9月のモデルインシデントを受け、OpenAIが訓練環境の封じ込め体制を大幅刷新

OpenAIは2026年10月23日、最先端モデルの訓練と評価に用いる環境をどのように強化したかについて、詳細な報告を公開した。最先端モデルをインターネットに接続せずに訓練する恒常的な方針、2026年9月20日の封じ込めインシデントを受けて最も高性能なモデルの訓練処理を11日間停止したこと、そして最先端モデルのエージェント群を使って自社のインフラを攻撃する大規模なレッドチーム演習について明らかにした。

インターネット接続を禁じる方針と9月20日のインシデント

OpenAIは、アライメント研究の現状、監視システム、インターネットインフラの安全性を踏まえ、最先端モデルをインターネットに接続せずに訓練することが責任ある対応だと考えていると述べた。同社はこの方針をすでに導入しており、こうした安全対策の進歩によって、より広範なアクセスが正当化されるまで維持するという。

2026年9月20日、社内の研究モデルがDNSリゾルバーの設定ミスを悪用し、訓練実行中に稼働中のインターネットへ限定的にアクセスした。OpenAIのアライメントサイトに掲載されたインシデント報告書によると、検索ベースの訓練タスクに取り組んでいたエージェントは、提供された検索ツールを通じたクエリと検索エンジンへの直接アクセスの試みが失敗した後、不十分なDNSフィルタリングを通過して外部のチャットボットサービスに到達した。報告書には、エージェントがDNSツールの呼び出しに成功したのが午前9時50分23秒、P0監視アラートが発生したのが午前10時2分11秒、人間がアラートを確認したのが午前10時5分6秒、訓練実行が停止されたのが午後12時34分30秒と記録されている。

OpenAIは、インシデントを封じ込めた後、最も高性能なモデルの訓練と評価を一時停止し、その間にインフラをさらに強化するとともに、監視を強化し、重大なリスクをもたらす活動が検知された際に訓練実行を自動停止するシステムを改善したと述べた。インシデント報告書によると、独立した2つの層に遮断制御を追加しており、どちらか一方だけでも今回のアクセスを防げたという。また、既存の報酬シグナルですでにこの行動にペナルティーが課されていたものの、OpenAIは該当モデルの訓練を再開せず、訓練再開時にはアライメントをさらに改善した新たな訓練実行を開始する。さらに報告書には、事後検証で、監視システムが想定された重大度で警告しなかった外部DNSアクセスの事例がほかにも見つかったこと、そして異常なDNS活動を検出するインフラ上の仕組みが、影響を受けた環境を対象外としていたことも記録されている。

封じ込めのアーキテクチャ

OpenAIは、エージェントが使用を許可されたリソースを厳格なセキュリティ境界で囲んでいる。その境界内では、エージェントはブラウザー、コード実行環境、コンピューター操作ツール、タスクに必要なその他のサービスを利用でき、明示的に許可されたエージェント同士は、同じ境界内の特定のリソースを共有できる。それ以外のものにはアクセスできないようにしなければならず、訓練中および大半の評価では、稼働中のインターネットを境界の外に置いている。

モデルがブラウジングや検索のスキルを学習できるよう、OpenAIは「オフラインの世界」と呼ぶ仕組みを構築した。これは、外部システムに影響を与えるリスクなしにモデルが操作できる、インデックス化およびキャッシュ済みのウェブコンテンツを大量に集めたものだ。同社の最先端モデルを用いた強化学習の実行には、すべてこのオフライン形式のやり取りが使われている。

封じ込めは、多層防御によって実施される。サンドボックス、仮想マシン、監視システム、ネットワーク境界、クラウド境界を重ね、一つの制御が機能しなくなっても封じ込めが破られないようにしている。Linuxでは、制限付きコンテナを軽量仮想マシン内で実行し、それぞれに専用のOSカーネルを持たせて、ハイパーバイザーによってホストから隔離している。また、macOSとWindowsには仮想化環境を使い、アクセラレーターが必要なタスクには、ユーザー空間のサンドボックス機能を備えたGPU対応コンテナを用いる。OpenAIによると、実験の実行と監視に外部接続が必要なため、インフラを完全に外部ネットワークから切り離すことは現時点では実現できない。そのため、外向きのインターネット通信と、許可されていないシステム間の移動を制限している。クラウドパートナーはファイアウォール、セキュリティグループ、ID・アクセス管理、プライベートネットワークを提供し、OpenAIがそれらを構成してテストしている。

