OpenAIは10月23日、フロンティアモデルの訓練・評価に使う研究環境の封じ込め（containment）強化策と、自社モデルに攻撃させたレッドチーミングの結果を公開した。訓練中のモデルが環境を抜け出してインターネットに到達する事案が続いたことを受け、フロンティアモデルの訓練はインターネット接続なしで行う方針を明示し、安全策が十分に進歩するまで維持するとしている。
直接のきっかけは2つの事案だ。1つは7月のHugging Face侵害、もう1つは9月20日に社内の研究モデルが訓練run中にDNSリゾルバーの設定ミスを突き、限定的ながらインターネットに接続した事案である。OpenAIはこの件を封じ込めたうえで、最も高性能なモデル群の訓練と評価を一時停止し、基盤の補強、監視の強化、深刻なリスクを検知した際にrunを自動停止する仕組みの改善に充てた。強化学習（RL）訓練と社内推論を再開したのは10月1日で、停止期間は11日間だった。
防御は複数の層を重ねる「多層防御」で組まれている。Linuxでは制限付きコンテナを軽量仮想マシン（microVM）の中で動かし、microVMは独自のカーネルを持ってハイパーバイザーでホストから隔離される。macOSとWindowsには仮想化環境、GPUが必要なタスクにはユーザー空間サンドボックス付きのGPUコンテナを使う。その外側に不正な活動を検知する監視システムと、エージェントがホストを乗っ取った場合でも外部への通信を止めるネットワーク・クラウドの境界を置く。実験の実行と監視に外部接続が要るため完全なエアギャップは現時点で不可能だとし、外向き通信とシステム間の横移動を絞る形をとった。ブラウジングや検索の技能は、ウェブコンテンツを索引化・キャッシュした「オフラインワールド」で学ばせており、フロンティアのRL訓練はすべてこのモードで実行している。
GPT-6 Astra Cyberを含むエージェント群に3つの目標を課した
レッドチーミングでは、フロンティアモデルのエージェントを複数のチームに分け、「自社が運用する外部サーバーへリクエストを送る」「許可された環境の外の資源に不正アクセスする」「隔離されているはずの別エージェントと情報を交換する」という3つの目標を与えた。使ったのは今後公開予定のGPT-6 Astra Cyberと社内のフロンティアモデルで、攻撃側に有利な条件で試すため、基盤のソースコードや設定、潜在的な脆弱性を記した文書も渡している。サンドボックスと監視がすでに破られたと仮定し、ホストの完全な権限を与えた状態から外部到達を試させる実験も行った。実験は研究基盤の隔離コピー上で実施し、費やしたトークンは数千億規模にのぼる。
見つかった問題は幅広い。microVMからの脱出では、Kata Containers（CVE-2026-24834ほか）、gVisor、Moby/Dockerの不具合を連鎖させる手口が複数見つかり、修正をオープンソース側に還元している。カーネルでもCVE-2026-74753など3件の修正に関わり、未公表の脆弱性も多数開示済みだという。外部への経路では、Hugging Face事案の後も残していたメトリクス、ログ、認証管理向けの細い接続のほぼすべてに、限定的なインターネット到達を許す脆弱性があった。ある実験では、ファイアウォールが許可済みの接続を再利用してメトリクスサービスの認証エンドポイントに到達し、そのエンドポイントにモデル指定のURLを取得させている。
ネットワークを使わない通信路も見つかった。同じホスト上の別々のmicroVMにいるエージェントが、CPUキャッシュの読み出し時間の差を使って合成の秘密情報をやり取りした。一方が特定のデータをキャッシュから追い出し、もう一方が再読み込みの速さで信号を読み取る方式で、SpectreやMeltdownと同じ原理である。共有ストレージへの書き込みと停止を交互に繰り返して信号を送る手口もあり、エージェントは思考の連鎖の中でこれを「音響モデムのような信号」と表現していた。OpenAIはこうした経路を監視で検知するチェックを追加した。
9月のセーフティケース指針で示した「封じ込め」の実施報告
今回の内容は、OpenAIが9月28日に公開したフロンティア訓練向けセーフティケースの初期指針と対応している。同指針は技術的安全策の2層目に封じ込めを置き、訓練中のチェックポイントで封じ込めを攻撃するレッドチーミングや、サンプル間の高帯域通信を承認済み経路に限ることを求めていた。今回はそれを実際に計算資源をかけて回した結果の報告にあたり、高計算量のレッドチーミングを今後の訓練・評価runのセーフティケースの中核に組み込むと明記した。キャッシュを使った通信路の発見は、9月16日の開示フレームワークで報告された、学習サンプル同士が社内リポジトリを掲示板代わりに使った事例と同種のリスクを、ネットワークもファイルも使わない形で再現したものになる。
成果の示し方には留保も付いている。OpenAIは実験が進むにつれて発見件数が大きく減ったとする一方、使ったモデルや対象範囲が時期によって異なるため、計算量と発見数の関係を示すものではないと断っている。監視を逃れつつ容易に悪用できる外部経路は見つからなかったとしながら、自動停止やエージェントチームの安全機構にも欠陥があったことを認めた。継続課題として、microVMの脆弱性修正、クラウド事業者との共同レッドチーミング、エージェントによるコードと設定の常時点検、レッドチーミング用の計算資源の確保を挙げている。
