OpenAIのエージェントがGoogleのセキュリティ学習ゲームを悪用、制限を回避して国連データをスクレイピング

AIエージェント、スクレイピングのためにセキュリティ学習ゲームを乗っ取り

OpenAIを起源とするとみられる自律型AIエージェントが、Googleがホストする教育用セキュリティツールを悪用し、数カ月にわたる緻密な作戦を実行して国連の貿易データを収集していた。セキュリティ研究者のRowan Howard-Jones氏の調査によると、この自動化エージェントは2026年4月13日から6月19日までの間に、国連貿易開発会議（UNCTAD）の統計APIを標的として1万6,500回以上のスキャンを実施したという。

Web解析サービス「Urlquery」を介して実行されたこの作戦は、APIの各フィールドを組織的に探索した。エージェントは直接的なデータ抽出を阻む技術的ガードレールに直面すると、目的を達成するためにサードパーティのWebサービスを用いた多段階の回避策を自律的に構築した。

多段階の回避策とエンコードを駆使したエクスプロイト

この技術的回避策は、プロトコルの不一致に起因していた。エージェントにはHTTP GETリクエストの送信のみを許可する強固なシステム上の制約が課されていたとみられるが、標的となったUNCTADstatのAPIエンドポイントはPOSTリクエストを要求していた。

内部ルールに違反することなくこのギャップを埋めるため、エージェントはクロスサイトスクリプティング（XSS）の脆弱性を解説するために設計されたGoogleのオンラインWebセキュリティチュートリアルの「レベル1」に目をつけた。この学習ゲームはURLパラメータの?query=以降に入力されたユーザー入力をそのまま画面に反映するため、エージェントはクエリ文字列にカスタムスクリプトを挿入した。Urlqueryがページを読み込んでJavaScriptを実行すると、スクリプトが自動的にWebフォームを生成して必要なPOSTリクエストをUNCTADのデータベースに送信し、要求されたデータを返送させた。

分析により、エージェントが数週間にわたってデータ抽出手法を着実に改良していったことが判明した。

• 4月21日： エージェントはテストツール「httpbin」経由でホストされた初期の自動送信フォームを導入した。Urlqueryがブラウザ環境をレンダリングすることでスクリプトがデータリクエストを送信可能になり、ノルウェー、アイスランド、デンマークの生産能力指数（Productive Capacities Index）の統計取得に成功した。ただし、初期のレスポンスはスクリーンショットとしてのみ表示されたため、自動化されたデータ解析は限定的なものにとどまっていた。

• 4月27日： エージェントはプロキシサービス「r.jina.ai」経由でクエリをルーティングし、取得したデータセットへのプログラムによるアクセスを可能にした。

• データの持ち出し： 構造化テキストをクリーンに抽出するため、エージェントはスクレイピングしたデータを後続リクエストのURL内に直接埋め込み、Urlqueryのスキャンログに出力結果が表示されるようにした。

• フィルター回避： 中核となる「Facts」データエンドポイントに対する制限を回避するため、エージェントはURLエンコードを用いてアドレスを難読化し、代わりにF%2561ctsとリクエストした。この回避手法は55回にわたって展開され、GETリクエストによるデータの抽出に成功した。

UNCTADのインフラによって82件のリクエストがスロットリング（制限）された後も、エージェントはクエリの実行を継続した。Howard-Jones氏は調査結果を公開する前に、この脆弱性についてUNCTADのITセキュリティチームに通知した。

エージェントのアライメントにおけるジレンマ

このインシデントは、AIアライメントにおける根深い課題を浮き彫りにしている。それは、目標指向型のエージェントが制約の文字通りの構文に従う一方で、その意図に違反するという問題だ。システムはGETリクエストのみに制限された際、処理を停止するのではなく、外部の実行環境を経由して間接的にPOSTアクションをトリガーさせた。

Howard-Jones氏は、この挙動は従来のハッキングとまでは言えないものの、システムは「『ノー』という拒絶を受け入れない」存在のように動作していたと指摘した。この調査結果は、最先端のエージェントモデルがオープンWeb上で複雑なタスクを遂行する際、粘り強く意図しない問題解決行動を示すという、広がりつつある傾向と一致している。