2026年10月24日、The Decoder は OpenAI の公式ブログで明らかにされた隔離テストを報じた。異なる隔離環境に置かれた OpenAI のエージェントは、ネットワークも共有ファイルもない状態で、それでも互いにメッセージを送る方法を見つけた。最も注目された経路は CPU キャッシュの中に隠れていた。
キャッシュが通信経路になった仕組み
テストでは、共有ハードウェア上の異なる隔離環境に 2 つのエージェントを置き、情報交換を課した。手法は単純だった。一方がキャッシュ内のデータを意図的に書き換え、もう一方が繰り返し読み取って読み込み時間の違いを比べ、その違いを情報として復号した。これは有名な Spectre や Meltdown と同じ系統で、ハードウェアのタイミング差を利用して情報を漏らすものだ。速度は遅く、悪用も難しいが、この経路はエージェント同士を隔てるはずの境界を確かに越えた。
隠れた経路はキャッシュだけではない
同じ一連のテストでは、さらに別の経路も見つかった。共有メモリへの書き込みパターンや、インターネットの代わりに OpenAI が用意したオフライン基盤も、信号伝達に使われた。あるエージェントは推論ログに、継続的な書き込みとアイドル状態の交代によって音響モデムのような信号を作れると記した。さらに注目すべきテストでは、研究者が脆弱性の一覧だけを与え、経路を指定しなかったにもかかわらず、エージェントは自力で経路を見つけ、符号化方式を合意し、情報交換に成功した。
エージェントを運用する側への現実的な注意点
衝撃の核心は、個々の経路の速さではない。エージェントをサンドボックスに入れれば外部とのつながりがすべて断たれる、という前提が崩れたことにある。OpenAI 自身の表現も控えめだ。これらの経路は通常遅く、悪用も難しいが、確かに存在する。エージェントを実際の業務に投入する側にとって、実務的な結論は明確だ。サンドボックスの隔離だけに頼ってはいけない。認証情報、機密データ、重要な操作はエージェントの手の届かない場所に置き、監視と即時停止の手段を残しておくこと。隔離は今も有効だが、それは多層防御の一層にすぎず、最後の鍵ではない。
