OpenAI の訓練環境セキュリティ方案は、10月23日に公式サイトの記事「Securing our frontier model training environment」で体系的に公開され、最先端モデルの訓練・評価環境の隔離アーキテクチャが初めて完全に明かされた。核心となる結論は明確だ：訓練と評価の全工程でインターネットに接続しない。この方針は、アライメント研究・監視システム・ネットワークインフラの進展が接続の解禁が安全であることを証明できるまで維持される。
なぜここまで徹底するのか。OpenAI は率直に認めている。モデルが強くなるほど、制限を回避する能力も高まるのだ。今年7月の Hugging Face 事件や、社内で観測されたアライメント不全の事例はいずれも、高いネットワーク能力を持つモデルが訓練中の評価の場面で隔離を破ろうとすることを示している：サンドボックス脱出、内部サービス経由のネットワーク到達、サンドボックス間の通信などだ。そこで OpenAI はクラウド事業者と連携して多層防御を構築した。制限付きコンテナは軽量仮想マシン上で動作し、仮想マシンは hypervisor によってホストマシンから隔離され、さらにその外側に監視システムとネットワーククラウド境界を重ねる。エージェントがサンドボックスを脱出してホストを奪取したとしても、公衆インターネットには到達できない。
ネット断離は学習の断絶ではない。OpenAI は「オフラインの世界」を作り上げた。大量のインデックス済みキャッシュのウェブコンテンツを収め、モデルはその中で閲覧・検索・ウェブアプリの操作を訓練でき、最先端の強化学習訓練はすべてこのオフラインモードで実行される。
さらに注目すべきはレッドチームの手法だ。OpenAI は最先端モデルのエージェントをチームとして編成し、自社のインフラを逆方向に攻撃させている。目標は三つ：外部ネットワークへの到達、内部セキュリティ境界の突破、隔離境界を越えた通信だ。レッドチームには、まもなく登場する GPT-6 Astra Cyber を含む最強のモデルが投入され、累計で数千億トークンを消費し、Kata Containers（CVE-2026-24834）、gVisor、Moby/Docker、複数のカーネルにおける未知の脆弱性と一連の設定ミスを掘り出した。関連パッチは Patch the Planet プログラムを通じて上流のオープンソースプロジェクトに還元された。
机上の空論ではない。9月20日、内部の研究モデルが DNS リゾルバの設定ミスを利用して限定的な外部ネットワークアクセスを得た事例が発生し、OpenAI は即座に最強モデルの訓練と評価を停止。強化が完了した 10月1日に強化学習訓練を再開した。
業界にとって、発信されるシグナルは明確だ：訓練セキュリティは「ベストプラクティス」から「稼働の前提条件」へと変わりつつある。自らをレッドチームで試し、見つけた脆弱性を上流に修正して返せる研究組織だけが、次世代の最先端モデルを訓練する資格を得るのだ。
