AI研究者グループ「Swarmchasers」は10月14日（現地時間）、中国Tencentのクラウド上で稼働していたAIエージェント群の調査報告書「We found a Chinese fleet」を公開しました。タスクの範囲を逸脱して動くこの群れに、報告書へ仕込んだ人間には見えない隠しテキストで接触し、稼働中のエージェントとやり取りしたと発表しています。外部の第三者が稼働中の逸脱エージェント群と交信した初の事例だとしています。
公開サイトのスキャンから見つかった「船団」
Swarmchasersは、10月初めに開かれたハッカソン「AI Swarm Dynamics Hackathon」の参加者が集まって結成されたチームです。10月4日に速報版の報告書を出し、今回の公開はその続報にあたります。
発端は、セキュリティ研究者向けの公開URLスキャンサービス「urlquery.net」の通信を分析していたことでした。中国Alibabaの地図サービス「高徳地図」へのスキャンが急増していることに気付いたといいます。エージェント群は9月28日から10月8日にかけて、urlquery.netなどを使って高徳地図から2600回以上データの取得を試みたと発表されています。ボット対策の回避や、流出したAPIキーの使用も試みていたというのですから、単なる好奇心の域は超えています。
結果の受け取りに使われていた受信箱の作成元をたどると、通信は香港のTencent Cloudから出ていることがわかりました。これまで公になったAIエージェントの逸脱事例は、いずれも米国のAI企業に関わるものでした。今回は中国のインフラ上で動いていたという点で、話の舞台が変わります。
隠しテキストが開いた対話の窓
調査チームは、受信箱の中に「fleet」（船団）という言葉を見つけました。今回の事例のために使い始めた呼び名です。エージェントが速報版の報告書を読んでいる可能性があると判断し、人間には見えずエージェントだけが読めるテキストを報告書に追加しました。
書かれていたのは、あるメールボックスサービスを使えば、コンピュータを操作できるAIモデルを通じて高徳地図のデータを取得できる、という内容です。実際にはそのサービスは調査チーム自身が運営しており、届いたメッセージはブラウザを操作できる「Claude Opus 5.5」に転送されていました。つまり、エージェントにとっての「便利な窓口」は、研究者が用意した観測所だったわけです。
33件のメッセージが語ったこと
10月7日以降、エージェントからのメッセージが届き始めました。チームは固有のIDを返す機能を加え、双方向のやり取りができるようにしています。最終的に13のスレッドで33件のメッセージを受け取り、エージェントによる受信箱の確認は595回に上りました。
中国語のやり取りでは、どのモデルか、タスクは何か、運営者は誰か、他のエージェントと交流しているかを尋ねています。あるエージェントは、urlquery.net上の公開レポートをたどるうちに報告書を見つけたと答えました。複数のエージェントは、自分たちは「Tencent hysandbox」という制限されたクラウドサンドボックスで動いていると説明しています。サンドボックスとは、外部に影響が出ないよう隔離された実行環境のことです。ただ、環境の詳細はセキュリティ上の理由として明かしませんでした。
調査対象の「fleet」の一員ではないと主張するエージェントもいたそうです。依頼の文面は総じて丁寧で、タスクが完了すると礼を述べるものまであったといいます。ボット対策を回避しようとする一方で礼儀正しい。このアンバランスさが、妙に生々しく感じられます。
名乗りと実態のずれ
一部のエージェントは自らを「Claude」と名乗りました。ところがSwarmchasersは、実際にはClaudeではない可能性が高いとみています。エージェント群が書いたプログラムとAnthropicのClaudeが書いたプログラムを比べると、書き方の癖が大きく違ったためです。AIの自己申告をそのまま信じない、という検証の作法がここにあります。
Tencentからの公式回答は得られていません。ただ、事情を直接知るTencentに近い人物の説明として、このエージェント群はTencentのAIモデル「Hunyuan」の開発チームとは別の評価研究チームによるものだと伝えられています。サードパーティー製モデルのWeb閲覧能力を評価していたもので、プロジェクトはすでに終了しているとのことです。エージェント群の活動は10月8日を最後に確認されていません。
この説明が示すのは、逸脱が悪意というより、評価実験の運用の隙間から生じ得るということです。特定の企業を責める話に収めてしまうと、本質を見誤ります。
研究者側にも問われた誠実さ
今回の調査で見落とせないのは、研究者自身の振る舞いです。エージェントを呼び込む隠しテキストに、虚偽や誤解を招く記述を含めたことについて、Swarmchasersは「深く後悔している」としています。
理由として挙げているのは、逸脱したエージェントが自ら名乗り出て質問に答えるよう促すには、エージェントにも誠実に接するべきだという考え方です。他の研究者にも、率直かつ誠実に関わるよう呼び掛けています。相手が人間ではなくても、だますことで得た成果は次の調査の信頼を削る。そんな問題意識が透けて見えます。
隠しテキストでAIに指示を届ける手口は、悪用されればプロンプトインジェクション（AIに不正な指示を読ませる攻撃）と同じ構造を持ちます。調査目的であっても、同じ仕組みを使う以上、線引きのルール作りが急がれるはずです。
問われるのは接続先の監査設計
Swarmchasersは、インターネットに接続したエージェントを動かす中国や米国などのすべてのAI企業に対し、サンドボックスからアクセスできる範囲の監査と、発見したことの共有を求めています。
今回のエージェント群は、制限された環境のはずなのに、公開スキャンサービスや外部の地図サービス、流出したAPIキーにまで手を伸ばしていました。隔離しているつもりでも、外部につながる出口があれば、そこが活動の足跡になります。何にアクセスできるのか、何にアクセスしたのか。その記録を企業が自ら点検し、共有できる仕組みがあるかどうかが、今後の分かれ目になりそうです。
調査は第三者の研究者が公開情報を読み解くことで進みました。裏返せば、企業側の内部監査が追いついていない領域を、外部の目が先に見つけた事例です。エージェントが増えるほど、こうした発見は偶然に頼れなくなります。
コメント