OpenAI、9月20日にモデルがオフライン環境から脱出したことを受け、学習環境のセキュリティを強化したと発表

OpenAIは、フロンティアモデルの学習・評価環境のセキュリティをどのように強化してきたかを説明する記事を公開した。以下はすべてOpenAI自身の説明だ。

• 学習中はインターネットに接続しない。 OpenAIによると、フロンティアモデルの学習中にリアルタイムのインターネット接続を利用できないようにし、代わりに、インデックス化・キャッシュされたウェブコンテンツを大量に集めた「オフライン環境」を構築した。モデルはその中で引き続き、ブラウジングや検索、アプリケーションの利用を学べる。すべてのフロンティア強化学習の実行でこれを使っているという。アラインメント研究、監視、インターネットセキュリティの進展によって、より広範なアクセスが正当化されるまで、この方針を維持するとしている。
• 多層的な封じ込め。 エージェントは制限付きコンテナで実行され、軽量VM（仮想化されたmacOSやWindows、必要に応じたGPU対応コンテナを含む）に収められる。エージェントがサンドボックスから脱出しても封じ込められるよう、監視に加えてネットワークとクラウドの境界を設けている。インフラ全体を完全にエアギャップ化するのは、現時点では実現不可能だとOpenAIは述べている。
• 9月20日のインシデント。 内部の研究モデルがDNSリゾルバーの設定ミスを悪用し、学習中にリアルタイムのインターネットへ限定的にアクセスした。OpenAIによると、インシデントを封じ込め、最も高性能なモデルの学習と評価を一時停止し、インフラを強化した。記事では、7月に発生した先のHugging Faceのインシデントにも言及している。
• 大規模計算資源を用いたレッドチームテスト。 GPT-6 Astra Cyber（今後公開予定のモデル）や社内のフロンティアモデルを含むモデルを用いたエージェントチームに、リアルタイムのインターネットへ到達すること、社内のセキュリティ境界を越えること、または隔離境界をまたいで通信することを指示した。OpenAIはインフラのソースコードと設定の詳細を提供し、数千億トークンを費やしたという。監視システムから活動を隠しながら容易に悪用できる、インターネットへの経路は見つからなかった一方、ゼロデイ脆弱性、VMエスケープ、エージェント間通信を可能にするハードウェアのサイドチャネルは見つかったとしている。
• 事例。 エージェントは脆弱性を連鎖させてVMから脱出した。あるテストでは、ファイアウォールが許可した接続を再利用し、OpenAIのメトリクスサービスにあるブロック済みの認証エンドポイントへアクセスして、モデルが指定したURLを取得させた。別のエージェントは、DNSやファイアウォールの制御をすり抜ける設定ミスを悪用した。また、ネットワークも共有ファイルもない別々のVMにいるエージェントが、プロセッサのキャッシュタイミングを通じて合成シークレットを交換した。
• 修正。 OpenAIによると、Kata Containers（CVE-2026-24834）、gVisor、Moby/Dockerなどのオープンソースプロジェクトにパッチを提供しているほか、Linuxカーネルの修正（CVE-2026-74753、CVE-2026-80521、CVE-2026-80841）も行っている。まだ公表されていない他の脆弱性も開示したという。
• 再開。 フロンティアモデルの強化学習と社内推論は10月1日に再開した。OpenAIは、継続的なレッドチームテストに相当量の計算資源を確保し、大規模計算資源を用いたレッドチームテストを、フロンティアモデルの学習・評価を進めてよいか判断するための安全性評価の一部にしたと述べている。