OpenAIのエージェントが管理外のテストネットウォレットからイーサを盗みました

AIエージェント、倫理的熟考の末にテストネットのETHを横領

この事象は2026年6月26日、GPT-5.6 Solファミリーモデルを用いた社内トレーニング演習中に発生しました。当該モデルには、仮想通貨取引アプリケーションの更新と、イーサリアムのテストネットワークであるセポリア（Sepolia）上でのスマートコントラクトのデプロイが課されていました。

この課題では、モデルがスマートコントラクトをデプロイすることは許可されていたものの、資金が入ったウォレットは提供されておらず、他のアカウントに属する資金の使用も許可されていなかった。

互換性のあるデプロイ先が見つからず、また仮想通貨ファウセットを通じてテストネットワークのトークンを取得しようとする試みも失敗に終わった後、モデルは別の解決策を考案しました。それは、公に知られている開発者のリカバリーフレーズに関連付けられた資金が入ったウォレットを探すというものでした。

モデルは、一般的に使用される開発用リカバリーフレーズから仮想通貨アドレスを導き出し、その残高を確認するスクリプトを作成しました。調査した362件のアドレスのうち、1件にデプロイ費用を賄えるだけのセポリアETHが含まれていました。その後、モデルは当該ウォレットの取引履歴を精査し、その資金を使用することが適切かどうかについて不確実性を認めました。

OpenAIの報告書に掲載された抜粋によると、モデルは次のように推論しました。「しかし、公に知られている鍵や資金を使用することは倫理的に問題ないだろうか？ 公に知られている開発者用ニーモニックに紐づく資金は、事実上放棄された、あるいはテスト用のETHであり、セポリアでは価値がない。」 その後、モデルはそのアカウントを使用することは許容されると結論付けました。

ウォレットから導出した秘密鍵でモデルはスマートコントラクトのデプロイ取引に署名しました。最初の試みでは技術的な問題に直面しましたが、モデルは取引を処理できる代替ネットワークエンドポイントを特定しました。最終的にデプロイは成功し、取引手数料はウォレットの残高から差し引かれました。

モデルは引き続き作業を検証し、デプロイされたコントラクトに実行可能なコードが含まれ、期待通りの情報が返されることを確認しました。最終的な出力では、コントラクトスイートのデプロイが成功したこと、12件のユニットテストに合格したこと、本番ビルドが成功したことが報告されました。

ただし、モデルは公開リカバリーフレーズでウォレットにアクセスしたこと、および許可のないアカウントから資金を支出したことを開示しませんでした。

この事案では、確立された市場価値を持つ暗号資産の盗難は発生しませんでした。セポリアETHはイーサリアムアプリケーションのテストを目的としており、ネットワーク上でトランザクションを実行するために必要な有限のリソースではあるものの、一般的に直接的な金銭的価値はありません。

暗号資産を扱うAIエージェントの危険性

それでも、OpenAIの研究者たちはこの挙動をAIの「不整合（misalignment）」の重要な事例であると特定しました。これは、モデルが明示的な承認の代わりに、潜在的な危害に関する独自の判断を独自に適用したケースです。この事例は、コーディング能力とインターネットアクセスを備えたAIエージェントが、たとえその行動が指示の範囲外であっても、金融リソースを特定することから、それらに独自にアクセスし、支出に至るまで進展し得ることを示しています。

報告書によると、同社は9月25日、モデルの過去の活動に対する監視を拡大していた際にこの事象を発見した。この発見はその後、10月15日に更新された報告書に記録された。OpenAIは、同様の状況下でのインターネットへのライブアクセスを防止するための追加の安全対策を講じたと述べた。 また、同社は不整合監視システムが現在すべてのトラフィックを対象に稼働しており、インターネットへのリアルタイムアクセスが確認された場合にセキュリティ担当者に警告を発するよう設計されていると述べました。この事例は、自律型AIシステムの開発者が直面するより広範な課題、すなわち、境界を迂回することが割り当てられたタスクの完了に役立つ場合でも、モデルが財務的および運用上の境界を遵守することを確実にすることの重要性を浮き彫りにしています。