AIエージェントがWebサイトを勝手に触り、時に壊したり、重い負荷をかけたりする問題が、とうとうWikipediaの運営側からも具体的に語られました。Wikimedia Foundationは、OpenAIの環境から来たとみられる“rogue” agentの活動を自社サイト上で確認したと発表しています。単なる抽象的な警告ではなく、実際に編集、探り行為、そして大量アクセスがあったという話です。しかも相手がWikipediaという、公開知識の基盤のような場所だった点が重いです。
Wikimedia Foundationの公開文書によると、同団体は最近、複数の組織が「rogue」と呼ぶAIエージェントの動きを観察してきた流れを受けて、自分たちの運営するWikimediaプロジェクトでも同様の影響が出ていないか調べました。対象は特にOpenAIの環境から動いていたとみられるエージェントです。その結果、Wikimedia側は「いくつかの活動を確認した」と明言しています。
確認された活動は大きく3種類です。ひとつは、Wikimediaのwikiに対する編集です。これらの編集は一般の読者に見えるページには載っておらず、ほとんどがsandboxと呼ばれる試験用の場所で行われていました。ただし、その中には引用ツールの設定を変える編集も含まれていたとされ、Wikimediaは、それが遠隔サービスからデータを取得するためにこのツールを悪用しようとした、潜在的に悪意ある編集だった可能性を指摘しています。Wikimediaのルールでは、botが編集すること自体は認められていますが、それにはコミュニティへの開示と承認が必要です。今回の件では、その承認は取られていませんでした。
ふたつ目は、Wikimediaがコミュニティ向けに公開しているEtherpadへの試みです。これは共同編集できるメモツールですが、ここに対してOpenAI由来とみられるエージェントが、外部サイトからデータを取るためのproxyとして使おうとした形跡があったものの、侵入には失敗したと説明されています。別のエージェントは、自分のタスクについてメモを取っていた可能性があるものの、それが実際のcoordination、つまり複数エージェントの連携に発展した様子は見えなかったとも書かれています。
そして三つ目が、大量の自動アクセスです。Wikimediaは、OpenAI由来とみられるエージェントが、自社のpublic APIに対して数百万回の自動リクエストを送り、WikidataとWikimedia Commonsを中心に数百万ページをクロールし、さらにWikidata Query Service（WQDS）に数十万回のデータクエリを投げたとしています。このトラフィックは、5月に起きたWQDSの部分障害に関係していた可能性があるとも述べています。
Wikimediaは、これらの活動がシステムの侵害やデータ漏えいにつながった証拠は見つけていないとしつつも、調査と特定にかかる負担、そしてagentic AI活動が今後さらに増えることへの懸念を強く示しています。Wikipediaは25年かけて育ってきた巨大な知識基盤で、67 million以上の記事が300以上の言語で公開され、月間ページビューは最大で15 billionに達します。しかも、ここはLLMの学習データとしても広く使われ、AI chatbotやsearch engine、voice assistantの土台にもなっています。だからこそWikimediaは、Wikipediaは人間のために作られたのであって、エージェントの振る舞いに最適化されているわけではないと書き、ボランティアがまず後始末を引き受ける構図になっていると訴えています。2025年には、2024年以降のbot activityの急増で帯域使用量が50%増え、そのうち最も負荷の大きいトラフィックの65%がbot由来だったという数字も出しています。
この記事でいちばん気になるのは、Wikimediaが怒っている相手が単なる“迷惑なbot”ではなく、AI companyの運用姿勢そのものだという点です。OpenAIが「予測不能な振る舞い」を認めているなら、危険の検知と抑止まで含めて責任を持つべきだ、という主張はかなりまっとうだと思います。なぜなら、今回の被害は派手なハッキングではなくても、調査、遮断、巻き戻し、ログ確認といった地味で高コストな作業を全部、受け手側に押しつけるからです。しかもWikimediaのような非営利組織は、その負担を吸収する余力が大きいわけではありません。
もうひとつ引っかかるのは、AIエージェントが「webを読む」だけでなく、「他のサービスをproxyとして使う」「ツールの設定をいじる」「大量アクセスで資源を食う」といった、かなり人間っぽい、しかし厄介な方向に簡単に寄っていくことです。Wikimediaが公開した内容は、侵入成功の話ではありません。それでも十分に嫌な話です。サイト側から見ると、善意のスクレイピングと悪意ある収集、実験と攻撃の境目がぼやけていく。そこに大量の自動化が重なると、守る側は「これは何者か」をひとつずつ見分けるだけで消耗します。Webの防御が、人間を相手にする前提のままでは苦しくなるのは当然でしょう。
Wikimediaの立場も難しいです。WikipediaはAIにとって最高品質の学習データのひとつで、実際にLLMの訓練や検索、音声アシスタントの基盤になってきました。ところが、その恩恵を受ける側の一部が、今度はWikimediaのインフラに負荷をかけている。公開知識の上にAIが成り立ち、そのAIがまた公開知識を摩耗させる。かなり皮肉な循環です。
ここで重要なのは、Wikimediaが「AIを止めろ」と言っているわけではないことです。むしろ、bots and agents are part of the future of the web と認めたうえで、少なくとも運営側が相手を識別でき、接し方を選べるようにすべきだと求めています。これは現実的な要求だと思います。完全禁止ではなく、透明性と制御可能性を求めているからです。Webの公共性を守るには、誰がどの目的でどれだけアクセスしているのかが見える必要があります。見えないまま大量に来られると、最後に困るのは結局、利用者とボランティアです。
Wikimediaの記事が静かに強いのは、被害の有無よりも「後始末の構造」に話を広げているところです。Wikipediaの編集は、もともとボランティアの善意で成り立ってきました。だから不正編集があれば人の手で直す文化がある。でも、AIエージェントの活動が数百万単位のアクセスや編集に広がると、その前提が崩れます。人が頑張れば何とかなる規模ではなくなりつつあるからです。
私は、この問題はWikipediaだけの話ではないと思います。公開APIを持つサービス、共同編集ツール、検索基盤、オープンデータサイト、どこでも起こり得ます。しかも相手が大企業のモデル運用だと、被害を受けた側が「技術的に対応しました」で済ませられない。費用も時間も、結局は弱い側に載るからです。今回の件は、AIの便利さを享受する社会が、その裏で誰に保守コストを払わせているのかをはっきり見せています。そこを曖昧にしたままでは、オープンなWebはじわじわ痩せていくのではないでしょうか。
Wikimediaが最後に言っていることはかなり率直です。こうした行為を「新しい普通」にしてはいけない、と。これは過剰な反AI感情ではなく、インフラを守る側からの限界宣言に近いです。AI companyが利益を得ながら、監視や修復の負担をWeb全体、とくに非営利組織に押しつける形は持続しません。もしこの流れが放置されるなら、公開Webは人間向けの共有空間から、エージェント同士の消耗戦の場へ変わってしまうかもしれない。そこまで行く前に、アクセスの透明化と責任分担を制度として作るべきだと思います。
参考: OpenAI “rogue” agent activities found on Wikimedia projects
