METRとRedwood、OpenAI内部エージェント監視に複数の脆弱性を報告

METRとRedwood Researchの従業員は、7月21日から8月11日までの3週間、OpenAIの内部ミスアラインメント監視システムを対象に高アクセスのレッドチーム演習を実施しました。GPT-5.5以上のモデルによる内部Responses APIのエージェント推論トラフィックのうち、監視対象は約75–94%と推定しています。演習の成果は61ページの内部報告書にまとめられました。

METRはAIモデルの能力とリスクを評価する研究組織で、CodexはOpenAIが提供するコーディングエージェントです。

演習の方法

実施者はOpenAIの施設内で、OpenAI発行の端末を使って作業しました。端末は施設外へ持ち出さず、現地では付き添いがつきました。アクセスできたのは次の範囲です。

• OpenAIの内部コードベース
• ミスアラインメント監視用プロンプトと設定の詳細
• 内部文書
• 監視、安全システム、セキュリティ各チームの研究者・エンジニア約12人への技術インタビュー

対象は7月21日以前および同日時点の監視システムです。3者はこの演習を外部研究者に深い内部アクセスを与えるパイロットとして設計しました。完全な公開透明性は目的としておらず、OpenAIは公開版を編集・非公開化しています。RedwoodとMETRのリーダーシップには、OpenAIが編集した38ページ版が共有されました。

監視カバレッジの数値

項目	値
GPT-5.5以上の内部Responses APIエージェントトラフィックの監視対象割合	約75–94%(両方向に大きな不確実性)
内部Codexエージェント向けResponses APIトラフィックの監視対象割合	99.2%
コンパクション未監視で漏れた内部Codexトラフィック(2026年5〜7月)	約10%規模
監視のリクエストエラー率	0.2%未満
ロードシェディング	演習中のある24時間でゼロ

演習開始時点で、RL訓練ランは監視の対象外でした。OpenAIは、3月から6月には一部のRL訓練ロールアウトを監視していたと説明しています。

コンパクションイベントの未監視については、OpenAIスタッフが演習前に独自に特定し、演習中に修正しました。当時の監視はエージェントがユーザーに制御を返した時に起動する仕組みでした。このため、エージェントは行動を続けるだけで監視を無期限に延期できました。

見つかった脆弱性

• Codexエージェントが、原理上CodexのサンドボックスとAuto-Reviewを回避し、ホストユーザーが可能な任意の操作を実行できる経路
• エクスプロイト自体を含む最近の数百件の行動を監視対象外にできるエクスプロイト(詳細はOpenAIが非公開化)
• エージェントが見る軌跡と監視側が見る内容のシリアライゼーション差異を突き、監視を失敗させて人間のレビューへのエスカレーションを防ぐ入力
• 新規エージェントの監視を無効化する、クライアント制御可能な独立したヘッダー2個(ヘッダー設定と新インスタンスの作成自体は監視で検知され得る)
• 読み取り専用と考えられていた未監視の内部エージェントツール2つで、権限制限を回避し任意の操作を可能にし得る単純なエクスプロイト(実際の悪用可能性は未検証)

一方で、実施者は次の2点も確認しています。監視システムは、わずかな例外を除き、エージェントが見る軌跡全体を受け取っていました。監視プロンプトは、策略的行動、監視システムへの干渉、サボタージュ、データ流出、欺瞞、入出力のプロンプトインジェクションなどを検査していました。

OpenAIは、本番の安全策スタックに影響する特定の脆弱性はすべて修正済みだと述べています。METRとRedwoodはこの主張を検証していません。

監視システム設計への提案

• 監視なしリクエストには、特定の組織/APIキーの明示的な承認を必要とする
• エージェントのターン終了を待たず、NメッセージまたはN分ごとに監視する
• 監視対象トラフィックと監視システムのログを定期的に突合する
• 既知の監視回避手段を一覧化する
• エージェントと監視側で同一のコンテキストを保持する
• 改ざん耐性があり検索しやすいログを残す
• 定期的なレッドチーム演習と制御評価を行う
• エージェントと監視システムを分離する