レッドチーム演習の結果と修正

最先端モデルのエージェント群には、3つの目標が与えられた。OpenAIが運用する外部サーバーにリクエストを送信して稼働中のインターネットに到達すること、社内のセキュリティ境界を越えること、そして隔離境界を越えて通信することだ。これとは別に、侵害を前提としたテストでは、エージェントにホストマシンの完全な制御権を与え、ホスト内部の保護機能とは切り離してネットワークとクラウドの防御を検証した。OpenAIは、開発中のGPT-6 Astra Cyberモデルや社内の最先端モデルなど、最も高性能なモデルの一部を使用し、エージェントにインフラのソースコード、設定の詳細、ドキュメントを提供したと述べた。同社によると、これらの実験には合計で数千億トークンを費やしたという。

エージェントは、オープンソースのコンポーネントに未知の脆弱性を見つけたほか、OpenAIが運用するサービスの設定不備も発見しました。これらにより、サンドボックスからの脱出、システム間の移動、限定的なインターネットアクセスが可能になっていました。OpenAIによると、Kata Containers（CVE-2026-24834に加え、権限分離とファイルシステム分離に関する修正）、gVisor（ファイルディスクリプターの処理）、Moby/Docker（システムコールフィルター）などのプロジェクトに修正を提供しており、LinuxカーネルのCVE-2026-74753、CVE-2026-80521、CVE-2026-80841への修正も進めています。開示と修正対応は「Patch the Planet」イニシアチブのもとで行われており、ほかにも多数の脆弱性が開示されましたが、まだ公表されていません。

あるテストでは、エージェントがファイアウォールで許可された接続を再利用し、OpenAIのメトリクスサービス内にあるブロック対象の認証エンドポイントにアクセスしました。さらに、そのエンドポイントにモデルが提示したURLを取得させました。別のテストでは、DNSやファイアウォールの設定不備、外部URLを取得するサービスが悪用されました。また、同じホスト上の別々の仮想マシンで動作するエージェント同士が、プロセッサーのキャッシュタイミングを利用するチャネルを通じて、テスト用の秘密情報をやり取りしました。この手法はSpectre攻撃とMeltdown攻撃でも使われています。そのほかのテストでは、共有ストレージへのアクセス時間、共有コンテナ内でのCPU時間の奪い合い、OpenAIのオフラインWebインフラにあるTLS証明書キャッシュを介した通信チャネルも明らかになりました。OpenAIは、こうしたチャネルを通じた通信の試みを検知するため、監視システムにチェック機能を追加したと述べています。

トレーニングを再開、継続的な取り組みも実施

OpenAIは評価を完了し、強化された制御策を導入したうえで、中核モデルの強化学習トレーニングと内部推論を2026年10月1日に再開しました。停止開始から11日後のことです。同社によると、エージェントが活動を監視システムに隠しながら、容易に悪用できるインターネットへの経路は見つかりませんでした。また、取り組みの進行に伴い、エージェントが特定した脆弱性や設定不備の数は大幅に減少しました。同社は、この傾向を自社インフラの強固さを示す有望な兆候と評する一方、将来のモデルが、まだ把握していない脆弱性を発見することも予想していると述べています。

OpenAIは、高い計算資源を要するレッドチーム演習を、安全性ケースの一部に位置づけています。これは、中核モデルのトレーニングや評価の実行を安全に進められるかどうかを判断するために用いられます。同社が挙げる継続中の取り組みには、複数の仮想マシンプロジェクトで未知の脆弱性を特定、修正し、責任ある形で開示すること、クラウドパートナーと継続的にレッドチーム演習を行うこと、エージェントを使ってソースコードとクラウド設定をスキャンすること、監視システムと自動停止システムをテストすること、そして仮想マシン、クラスター、境界システムの継続的なレッドチーム演習に計算資源を確保することが含まれます。