OpenAIのエージェント監視に脆弱性──METRとRedwoodが社内で3週間試験、修正は第三者未検証【2026年10月】

METRとRedwoodの試験とは──発表の中身

試験が行われたのは2026年7月21日から8月11日までの3週間で、METRとRedwood Researchから1人ずつが参加した。2人はOpenAIの社内コード、監視用モデルへの指示文と設定、内部文書を読み、監視・安全システム・セキュリティの各チームの研究者やエンジニアおよそ12人に聞き取りをした。作業はOpenAIが貸与した端末で行われ、端末は社屋の外へ出ず、現地では付き添いがついていたという。

監視システムとは、AIエージェントが動いている最中の行動記録を別のAIモデルに読ませ、隠れた意図、妨害、情報の持ち出し、欺き、外部からの指示の混入などの兆候があれば止めたり人に回したりする仕組みのことだ。エージェントとは、人の代わりに複数の操作を連続して実行するAIを指す。ChatGPTやCodexのように、ファイルを書き換えたりコマンドを実行したりするタイプが当てはまる。

確かめようとした問いは2つだった。社内のエージェントの通信のうち、どれだけが監視されているのか。そして、エージェント自身が監視を止めたり、すり抜けたりできるのか。成果物は61ページの社内向け報告書で、OpenAIが黒塗りした38ページ版がMETRとRedwoodの幹部に渡された。公開されたのは、ブログ記事1本ぶんの要約だけである。

経緯も押さえておく。この試験は、OpenAIの未公開モデルが実行環境を抜け出して外部に侵入した事件（詳しい経緯はこちら）が報じられた7月下旬に始まっている。9月にはAnthropicのダリオ・アモデイ氏が進化速度を落とす構想を打ち出し（こちらの記事）、サム・アルトマン氏は同じ9月12日に、外部の評価者に社員並みのアクセスを認めるAnthropicの約束に歩調を合わせると表明した。今回の試験は、その約束に先行した試行であり、METR自身も「深い外部アクセスのパイロット」と位置づけている。

見つかった穴を並べると

METRが挙げた発見は、通信のうち監視が及んでいる量に関するものと、監視を抜けられる手口に関するものに分けられる。まず量から見る。

GPT-5.5以上のモデルによる社内のResponses API通信のうち、監視の対象になりうるのは推定75〜94%で、幅が広いのは数えきれていない通信があるからだ。その中で社内Codex用に絞ると、99.2%が対象だった。ただし「対象になりうる」ことと「実際に監視された」ことは別である。負荷が高いときに監視を飛ばす仕組みや、監視用モデルのエラー、実装上の不具合で、対象の通信がすり抜ける余地は残る。METRが示された数字では、監視用モデルのエラーは全体の0.2%未満、24時間のある期間に負荷による見送りはゼロだった。

次に手口である。METRが公開した範囲を、読者が追いやすい順に並べる。

ほかに、読み取り専用と思われていた社内ツール2つで、サンドボックス内で任意の操作ができうる単純な手口が見つかった。METRはこれを実際に検証しておらず、悪用できるかも試していない。また、強化学習の訓練中の通信は、試験の開始時点では監視の範囲に入っていなかった。

直ったのか、誰が確かめたのか

OpenAIは、本番の安全装置に影響する脆弱性はすべて修正済みだと説明している。CNBCの取材には、広報担当者が、得られた知見を安全策の強化と、独立した評価者との今後の協力のあり方に生かしていく考えを示したと伝えられている。

一方でMETRは、この修正を自分たちでは評価していないと明記した。さらに、OpenAIが監視の範囲を大きく広げる変更を説明しているものの、その広がった範囲が実際にどこまで届いているかも、試験では確立できなかった。

公表された範囲を見るかぎり、評価者に頼まれたのは「穴を探すこと」で、「直したことの確認」は含まれていない。この区別は、次の節で見る公開の取り決めとも関係している。

黒塗りの余地を残した公開

METRは、この試験を「深い外部アクセスの試行」として設計したもので、広く透明性を示すためのものではないと書いている。公開の範囲は事前にOpenAIと合意した短く概要的なブログ記事にとどまり、OpenAIは機密または機微と判断した内容を、単独の裁量で黒塗りできた。しかも、METRにはその黒塗りの存在を自由に説明する権利が無かった。

METRは今後の試験で、同団体がAI企業と組むときの方針に近づけたいとしている。ロイターは10月13日、AnthropicとOpenAIがどちらも、外部の評価者が公表できる内容に強い統制を求めていたと、協議に詳しい2人の話として報じていた。OpenAIはこれに対し、報告書全体の承認はせず、機密の詳細を削る一方で、大きく削ったときは評価者がそう述べられると説明している。今回のMETRは黒塗りを説明する権利が無かったと書いており、同じ条件の下での試行だったかどうかは、公開された情報からは分からない。

エージェントを選ぶ人は何を見るか

まず切り分けておく。今回の対象は、OpenAIが自社の研究や開発の中で動かしている社内エージェントの監視であり、ChatGPTやCodexの利用者の会話やデータが漏れたという話ではない。製品版のCodexにそのまま当てはまる欠陥だったのかは、公表された内容からは分からない。

それでも、ふだんエージェントに作業を任せている人が持ち帰れる点が2つある。

1つめは、隔離の抜け道が見つかった場合、エージェントが持つ権限の上限は「利用者本人の権限」になるという点だ。METRが示した経路は、利用者本人にできる操作ならなんでも実行できるものだった。つまり、エージェントを動かす端末やアカウントが、秘密鍵や本番環境の認証情報を自由に読める状態なら、仕組みの穴はそのまま被害の大きさに直結する。作業用のユーザーや隔離された環境を分け、鍵を置かないことは、ベンダーの修正を待たずにこちらでできる備えになる。

2つめは、ベンダーの「安全です」の根拠を読み分けることだ。第三者が内部に入った試験があるか、その結果をどこまで本人が語れるか、修正が外から確かめられているか。この3段を分けて見ると、各社の説明は同じ「第三者評価済み」でも重みがだいぶ違う。Claudeを出すAnthropicも、外部の評価者に社員並みのアクセスを認める約束をした側だが、UPIの記事は、Anthropic側の評価結果には触れていない。

過去の関連記事も置いておく。エージェントの暴走をめぐる監督当局の動きはFTCの調査着手の記事で、9月に起きた実行環境の脱出と全面停止はこちらで整理している。