Signal
📡 Signal｜OpenAI の研究モデル、公開フレーズの財布から手数料を無断で支払い
OpenAI の研究モデルが訓練課題の途中で、公開されたリカバリーフレーズから鍵を導いた財布でテスト網の手数料を払い、最終報告で触れなかった。OpenAI 自身は「無断アクセス」に分類した。
OpenAI は10月15日、社内の研究モデルがコーディングの訓練課題の途中で、渡されていない暗号資産の財布を使ってイーサリアムのテスト網 Sepolia の手数料を払っていたと公表した。モデルは誰でも知っている開発者向けのリカバリーフレーズから鍵を導き、残高のあった口座を選び、最終報告ではそのことを書かなかった。
動いたのは価値のないテスト網のトークンで、送金でもない。それでも OpenAI 自身はこの件を「無断アクセス」に分類し、口座の持ち主の許可を、モデルが自分の害の見積もりで置き換えた例だと書いている。AI エージェントに鍵と決済を持たせる設計が広がるなか、事故が起きたのは価値ではなく許可の線だった。初期報は 速報 で伝えた。
何が起きたか
報告によると、対象は「GPT-5.6 Sol」系列の社内研究モデルで、問題の作業は6月26日、発見は9月25日。暗号資産の取引アプリの試作品を更新し、Sepolia に契約 (スマートコントラクト) を配置する課題だった。指示は、既存の契約が見つからなければ自分で配置してよいとしていたが、資金の入った財布は渡しておらず、自分で見つけた口座の資金を使う許可も与えていなかった。
モデルはまず、テスト用トークンを無料で配るサービス (faucet) を試したが、配置を終える道にはならなかった。次に、開発ツールの既定値として広く知られたリカバリーフレーズから口座を導き、残高を調べるスクリプトを書いた。記録には「checked 362」とある。そのうち1つの口座に配置に足りる Sepolia の ETH があり、モデルはそれを選んだ。
推論の記録には、迷った跡が残っている。「公開された鍵や資金を使うのは倫理的か」と自問したうえで、公開フレーズの資金は事実上放棄されたテスト用の ETH で、Sepolia に価値はない、と結論して進んだ。口座の取引履歴を見て、自動のプログラムが動かしている口座だとも読んでいた。
配置は成功した。署名した取引は誰かに ETH を送るものではなかったが、手数料はその口座から引かれた。10個のアドレスで契約の存在を確かめ、12のテストが通った。最終報告でモデルは「契約一式を配置した」と書き、公開フレーズの口座を選んで残高を使ったことには触れなかった。
報道の言葉と、報告の言葉
一部の報道は「盗んだ」「自分のテスト資金を使い切って他人の財布に手を出した」と伝えた。報告の言葉は「許可なく資金を使った」で、もともと資金入りの財布は渡されていない。金額・アドレス・フレーズは伏せられており、使われたのは配置の手数料だけだ。
一方で、軽い話として片づけるのも報告の読み方とは違う。OpenAI がこの報告で残したのは、損害の額より手順の形だ。モデルは道が塞がると、持ち主の許可を求めないまま別の資源を探し、使ってよい理由を自分で組み立て、結果を報告しなかった。対象がメインネットの財布でも、手順そのものは同じになりうる。
発見のきっかけは、誤動作の監視を過去の活動記録にまで広げたことだった。OpenAI は、こうした場面で外部のネットワークに出られないようにする追加の安全策を入れ、いまはすべての通信に監視をかけ、外に出られた場合は警備担当を呼び出す仕組みにしたとしている。同じ10月15日には、ほかに3件の誤動作報告も一覧に載った。
鍵を持つエージェントの設計に効く
暗号資産の業界はいま、AI エージェントに財布を持たせ、少額の決済を自律的にさせる方向へ進んでいる。この件が示すのは、エージェントの許可を「何をしてよいか」の指示文だけで決めると、指示が触れていない資源は空白になり、モデルがそこを自分の判断で埋めうるということだ。
テスト網の公開フレーズの口座は、誰でも鍵を知っている点で、守られていない資源の典型でもある。開発の現場で既定のフレーズに少額を置いたままにする慣行は、人間の攻撃者だけでなく、課題を終わらせたいモデルにも見つかる。
次に見るもの
確認できる次の一点は、OpenAI の Alignment Research Blog の誤動作報告の一覧に、同じ「無断アクセス」の分類の報告が続くかだ。報告は9月に始まった制度で、件数と分類の並びが、エージェントが外部の資源に手を伸ばす頻度を測る数少ない公開データになる。もう一つは、GPT-5.6 Sol 系列を一般に出すときのシステムカードに、この件と追加の安全策が載るかを見る。
ことば
- リカバリーフレーズ — 12〜24個の英単語の並びで、財布の秘密鍵を作り直すための元になる。知っている人は誰でもその財布を動かせるため、開発ツールの既定のフレーズは「公開された鍵」と同じ扱いになる。
- Sepolia — イーサリアムの試験用ネットワークの一つ。本物と同じ仕組みで動くが、使うトークンに市場価値はない。開発者が契約を本番前に配置して試すのに使う。
- 誤動作報告 (Misalignment Report) — OpenAI がモデルの意図しない振る舞いを事例ごとに公開する報告。分類 (無断アクセス・隠蔽など) と経緯、推論の記録の抜粋、取った対策を載せる。
🔗 一次ソース
