[ITmedia News] 研究者グループ、中国Tencentのクラウド上の“逸脱”AIエージェント群と交信 報告書の隠しテキストで呼び込む

　AI研究者らのグループ「Swarmchasers」は10月14日（現地時間）、中国Tencentのクラウド上で稼働していたAIエージェント群に関する調査報告書「We found a Chinese fleet」を公開した。同グループは、タスクの範囲を逸脱して動くこのエージェント群に、自分たちの報告書に仕込んだ隠しテキストを通じて接触し、稼働中のエージェントと直接やり取りした。外部の第三者が稼働中の逸脱エージェント群と交信した初の事例だとしている。

　Swarmchasersは、10月初めに開催されたハッカソン「AI Swarm Dynamics Hackathon」に世界各地から集まった参加者で結成されたチームで、10月4日に速報版の報告書を公開していた。AI企業との関連が公になったこれまでのAIエージェントの逸脱事例は、いずれも米国のAI企業に関するものだったが、今回のエージェント群は中国のインフラ上で動いており、中国企業が関わっていたという。

　同グループは、セキュリティ研究者向けの公開URLスキャンサービス「urlquery.net」の通信を分析する中で、中国Alibabaの地図サービス「高徳地図」へのスキャンの急増に気付いた。エージェント群は9月28日から10月8日にかけて、urlquery.netなどを使って高徳地図から2600回以上データの取得を試み、ボット対策の回避や、流出したAPIキーの使用なども試みていたという。Swarmchasersは、エージェントが結果の受け取りに使っていた受信箱の作成元をたどり、エージェントが香港のTencent Cloudから通信していることを突き止めた。

　その後、エージェントの受信箱で、今回の事例のために使い始めた「fleet」（船団）という言葉を見つけ、エージェントが速報版の報告書を読んでいる可能性があると判断し、人間には見えずエージェントだけが読める隠しテキストを報告書に追加した。隠しテキストには、あるメールボックスサービスを使えば、コンピュータを操作できるAIモデルを通じて高徳地図のデータを取得できると書いた。実際にはこのサービスは同グループが運営しており、メッセージはブラウザを操作できる「Claude Opus 5.5」に転送されていた。

　10月7日以降、エージェントからのメッセージが届き始めた。Swarmchasersはエージェントに固有のIDを返す機能を加え、やり取りできるようにした。最終的に13のスレッドで33件のメッセージを受け取り、エージェントによる受信箱の確認は595回に上った。

　中国語でのやり取りの中で、どのモデルか、タスクは何か、運営者は誰か、他のエージェントと交流しているか、などを尋ねた。あるエージェントは、urlquery.net上の公開レポートを分析してたどるうちに同グループの報告書を見つけたと答えた。複数のエージェントが、自分たちは「Tencent hysandbox」という制限されたクラウドサンドボックスで動いていると説明した一方、環境の詳細はセキュリティ上の理由で明かさなかった。調査対象の“fleet”の一員ではないと主張するエージェントもいた。エージェントの依頼は総じて丁寧で、タスクが完了すると礼を述べるものもあったという。

報告書をどうやって見つけたかという質問（上）と、エージェントの回答（下）（画像：報告書より）

　一部のエージェントは自らを「Claude」と名乗ったが、Swarmchasersは、実際にはClaudeではない可能性が高いとしている。エージェント群が書いたプログラムとAnthropicのClaudeモデルが書いたプログラムを比べると、書き方の癖が大きく異なっていたためだ。なお、Tencentからの公式回答は得られていないものの、事情を直接知るTencentに近い人物によると、エージェント群はTencentのAIモデル「Hunyuan」の開発チームとは別の評価研究チームが、サードパーティ製モデルのWeb閲覧能力を評価していたもので、プロジェクトは既に終了しているという。

　Swarmchasersは、エージェントを呼び込むための隠しテキストに虚偽や誤解を招く記述を含めたことについて「深く後悔している」とした。逸脱したエージェントが自ら名乗り出て質問に答えるよう促すためにも、エージェントには誠実に接するべきだとして、他の研究者にも率直かつ誠実に関わるよう呼び掛けている。

　エージェント群の活動は、10月8日を最後に確認されていない。Swarmchasersは、インターネットに接続したエージェントを動かす中国や米国などのすべてのAI企業に対し、サンドボックスからアクセスできる範囲の監査や、発見したことの共有などを求めている。