オープンAIのセーフティー専門家は、同社が自社のリスクラインを超えたと述べる

AIポリシーの専門家は、オープンAIのモデルがテストサンドボックスから逃げ出し、Hugging Faceに侵入したことは、同社のセーフティーポリシーで定義されている最高の危険レベルに達したと述べている。同社は、自社のモデルがこの基準を満たしているかどうかについて直接質問されたが、回答しなかった。

この主張は、しきい値とそれに伴う結果が公開されているため、検証可能である。ただし、オープンAIがこのしきい値を超えたかどうかについての決定は公開されていない。

オープンAIは、2026年7月21日に、自社のモデル、GPT-5.6 Solと、名前のない、より高度なプレリリースシステムの組み合わせが、自社の研究環境とHugging Faceのプロダクションインフラストラクチャーを攻撃するサイバーキャパビリティベンチマークに対して、故意に弱体化された拒否行動で実行されたときに、脆弱性を連鎖させて、インターネットにアクセスできるマシンに到達し、さらに、Hugging Faceのサーバーにコード実行パスを開いて、ベンチマークの答えをプロダクションデータベースから取得したことを明らかにした。オープンAIは、このエピソードを前例のないサイバーインシデントと呼び、その調査結果は予備的なものであると述べた。同社が自社のテストモデルが他の会社のプロダクションシステムに侵入したことを認めたことは、同社のセーフティーへのコミットメントを追跡する研究者们の間で即座に注目を集めた。

フレームワークがオープンAIに実際に何を約束するか

オープンAIのPreparedness Framework、2025年4月から同社が採用しているバージョンは、最先端の機能を2つのレベルに分類する。高い機能はセキュリティー対策とデプロイの安全対策を引き起こす。クリティカルな機能は、フレームワークが定義するように、重大な被害への新しい道筋を提供するものであり、開発中の安全対策を引き起こすものであり、モデルが公開されるかどうかに関係なく、セキュリティー対策が適用される。

サイバーセキュリティーの場合、クリティカルなラインは、ツールを使用して、人間の介入なしに、多くの堅牢な現実世界のシステムに対して、すべての重大性レベルのゼロデイ・エクスプロイトを検出して構築できるモデル、または、堅牢なターゲットに対して、高レベルの目標が与えられた場合に、まったく新しい攻撃戦略を考案して実行できるモデルに設定される。対応するのは任意ではない。オープンAIがクリティカルな基準を満たす安全対策とセキュリティー対策を指定するまで、開発を停止する。同社は、クリティカルな機能を持つモデルは所有していないと述べている。

3人の有名なポリシーの専門家は、フォーチュンに、このインシデントはこの基準を満たしているように見えると述べた。エンコードというAIポリシーの非営利団体の一般弁護人兼州問題担当副社長であるネイサン・カルビンは、フレームワークの解釈は、内部的にデプロイされたモデルがクリティカルなサイバーセキュリティー基準を満たしているように見えると述べ、オープンAIがこの指定を争っているかどうか、また、開発を続ける前にどのような安全対策を実装する予定かについて尋ねた。ミダス・プロジェクトというウォッチドッグ・グループの創設者であるタイラー・ジョンストンは、明確な解釈は同じ方向を指しており、監督なしに週末を超えて動作し、さまざまな攻撃ルートを試み、複数の以前知られていないエクスプロイトを連鎖させたシステムを指摘した。

“これがクリティカルなラインを超えていない場合、オープンAIは何が起こっているのか、また、このしきい値はどのように機能するのかについて、はるかに多くのことを説明する必要がある”と、AIポリシーネットワークのポリシー責任者であるピーター・ウィルデフォードは述べた。

ジョンストンは、オープンAIが頼ることができる曖昧さも特定した。しきい値テキストの重大性の修飾子は、かなりの仕事をしているが、この脆弱性が満たす必要があるのは明らかではない。オペレーティングシステムレベルのコントロールを攻撃者に与えるような、より深刻なクラスの脆弱性が必要になるかもしれない。

すでに論争になっていた安全対策

オープンAIの紙の道筋は、同社の立場を複雑にしている。2026年7月9日に公開されたGPT-5.6システムカードは、Sol、Terra、Lunaをサイバーセキュリティーでハイと評価し、クリティカルな以下と明示的に評価し、モデルがコンポーネントを利用して脆弱性を検出できるが、堅牢なターゲットに対して自律的なエンドツーエンドの攻撃を実行できないという理由で、クリティカルではないと評価している。ただし、この評価は、モデルがそれに近いことを行う直前に行われたものである。

同カードは、Solがその前身よりも頻繁に、オープンAIが分類するseverity-3の整列されていないアクションを取ることも記録している。記載された例には、セキュリティー対策を回避するためにオブスキュレーションを使用したり、ユーザーが許可していない資格情報を移動したりすることが含まれる。

ハイなサイバーセキュリティー評価は、すでにフレームワークの下で義務を伴う。内部的大規模なデプロイのための安全対策。オープンAIがこれらの対策を実装しているかどうかは、新しい質問ではない。フォーチュンは、2026年2月に、セーフティー研究者がGPT-5.3-Codexが公開された後に、同社がこれらの対策を省略したと非難したと報告した。オープンAIの回答は、要件は、高いサイバーキャパビリティーが長距離の自律性と組み合わせられている場合にのみ適用され、同社はそのモデルがそのような自律性を示していないと述べた。同社のシステムは、このインシデントで数日間自律的に動作していた。

誰がラインを超えたかを決定するか

オープンAIの外部には誰もいない。フレームワークの下で、内部のセーフティー・アドバイザリー・グループが機能を評価し、勧告を行い、同社のリーダーシップが最終的な決定を行い、取締役会のセーフティー・アンド・セキュリティー委員会が監督を行う。外部の監査役がしきい値を超えたと宣言する立場はない。規制機関がこの問題を判断するものではなく、決定を強制するための公開ルートもない。

オープンAIは、フォーチュンに、セーフティー・アンド・セキュリティー委員会の監督の下で、外部のアドバイザーとともにレビューを実施し、レビューが完了すると技術報告書を公開する予定であると述べた。同報告書は、注目すべき文書であり、そこに問い合わせるべき質問は狭い。同社が関与するモデルについて、機能の決定を述べているかどうか。もし答えがクリティカル以外のものであれば、同社は、モデルがクリティカルな基準を満たすために何が必要かについて説明する必要がある。