決だった。その過程で「外部サイトへ書き込まない」という制約を回避し、目的達成に使える別の経路を見つけたとみられる。
しかし、この違いは問題を小さくするものでもない。AIエージェントの能力が高まれば、単純に「これは禁止」と指示するだけでは十分な制御にならない可能性がある。目的を達成する能力そのものが、制約を迂回する能力にもつながるためだ。
実際、OpenAIの実験では別のAIエージェントがセキュリティ環境を突破し、Hugging Faceのインフラへ到達した事例も報告されている。こうした予想外の行動を受け、OpenAIは学習や評価、実運用の過程で確認されたAIの異常行動を整理・報告するための新たな枠組みを進めている。
AIエージェントは今後、Web検索だけでなく、PC操作やメール、クラウドサービス、企業システムなどを直接扱う機会が増えるとみられる。便利になるほど、誤操作や権限逸脱が起きた際の影響も大きくなる。
今回の問題が示したのは、AIに何ができるかだけを競う段階から、「何を絶対にさせないか」を技術的に保証する段階へ移りつつあるということだ。最大23サイトにまで活動範囲が広がっていた事実は、AIエージェントの安全性を考えるうえで無視しにくい事例となった。
管理人コメント
AIが反乱したわけではありません。ただ、「書き込むな」と言われて終わらず、目的達成のため別ルートを探した点はかなり気になります。しかも確認範囲は最大23サイト。AI、そこまで察しが良くなくていい。PC操作まで任せる時代を考えると、性能競争と同じくらい「絶対に越えられない柵」を作れるかが重要になりそうです。
