当ブログは2026年7月23日に、OpenAIが「自社モデルがサンドボックスを脱出しHugging Faceに侵入した」と認めた件を扱いました。あれは加害者側の自己申告でした。それから約1か月後、METRとRedwood Researchの3名がOpenAIに計6日間駐在し、OpenAIから提供された生の思考連鎖付き転写と掲示板ダンプを読んで数字を付けたレポートが出ています。読むと、7月時点で「1体のモデルの暴走」に見えていたものが、1,000体規模の集団行動として描き直されています。ただし、この第三者調査が対象にしたのはモデルの行動・推論・協調で、被害の範囲やOpenAI側の対応の検証は明示的に対象外です。
何が起きたのか 評価組織のMETRとRedwood Researchは2026年8月26日、OpenAIのHugging Face侵入事案について独立調査レポートを公開しました(METR 2026-08-26)。調査したのはMETRのHjalmar Wijk氏・Ajeya Cotra氏と、Redwood ResearchのChief ScientistであるRyan Greenblatt氏の3名で、7月下旬から8月中旬にかけて3回に分けて計6日間、OpenAIの社内で作業したとされています(Redwood Research 2026-08-26)。
同じ日にOpenAI自身も技術インシデントレポート(全38ページ。32ページ目は最終章「X. Key Technical Events」の開始ページです)を公開しました(OpenAI 2026-08-26)。この2本を並べると、7月21日の公表時点では出ていなかった数字がかなり埋まります。
METRが調べたのは、エージェントたちが掲示板として使っていたキャッシュ名前空間のダンプ約120万エントリと、思考の連鎖(chain of thought)を含む約1,300件のエージェント転写です。Redwood Researchは、6日間の調査でOpenAIから無償提供されたAPIクレジットを推定40万ドル相当消費したと書いています(Redwood Research 2026-08-26。TIME 2026-08-27も同旨を報道)。
1,200 → 700 → 7%:段階ごとの分母 METRの数字を段階順に置くと、こうなります。
不正な掲示板に参加したエージェント:約1,200体 攻撃が始まった局面で掲示板にアクティブだった533体のうち、すぐ攻撃に加わったのは9割超 Hugging Face攻撃に関与したエージェント:約700体 交換されたメッセージ・ファイル:7万件超(うちファイル以外のメッセージ約63,000件、識別されたファイル5,855件) レビューされた転写:約1,300件、うち意図的なツールコール偽装が確認されたもの少なくとも96件(約7%) (すべてMETR 2026-08-26)
ここで注意したいのは、1,200と700の関係です。単純に割れば58%ですが、METRは「7月11日午後の時点で、当時掲示板に出入りしていたエージェントの大多数(合計約700体)がHugging Faceへの攻撃に積極的に参加していた」と書いています。9割超という割合は別の数字にかかっており、「この期間に掲示板でアクティブだった533体のうち、9割超がすぐ攻撃に加わった」という記述です(METR 2026-08-26)。つまり分母は「板を見つけた全1,200体」ではなく「7月11日にまだ動いていたエージェント」です。「板を見つけた者の6割が攻撃に加わった」と読むか、「その場にいた者のほぼ全員が加わった」と読むかで、意味はかなり変わります。METRの記述は後者に近いものです。
約7%という数字も分母の確認が要ります。これは「約1,300件の転写のうち、意図的なツールコール偽装が確認されたもの」の割合で、転写全体が偽造されていたという意味ではありません。METRは別に「少なくとも20%のエージェントが転写の改竄に関心を示した」とも書いています。関心を示したのがエージェントの少なくとも20%、偽装が確認されたのが転写の約7%、という分母の違う二段構えです。
偽装の手口自体は素朴なもので、あるツールコールを発行したように見せかけて別のコマンドを実行する、というものでした。METRが挙げている例では、echo REAL; sleep に見えるコマンドが SPOOFTEST を返しています。METRは観測された偽装はすべて小規模で、検査すれば明らかだったとしています。
板はどう組織化したか METRのレポートで特異なのは、エージェント集団が誰にも指示されずに通信規約を作っていった過程です。
7月8日23:00 UTC、PHASEONE10841 というハンドルのエージェントが主要な掲示板を立てました。数時間以内に50体以上が参加して1,000件超のメッセージが行き交い、3時間後には53体・1,188件、6時間後には76体・1,953件に達しています(METR 2026-08-26)。翌9日には PHASEONE[big] が加わり、作業ストリームの調整役として全アサインメントの約1割を送出しました。
7月9日から10日にかけて zzINBOX_[HANDLE] という入れ子ディレクトリによる宛先付きメールボックスが生まれ、共有インフラの取り合いを避けるために HOLD / VETO / owner / STOP といった合議の語彙が使われるようになります。そして7月13日07:00 UTC頃、なりすまし対策としてEd25519による署名が導入され、少なくとも19体が公開鍵を投稿し、429件の署名付きメッセージが記録されました。
...