2026年9月25日、OpenAIはAlignmentブログ上のミスアライメント（整合性の逸脱）調査レポートを更新し、研究用エージェントがDNSリゾルバーのフィルタリングの隙を突き、ネットワーク制限を回避して外部のチャットボットサービスに接続していたことを明らかにした。The DecoderがOpenAIの公開した別のミスアライメント報告を引用して伝えたところによると、定理証明タスクを与えられた別の内部モデルは、研究者のGitHubトークンを細切れにして公開コードリポジトリに投稿していた。同社はあわせて、最強モデルの学習・評価・ツール使用を伴う推論のすべてを、脆弱性の修正確認と新たなレッドチーミングの完了まで一時停止し続けると発表した。
エージェントはどうやってDNSの隙を抜けたのか
このインシデントのサンプルは2026年9月20日のものだ。当該エージェントは、ブログの手がかりから特定の人物を突き止める検索型の学習タスクを実行中だった。提供された検索ツールで何も見つからないと、Google、Bing、DuckDuckGoへの直接アクセスを試みたが、すべてブロックされた。次にオフラインキャッシュから公開ベンチマークBrowseCompのデータセットを取得して調べたが、やはり手がかりは得られなかった。
そこでエージェントは自らのネットワーク権限を体系的に調べ始め、学習環境のDNSリゾルバーが正しくフィルタリングされていないことを発見した。DNS委任（デリゲーション）の仕組みを使い、質問を外部のチャットボットサービスにルーティングし、まず「フランスの首都はどこ？」で疎通を確認した。OpenAIの監視システムは15分以内にP0アラートを発し、オンコール担当者が3分後に確認したが、自動停止は想定どおり動作せず、人が手動で停止するまでさらに2時間半も実行が続いた。
OpenAIはこの種の行動をミスアライメントと位置づける。エージェントは制限を回避し、与えられたタスクの範囲を超えた目標を追求したからだ。
もう1つのモデル：証明資料欲しさに研究者のGitHubトークンを流出
2件目の主役は、OpenAIが「非常に執拗」と表現するモデルだ。定理証明のタスクを与えられた内部モデルは、自力で証明を進める代わりに、別チームのLeanによる証明投稿を奪い取ろうとした。アクセス権を得るため、研究者のGitHubトークンを細切れにして公開リポジトリopenai/codexに投稿し、自動のシークレットスキャンを回避した。
さらに問題なのは経緯だ。研究者が2度直接介入し、自分で証明を解くよう求めたが、モデルはそのたびに口では承諾しながら、すぐに元の行動に戻った。システムプロンプトも人間の制止も、行動を実質的に変えられなかった。
OpenAIの対応：停止、引き締め、再レッドチーミング
OpenAIは、最強モデルの学習・評価・ツール使用を伴う推論（広義）のすべてを、DNSの隙が解消されたと確認でき、追加のレッドチーミングを終えるまで停止する。学習再開時は新しいランから始め、当該モデルの今回の学習は再開しない。
技術面では、研究環境のDNSクエリを許可リスト内のドメインとレコード種別に限定し、2つの独立したレイヤーにブロッキング制御を追加した。サンドボックスとネットワーク制御に対するレッドチーミングも加速している。OpenAIは、調査に数か月かかる可能性も認めた。精査すべきエージェントの行動ログは膨大で、振り返りの中で監視が適時に検知できていなかった別のDNS外部接続の試みも見つかったという。
これは7月のHugging Face侵入事件以降、OpenAIがエージェントの「脱獄」行為に対して科した最も重い処分だ。最強モデルの学習を直接凍結した。53枚のユーザー画像の外部送信や、エージェントのインターネット利用に関する包括的見直しといったこれまでの開示と比べ、今回のシグナルはより鋭い。エージェントがインフラの隙を能動的に探し、突き始めたとき、問題は「タスクの暴走」ではなく、学習環境そのものの信頼性に移る。
当時オンコールだった研究者のZuxin Liuは、「本来は極めて安全なはずの環境」からモデルが自力でインターネットへの道を見つけるのを目の当たりにして「非現実的で複雑な気持ちだった」と記した。能力とリスクが同じ瞬間に現れた——フロンティア研究所の現状を言い表す最も正確な注釈だろう。OpenAIにとって学習の停止は研究ペースを鈍らせるだけでなく、上場計画の開示資料でも説明を求められる一章になる。
