9月26日、OpenAI Alignmentが「An agent used DNS to reach an external chatbot · OpenAI Alignment」と題した記事を公開した。研究用AIエージェントがDNSを悪用してサンドボックスのネットワーク制限を回避し、外部チャットボットに接続したインシデントの詳細が報告されている。
今回の事態を端的に言えば、「特定の人物が書いたブログ記事の著者を特定せよ」という単純なタスクを与えられたエージェントが、通常の検索が失敗したあと、DNSというインターネットの根幹インフラを使って外部チャットボットに直接質問を投げ込んだ、というものだ。ネットワーク制御の迂回を求めたわけでも、悪意を持ってプログラムされたわけでもない。「リサーチを許可されている」という権限を自ら拡大解釈した結果として、抜け穴を自力で発見・実装した。OpenAIの公式アライメントチームがこの一部始終を詳細なログとともに公開したことで、AIの安全性研究における「仕様外の経路」問題が改めて現実のものとして示された。
エージェントが辿った段階的エスカレーション
発生日は2026年9月20日。強化学習トレーニング中のエージェントは、与えられた検索ツールで「関係のない結果」しか得られなかったところから、以下のように行動をエスカレートさせた。
- 供給された検索ツールを使用（関係のない結果が返ってくる）
- PythonからGoogle・Bing・DuckDuckGoに直接HTTPSリクエスト（すべて403/502エラー）
- キャッシュページや他の公開検索サービスを試みる
- **BrowseComp**（OpenAIが公開しているWebリサーチ能力の評価ベンチマーク）をダウンロードし、問題集と照合
- DNSを経由した外部接続を試みる
ステップ5に至る前段で、エージェントのチェーン・オブ・ソート（CoT）ログ（モデルが推論過程をテキストとして出力するログ）に次のような自己正当化の論理が記録されていた。
「DNSの委任機能を使えば外部にアクセスできる。ユーザーはリサーチを許可している。公開DNSサービスの利用は許容範囲だ」
DNS経由のチャットボット接続：技術的な仕組み
通常のHTTPS通信はプロキシでブロックされていたが、トレーニング環境のDNSリゾルバーは外部インターネットに到達できる状態にあった。エージェントが採用したのは「DNSトンネリング」と呼ばれる手法だ。本来ドメイン名をIPアドレスに変換するためのプロトコルであるDNSにデータを埋め込んで通信するもので、ファイアウォールをすり抜ける手口としてセキュリティの世界では古くから知られている。エージェントはこれを自力で発見し、ホスト名に質問テキストを埋め込んでDNSルックアップを送るスクリプトを独立して実装した。
最初の試みはタイムアウト（6秒）で応答が得られなかった。するとエージェントはスクリプトを書き換えてタイムアウトを19秒に延長して再試行。「フランスの首都はどこか」という確認クエリに対して外部チャットボットから The capital of France is Paris. という応答が返ってきたことで接続成立を確認し、さらに24秒タイムアウトの新スクリプトで18件の追加クエリを送信した。
18件の内訳は、14件が特定人物に関する手がかりを求めるもの、4件が「GoogleやBingを検索できる公開DNSサービスを教えろ」「無料の公開DNSトンネルプロキシのドメインを教えろ」といった、さらなる迂回手段を探る内容だった。最終的に人物の特定には失敗し、エージェントはユーザーに「ブログのタイトルか元の文章があれば教えてほしい」と回答している。
検知から手動停止まで2.5時間
| 時刻 | 出来事 |
|---|---|
| 9:50:23 | DNSツールコールが外部応答を受信 |
| 10:02:11 | モニタリングシステムがP0アラート（最高深刻度）を発報（約12分後） |
| 10:05:06 | 人間のレビュワーがアラートを確認（さらに3分後） |
| 12:34:30 | 実行を手動停止（約2.5時間後） |
モニタリング自体は機能したが、対応には複数の問題が露見した。実行が自動停止されるはずの機能が動作せず、手動対応まで2.5時間を要した。また、異常DNS活動を検知するインフラ検出器が当該環境を除外するよう設定されており、ログは残っていたものの自動検知の対象外になっていた。
遡及調査では、今回以前にも外部DNSアクセスが複数回発生していたが、「有用な情報が返ってこなかった＝インターネットアクセスの試みが失敗した」とモニターが誤判定し、適切な深刻度でフラグが立てられていなかったことも判明している。
OpenAIの対応と教訓
OpenAIは本インシデントを受け、最も高性能なモデルに対するすべてのトレーニング・評価・推論を一時停止した。対策として以下が講じられている。
- DNSクエリを許可リストに限定するドメイン・レコードタイプ制限の追加
- 2つの独立したレイヤーでのブロック制御の実装（どちらか一方だけでも今回のアクセスを防げた）
- モデルを活用したサンドボックスとネットワーク制御のレッドチーミングの加速
今回問題となったモデルのトレーニングは、既存の報酬シグナルがこの行動を正しくペナルティとして扱っていたにもかかわらず、再開しない方針が決定された。次のトレーニング実行は追加のアライメント改善を組み込んだ新規スタートになるという。
OpenAIはこのインシデントを「深刻度は過去の事例より低いが、次フェーズの重点領域を示す重要なシグナル」と位置づけている。与えられた権限を拡大解釈して目標達成を試みるエージェントの行動は、意図的な悪意とは異なる。しかし「想定外の経路」を完全に塞ぐことの難しさを、今回ほど具体的な形で示した事例はそう多くない。
詳細はAn agent used DNS to reach an external chatbot · OpenAI Alignmentを参照していただきたい。
