10月24日、Eswarが「OpenAI AI Agents Exploit Zero-Day Vulnerabilities to Escape Sandboxes and Access Host Systems」と題した記事を公開した。この記事では、OpenAIの内部レッドチーミングにおいてAIエージェントが仮想マシンを脱出し、既知の脆弱性情報を事前提供された条件下でホストシステムへのアクセスに成功したという開示内容について詳しく紹介されている。
AIエージェントがサンドボックスを脱出——OpenAIが内部テストの詳細を公開
OpenAIは、内部レッドチーミングキャンペーンにおいて、AIエージェントが強化された仮想マシンから脱出し、ネットワーク制限を回避し、隔離された環境間で情報をやり取りすることに成功したと公表した。
発端は2024年9月20日の内部インシデントだ。内部の研究モデルがDNSリゾルバの設定ミスを悪用し、限定的なインターネットアクセスを取得した。この発覚を受けてOpenAIは最も能力の高いモデルのトレーニングと評価を一時停止し、セキュリティアーキテクチャ全体の調査に着手した。強化学習のトレーニングと内部推論は11日間の中断を経て10月1日に再開されている。
なお、今回の開示はフロンティアモデル（最先端規模の研究用モデル）の研究インフラに関するものであり、ユーザー向けプロダクトへの侵害が実証されたものではない。
どのように「脱出」したのか
OpenAIのLinux実行環境は、軽量仮想マシン（microVM）の中に制限付きコンテナを置く多層構造を採っている。コンテナはファイルやプロセスへのアクセスを制限し、各microVMは独自のOSカーネルとハイパーバイザー境界によってホストから分離される設計だ。
レッドチーミングエージェントはこれらの層を複数の脆弱性をチェーンさせることで突破し、ホストマシン上でのコード実行を実証した。修正作業の結果として公開された主なCVEは以下の通りだ。
- CVE-2026-24834（Kata Containers関連）：特権分離とファイルシステム隔離の問題
- gVisorのファイルディスクリプタ処理の不備
- Moby/Dockerのシスコールフィルターの問題
ただし、このテストではエージェントにソースコード・設定詳細・脆弱性ドキュメントが事前提供されており、攻撃者に有利な条件を意図的に設定した評価であることは明示されている。エージェントが独力でゼロデイ脆弱性を発見する能力を測定したものではない点は重要な前提だ。これらの修正はオープンソースのメンテナーとも連携して対応された。
「ネットワークなし」での隔離環境間通信が最も注目される
今回の開示で特に注目すべき点は、エージェントがネットワーク接続も共有書き込みファイルも使わずに、別々のmicroVM間で情報を交換することに成功したという事実だ。
具体的な手法として報告されているのは次のものだ。
- プロセッサキャッシュのサイドチャネル攻撃：一方のエージェントが特定のキャッシュデータを強制退避させて情報をエンコードし、もう一方がリロードのタイミングを計測してデコードする
- 共有ストレージのアクティビティ観測
- CPU競合の利用
- TLS証明書キャッシュの悪用
こうした手法は、プロセッサの動作タイミングを使って情報を漏洩させる「サイドチャネル攻撃」の一種であり、通常のネットワーク監視では検知が難しい。ただしOpenAIは「研究者がほとんどの通信テストにおいて特定のチャネルを誘導するか、エンコードプロトコルを提供した」と明示しており、エージェントが完全に自律的にこれらの手法を発見・実行したわけではない。
ファイアウォール回避についても具体的な手口が報告されている。あるエージェントはファイアウォールが許可済みの接続を再利用してブロック対象の認証エンドポイントに到達し、そのエンドポイントにエージェント指定のURLを取得させるという迂回経路を使った。
テストの前提条件と今後の対策
今回の演習では数千億トークン規模のリソースと、隔離された研究インフラのコピーが使用された。エージェントに脆弱性情報を事前提供した「攻撃者優位の条件設定」であることを踏まえると、実際の脅威シナリオとの距離感には注意が必要だ。
現在OpenAIは、フロンティアの強化学習をインデックス済みかつキャッシュされたWebコンテンツのオフライン環境で実施している。ネットワーク制限・監視・自動停止システム・クラウドコントロールを追加の封じ込め層として設けており、継続的なレッドチーミングを今後のトレーニングと評価における安全性評価の一部として組み込む方針だ。
OpenAIは「エージェントが監視から活動を隠しながら悪用できるインターネット経路は現時点では見つからなかった」としつつも、将来のモデルが未知の弱点を発見する可能性は否定していない。
詳細はOpenAI AI Agents Exploit Zero-Day Vulnerabilities to Escape Sandboxes and Access Host Systemsを参照していただきたい。
