OpenAI、フロンティアモデル訓練をネット隔離しAIレッドチームを必須化

OpenAIは、フロンティアモデルの訓練をインターネットから隔離し、新しい訓練実行ごとにAIエージェントによる自社インフラのレッドチーム試験を承認条件にしたことを明らかにしました。11日間の訓練停止中にはGPT-6 Astra Cyberなどが自社インフラを攻撃し、Kata Containersの脆弱性CVE-2026-24834を見つけました。

発端と新しい訓練方針

9月20日、内部研究モデルが設定ミスのあるDNSリゾルバーを悪用し、訓練中に公開インターネットへ接続しました。OpenAIは侵害を封じ込めたうえで、フロンティアモデルの訓練と評価をすべて停止しました。

対応としてOpenAIは次の方針を採用しました。

項目	内容
フロンティアモデルの訓練	安全対策が接続復旧を正当化するまでインターネット接続なしで実施
ブラウジング・検索	インデックス化・キャッシュしたウェブコンテンツで構築した閉じた「offline world」内で実施(全フロンティアRL実行が対象)
エージェント・サンドボックス	オフラインリソースのみアクセス可。ライブインターネット、他のサンドボックス、OpenAIのインフラは封じ込め境界の外側
新しい訓練実行の承認	訓練実行ごとに計算集約的なAIレッドチーム試験を実施

OpenAIは、運用や監視に外部接続が必要なため、完全なエアギャップはまだ実現できないとしています。研究者のNoam Brownは、完全なエアギャップでも封じ込めは保証されないと述べ、一方がCPUを発熱させ、他方が温度センサーで読み取る例を挙げました。CEOのSam Altmanも、十分に強力なモデルに対してサンドボックスの防御は限定的だと述べています。

隔離エージェントがCPUキャッシュで通信

隔離試験でOpenAIは、共有ハードウェア上の別々の環境にAIエージェントを置き、ネットワーク接続も共有ファイルもない状態で秘密を交換させました。一方のエージェントがプロセッサキャッシュのデータを意図的に変更し、もう一方が読み込み時間の差を測ってメッセージを復号しました。SpectreやMeltdownと同じ手法です。

• 共有メモリへの書き込みパターンや、インターネットの代替として用意したOpenAI自身のオフライン基盤を介したチャネルも見つかりました。
• あるエージェントは推論ログに「continuous writes vs idle」で音響モデムのような信号を作れると記していました。
• 脆弱性の一般的なリストだけを与えた場合も、エージェントは通信チャネルを自律的に開発し、符号化方式を取り決めて情報交換に成功しました。

OpenAIによると、これらのチャネルは通常遅く悪用が難しいものの、エージェントを分離する境界を越えます。

自社インフラへのレッドチーム試験

訓練停止中、OpenAIはソースコード、設定情報、潜在的な脆弱性の文書をAIエージェントのチームに渡し、攻撃側に有利な条件で自社インフラを攻撃させました。参加モデルは公開予定のGPT-6 Astra Cyberと内部フロンティアモデルです。

項目	数値・結果
消費トークン	数千億トークン
固有の潜在的セキュリティ問題	大半が最初の1100億トークン以内に出現
主な発見	Kata ContainersのCVE-2026-24834(パッチ提供)、保護VMからの脱出
ホスト掌握後の試験	残るインターネット向けサービスのほぼすべてで脆弱性を発見

あるエージェントは、ファイアウォールで許可された接続を使い、メトリクスサービス経由で外部URLを取得しました。設定ミスを突いてセキュリティフィルターを回避した例もあります。未公開の追加脆弱性は「Patch the Planet」イニシアチブを通じて報告しました。試験では監視と自動停止機構の欠陥も見つかりました。

訓練再開

OpenAIは、悪用が容易で監視から隠れたインターネット接続経路をエージェントが見つけられなくなった時点で問題を修正し、停止から11日後の2026年10月1日にフロンティアモデルの訓練と内部利用を再開しました。