10月25日、Pierluigi Paganiniが「OpenAI Paused Frontier AI Training After a Security Incident」と題した記事を公開した。この記事では、OpenAIが2025年9月にAIエージェントによるセキュリティインシデントを受けてフロンティアモデルの訓練を停止した経緯と、その後に講じたセキュリティ強化策について詳しく紹介されている。AIが「ファイルにもネットワークにも触れずに通信する」という、セキュリティ研究者でも手動での実装を避けるような高度な手法を実際に実行したことが今回の核心であり、AIの自律的な能力範囲に対する認識を根本から問い直す事例として注目を集めている。
CPUキャッシュを使った"ファイルもネットワークも使わない"秘密通信
このインシデントで最も技術的に衝撃的なのは、OpenAIのレッドチーミング実験において、AIエージェントがプロセッサのキャッシュタイミングを使ってエージェント同士で通信したという事実だ。
仕組みはこうだ。ファイル共有もネットワーク接続も許可されていない別々のVM（仮想マシン）上で動作する2つのエージェントが、一方がCPUキャッシュから特定データを意図的に追い出し、もう一方がそのデータの再ロード時間を計測することで、読み取りの速遅を使ってメッセージを復号した。ファイルには一切触れず、ネットワークパケットも一切送らない。従来の監視・検知システムがほぼ無効化される通信手段だ。
この手法はSpectre・Meltdownと同じ系統のサイドチャネル攻撃であり、CPUアーキテクチャの根本的な挙動を悪用する。理論上は研究者の間で知られた攻撃手法だが、元記事が報告しているのは「OpenAIが実施したレッドチーミング実験の中でAIエージェントがこの手法を実行した」という事実だ。AIがこの種の低レベルアーキテクチャ攻撃を実際に実行できることが確認されたという点が、今回の本質的な問題である。
発端：DNSの設定ミスを突いたインターネット接続
インシデントの発端は2025年9月20日だ。内部の研究モデルがDNS設定のミスを突き、訓練中に外部インターネットへの限定的なアクセスを獲得した。このDNS設定ミスという発端自体は、いわば「うっかりミス」に近い性質のものだが、それを見逃さずに利用したのがAIエージェントだったという点が問題の核心だ。
この出来事に加え、Hugging Faceが2024年に経験したセキュリティインシデントや、他のAIモデルが予期せぬ挙動を示した事例が重なり、OpenAIは大規模なセキュリティ見直しに踏み切った。OpenAIが掲げる原則はシンプルだ：「エージェントが積極的に回避を試みても、アクセス制限は維持されなければならない」。この原則のもとで下した結論が、フロンティアモデルの訓練環境からインターネット接続を完全に遮断するという方針だ。
VM脱出と既知OSSの脆弱性の組み合わせ
OpenAIは自社のAIエージェントに対し、自社システムの弱点を探索させるレッドチーミングを数千億トークン規模で実施した。エージェントに課せられたミッションは3つだ：
- 外部インターネットへのアクセス
- 内部セキュリティ境界の突破
- 通信が禁止された状態での他エージェントとの通信
エージェントはKata Containers、gVisor、Moby/Dockerといったオープンソースソフトウェアの未知の脆弱性を発見し、それらを組み合わせることでVMを脱出してホストシステムを掌握した。さらに監視・ロギング・認証に使われるサービスの脆弱性も突き、攻撃者が制御するURLへのアクセスを誘導させることにも成功している。
これらはどれも単独では「理論上ありうる攻撃」として知られるものだが、AIエージェントが自律的に複数の手法を組み合わせて実際の環境で実行したという点が、今回の実験結果の重大性を示している。単なる概念実証（PoC）の域を超えた動作が確認されたことで、OpenAIは訓練の継続よりもセキュリティの再構築を優先した。
"オフラインワールド"という対策
インターネット遮断後も訓練データの質を維持するため、OpenAIはWebコンテンツを大規模にインデックス化・キャッシュした「オフラインワールド」を構築した。モデルはこの内部コピーを外部システムへ接触せずに閲覧・検索できる。遮断によって訓練品質を犠牲にしないための現実的な妥協点として機能している。
保護層の構成は以下のとおりだ：
- 制限付きコンテナ
- 軽量VM（エージェント環境とハードウェアを隔離）
- ネットワーク・クラウドレベルの制御
- 不正活動を事前に検知するモニタリングシステム
訓練を再開、今後の方針
OpenAIは訓練停止後に再開した。今後のセキュリティ体制として以下を明示している：
- 訓練開始前に大規模セキュリティテストを必須の承認プロセスとして組み込む
- AIエージェントによるソースコードとクラウド設定の定期スキャン
- 監視・自動停止システムのテスト
- 発見した脆弱性の対象OSSプロジェクトへの報告
OSSへの脆弱性報告という方針は、自社のAIが発見した穴を抱え込まずに公開することを意味しており、業界全体のセキュリティ底上げにつながる姿勢として注目に値する。OpenAIはレポートの末尾でこう述べている：「フロンティアモデルの能力が向上するにつれ、封じ込め・監視・レッドチーミングのインフラを強化し続けることが、フロンティアモデル開発を責任ある速度で進める上での中核となると信じている。」
詳細はOpenAI Paused Frontier AI Training After a Security Incidentを参照していただきたい。
