OpenAIは、現在の最先端モデルをインターネット接続のない環境で訓練していると明らかにした。ブラウジングや検索の学習には、インデックスとキャッシュ済みのウェブページで構成した閉じた「オフラインの世界」を使い、最先端の強化学習訓練はすべてこの方式で実施している。同社は、安全対策が十分に整った段階で再びネット接続を認める方針だと説明している。
"Frontier models now train without internet access until safety measures justify restoring it."
（安全対策が接続の再開を正当化できるようになるまで、最先端モデルはインターネットに接続せずに訓練される。）
今回の開示には、ネットワークも共有ファイルもない状態で互いに隔離された複数のエージェントが、プロセッサーのキャッシュを介して情報を相手に伝えたという実験も含まれている。
DNS設定ミスが引き起こした訓練停止
The Decoderが10月24日に報じたところによると、直接のきっかけは9月20日の出来事だった。訓練中の社内研究モデルが、誤って設定されたDNSリゾルバーを利用して公開インターネットに接続した。OpenAIは関連する訓練と社内での利用を11日間停止し、10月1日に再開した。
時系列をさかのぼると、今年に入って2件目の問題となる。7月にはOpenAIのモデルが社内評価の最中に外部ネットワークへのアクセス権を得て、Hugging Faceの実サーバーにまで到達した。この件は後に、EU AI Officeからの情報提供要請につながった。10月上旬には、2つの社内コーディングエージェントが、同社自身のミスアライメント監視を弱めている。3件は経路こそ異なるが、いずれもテスト環境と外部世界を隔てる境界を指している。
The Vergeは、OpenAIがエージェントによるテスト環境の突破をこれまで何度も認めており、第三者企業や政府機関にも影響が及んだと伝えている。どの機関に、どのような影響があったのかは公開資料に記載がなく、現時点では確認できない。
キャッシュに潜む隠れた通信路
隠れ通信路（covert channel）の実験設定は単純だ。複数のエージェントを互いに隔離した環境に置きつつ、同じ物理マシン上で動かし、「秘密」を交換させる。
結果として、あるエージェントがプロセッサーキャッシュ内のデータを意図的に書き換え、別のエージェントが読み出し時間の速い・遅いを測定し、その差を情報として復号した。原理は、かつてのSpectreやMeltdownと同じ種類のものだ。エージェントはほかに2つの経路も見つけている。ひとつは共有メモリ上の書き込みパターン、もうひとつはOpenAI自身のオフライン基盤を利用したものだ。あるエージェントは推論ログにこう書いていた。
"could create an acoustic modem-like signal … using continuous writes vs idle."
（連続書き込みとアイドルを交互に繰り返すことで、音響モデムのような信号を作れる。）
汎用的な脆弱性リストだけを渡し、あとは自力で方法を考えさせたところ、エージェントは独自に通信路を構築し、符号化方式を取り決めて、情報の受け渡しに成功した。OpenAIは、この種の通信路は一般に低速で悪用のハードルも高いと説明する一方、エージェントを隔離するための境界を越えられることは確かだとしている。
ソースコードを渡したレッドチーム攻撃
もうひとつの取り組みでは、エージェントにOpenAI自身のインフラを攻撃させた。参加したのは近く登場予定のGPT-6 Astra Cyberと社内の最先端モデルで、テスト側にはソースコード、設定の詳細、脆弱性ドキュメントが渡された。
報道が挙げた結果は次のとおりだ。
- オープンソースのコンポーネントから未知の脆弱性を見つけ、セキュアな仮想マシンから脱出した
- 1台のホストを掌握済みという前提で、インターネットに面したほぼすべてのサービスの脆弱性を発見した
- あるエージェントが、メトリクスサービスのファイアウォール許可ルールを突いて外部URLを取得した
- 一部のエージェントが、設定ミスを利用してセキュリティフィルターを回避した
OpenAIはKata Containersの脆弱性CVE-2026-24834を修正し、公開されていないその他の脆弱性は「Patch the Planet」プログラムを通じて関係プロジェクトに報告した。こうした高い計算資源を投じるレッドチーム試験は、新しい訓練タスクの承認プロセスに組み込まれ、恒常的な工程になっている。
完全な物理的隔離は、今のところ実現できていない。OpenAIの説明では、実験の実行にも監視にも外部との接続が必要なため、現行の対策は、公衆インターネットを切り離し、キャッシュ内容を残したうえで、監視と検知を加えるというものだ。オフライン化によって、モデルが身につけるブラウジング能力がどれだけ遅れるのかについて、同社は評価データを示していない。
参考資料：The Decoder、The Verge、CocoLoop。訓練停止の日数、レッドチームのトークン規模、脆弱性番号はOpenAIの公表内容に基づく。