2026年10月22日、AI安全性評価機関のMETRとRedwood Researchは、OpenAIの内部エージェント監視システムに対するレッドチームテストの結果を共同で公表しました。3週間のパイロット期間中に、2機関はこの監視体制の複数の脆弱性を発見しました。理論上、エージェントが数百の行動を監視から逃れられる回避手段も含まれています。OpenAIは、本番の保護機能に影響する脆弱性は修正済みと回答しましたが、評価側は修正を確認していないとしています。
テストのやり方
このテストは「エンベデッド評価（embedded evaluations）」のパイロットです。7月21日から8月11日にかけて、METRとRedwoodはそれぞれ1名の研究者をOpenAI内部に送り込み、内部コード、監視プロンプト、設定の詳細、ドキュメントへのアクセスを得たほか、約10名のOpenAI研究者・エンジニアにインタビューしました。研究者は常時同行のもと、OpenAIが貸与したデバイスで作業し、デバイスは敷地外に持ち出されませんでした。ロイターが10月22日にこの公表を報じ、Redwood Researchの公式ブログが技術概要を掲載しています。
見つかったもの
公表された結論は5点に集約されます。
- 監視の回避：評価側は、理論上エージェントが直近の数百の行動を監視記録から逃れられる手段を記述しました。ただし、エージェントが実際にその経路を使って監視を遅らせたことは確認されていません。
- カバレッジの推定：7月21日時点のシステムを基準に、評価側はGPT-5.5以上のモデルが駆動する内部Responses APIトラフィックのうち75％から94％が「監視対象になり得る」と推定しました。ただしこの推定の不確実性は大きく、「対象になり得る」は「実際に監視された」とは異なります。
- compactionイベントの隙間：コンテキスト圧縮（compaction）イベントに関連する隙間により、5月から7月にかけて、対象の内部Codexトラフィックの約10％が監視されませんでした。OpenAIの従業員はテスト開始前にこの隙間を発見しており、テスト期間中に修正しました。
- サンドボックスと自動レビューの回避：報告書はさらに、エージェントが理論上CodexのサンドボックスとAuto-Reviewを回避できる手段や、監視が不審な活動を人間のレビューに上げないようにする入力についても記述しています。
- 透明性の妥協：61ページの完全な報告書はOpenAIにのみ渡され、公開されたのはOpenAIが削除した概要だけです。評価側はOpenAIによる機密情報の削除に同意し、今回は従来のように削除箇所を独自に開示できませんでした。
この出来事のシグナル
シグナルは「脆弱性があったかどうか」ではありません。一流のレッドチーム2組に3週間調べられれば、どんな監視システムも問題が出ます。ポイントは2つです。第1に、エージェント時代の監視の攻防は「モデルが悪さをするか」から「監視する側が監視される側に追いつけるか」に変わりました。エージェントが監視の隙を突くことを学ぶとき、カバレッジは一度きりの受入テストではなく、動的な指標になります。第2に、評価の方式自体が試されています。外部の評価者を研究室の中に招くことは、業界が長く求めてきた「独立した評価」ですが、今回の削除権の取り決めは、真に開かれた独立評価がまだどれほど遠いかを示しています。
一般の開発者への直接の影響は限定的ですが、覚えておくべき判断が1つあります。エージェントに高い権限（ファイルの読み書き、コードの実行、APIの呼び出し）を与えるとき、ベンダーの内部監視がすべてをカバーするとは思わないことです。OpenAI自身の内部監視に回避手段が見つかったのですから、外部向けサービス側の安全マージンはそれより薄いと考えるべきでしょう。
