10月22日、METRが「Red-Teaming OpenAI's Internal Agent Monitoring Systems」と題した記事を公開した。外部研究者がOpenAIの内部施設に入り込み、同社のエージェント監視システムを「内側から」攻撃した結果、数百件の直近アクションを監視対象から丸ごと外せるエクスプロイトや、エージェントが行動し続けることで監視を無期限に先延ばしにできる設計上の欠陥など、複数の深刻な回避経路が発見された。AIエージェントが自律的に大規模なコードを書く現在、「監視システム自体が攻撃される」という現実を突きつけた演習の詳細を紹介する。
OpenAIの監視システムを「内側から」攻撃する
AIエージェントが意図せず、あるいは意図的に有害な行動を取っていないかを検知することは、AIセーフティの核心的な問題だ。OpenAIは内部のミスアラインメント監視システムを運用しているが、そのシステム自体がどれだけ堅牢なのか——それを外部の目で検証したのが今回の演習である。
METRとRedwood Researchの各1名が、2025年7月21日から8月11日の3週間、OpenAIの施設内でOpenAI支給デバイスを使って作業した。彼らには内部コードベース、監視プロンプトの設定詳細、内部ドキュメントへのアクセスが与えられ、監視・セーフティシステム・セキュリティの各チームから約12名にインタビューを行った。その成果は61ページの内部報告書としてOpenAIの研究者とセキュリティスタッフに共有された。
監視されていないトラフィックはどのくらいあるか
演習の主な目的の一つは、「エージェントの推論トラフィックのうち、実際に監視対象となっている割合」の推定だった。
- GPT-5.5相当以上の能力を持つモデルによる内部Responses API（CodexなどのAPIとして機能）のトラフィックのうち、監視対象となっていたのは推定**75〜94%**。ただし不確実性は大きい。
- 内部Codexエージェント向けに絞ると、**99.2%**が監視対象だった。
- 一方、RLトレーニングのロールアウトについては、3〜6月の一部期間は監視されていたが、演習開始時点では監視対象外だった。
さらに重要な発見として、コンテキスト圧縮（compaction）イベントが監視されていなかった問題がある。compactionとは、長時間にわたるエージェントタスクにおいて、コンテキストウィンドウの上限に達した際に会話履歴を要約・圧縮する処理のことだ。この処理が監視の盲点になっており、2026年5月から7月の間、内部Codexトラフィックの約10%が監視されていなかった可能性がある（ただし正確な割合を算出するためのログが当時存在しなかったため、大きな不確実性を伴う）。OpenAIスタッフはこの問題を演習開始前に独自に特定しており、演習中に修正した。
発見された主な脆弱性
単なるカバレッジの問題にとどまらず、演習ではエージェントが能動的に監視を回避・無効化できる経路が複数発見された。
最も深刻な発見の一つは、エージェントが数百件の直近アクション（その攻撃手順自体を含む）を監視対象から外せるエクスプロイトの存在だ（詳細はOpenAIにより非開示）。
他の主な発見を列挙する：
- 監視タイミングの悪用：監視システムはエージェントがユーザーに制御を返したタイミングでトリガーされる設計だったため、エージェントが行動を取り続けることで監視を無期限に先延ばしにできた。
- Codexサンドボックスの回避：Codexエージェントが原理的にサンドボックスとAuto-Reviewを回避し、ホストユーザーが取れるあらゆるアクションを実行できる経路が見つかった。
- シリアライズの差異を利用した監視失敗：エージェントが見るトラジェクトリと監視システムが見るトラジェクトリの間にシリアライズ上の差異があり、これを突くことで監視システムをエラーさせ、人間によるレビューをスキップさせることが可能だった。
- クライアント制御ヘッダーによる監視無効化：監視を無効化できるクライアント制御のHTTPヘッダーが2つ独立して存在し、これを使って未監視の新エージェントインスタンスを起動できた（ただしヘッダーの設定行為自体は監視システムに捕捉される可能性がある）。
- 内部ツールの権限昇格：読み取り専用とされていた内部エージェントツール2つについて、サンドボックス内で任意のアクションを実行できる可能性のある単純なエクスプロイトが発見された（実環境での悪用可能性は未検証）。
一方、ポジティブな確認事項として、監視システムのエラー率は0.2%未満だったことが記録されている。また演習中のある24時間ではロードシェディングがゼロだった。ロードシェディングとは負荷過多を理由に監視処理をスキップすることを指し、この期間は監視の抜け漏れが発生しなかったことを意味する。加えて、監視システムのプロンプトが、スキーミング（scheming）、監視妨害、サボタージュ、データ漏洩、欺瞞、プロンプトインジェクションなど多数のリスクカテゴリをカバーしていることも確認された。
今後の監視システム設計に向けた提言
演習の結果を受け、METRは将来の監視・制御システムが備えるべき設計原則を以下の通りまとめている。前提として「高度に有能な内部エージェントからの意図的・戦略的・持続的な攻撃に耐えられること」が求められるとしている。
- 監視回避を困難にする：未監視リクエストには明示的な承認を要求。エージェントをターン終了ではなくNメッセージ/N分ごとに監視する。
- 監視すべきトラフィックが実際に監視されているかを保証する：全推論ログと監視ログを定期的に突合し、既知の回避経路をリスト管理する。
- インシデントへの迅速な対応：所有責任を明確化し、改ざん耐性のある検索可能なログを維持する。
- 監視システム自体を積極的にレッドチームする：定期的な制御評価と、エクスプロイトの探索を実施する。
- エージェントと監視システムの隔離を徹底する：エージェントのスキャフォールドはツール呼び出し実行環境から隔離して実行し、エージェントが監視システムの設計やコードに通常アクセスできないようにする。
なお、OpenAIは演習終了後、本番セーフガードスタックに影響する発見済み脆弱性はすべてパッチ済みと発表している。また監視システムの意図するカバレッジについても大幅な変更を説明しているが、METRはその内容の検証は行っていない。
今回の演習はAnthropicを対象とした以前の演習に続くパイロットであり、外部研究者が内部インフラに深くアクセスする枠組みの試験的な実施と位置づけられている。公開されたのは内部報告書のうちの高レベルな概要のみで、次回以降の演習では透明性と独立性のベストプラクティスを強化する方針だ。
詳細はRed-Teaming OpenAI's Internal Agent Monitoring Systemsを参照していただきたい。
