OpenAIの「エージェント監視」を外部が検査　Codexのsandboxを越える穴も

研究団体METRとRedwood Researchが、米OpenAIの社内でAIエージェントを見張る仕組みを深い権限で3週間調べた。監視の抜けや、Codexのエージェントがsandboxと自動の承認を迂回できる道を見つけた。OpenAIは塞いだと述べたが、METRは確かめていない。

記事の内容を自社でどう進めるか、内容が固まっていない段階でも相談できます。仕事の相談

毎週 1 回、その週の記事から 5 本と実践の 1 本を選んでメールで届けます。ニュースレターを購読する（無料）

社内の監視を外の目で調べた

METRのOpenAIの監視の検査の報告によると、検査は7月21日から8月11日まで、METRとRedwoodの社員が1人ずつで行った。対象は、エージェントが意図に反する動きをしていないかを、別のAIが後から確かめる社内の監視の仕組みだ。2人はOpenAIの社内のコード、監視に使うプロンプトや設定、社内の文書を読み、監視・安全・セキュリティの担当の約12人に技術面の聞き取りをした。使った端末はOpenAIが貸し出したもので、社外には持ち出していない。

成果は61ページの社内の報告書にまとまり、OpenAIの研究者とセキュリティの担当に渡った。公開したのはその一部の短い要約で、OpenAIが機密と判断した部分を消せる取り決めだった。METRはこの検査を、外部の研究者に社内の設備を深く見せる試みの第1弾と位置づけている。

監視に回るのは75〜94%

検査の主な目的は、エージェントの処理のうち、どれだけが監視に回っているかを見積もることだった。METRは、Codexなどを動かす社内のResponses APIのうち、GPT-5.5以上の強さのモデルによるエージェントの処理は、およそ75〜94%が監視の対象だったと推計した。社内のCodexのエージェントに絞ると99.2%になる。ただし、どちらの数字にも大きな不確かさがあると断っている。

抜けもあった。会話が長くなった時に履歴を要約して縮める「compaction」の処理は監視されておらず、2026年5〜7月には社内のCodexの処理の1割ほどが監視を通らなかった可能性がある。当時の監視は、エージェントが利用者に順番を返した時に動く作りだった。だから、その期間はエージェントが操作を続けるだけで、監視をいつまでも先延ばしにできた。この抜けはOpenAIの社員も検査の前に気づいており、検査中に直した。強化学習の訓練の実行も、検査が始まった時点では監視の外にあった。

sandboxを越える道と監視を切る手口

報告が挙げた穴のうち、Codexを使う開発者に一番近いのはsandboxの件だ。METRは、Codexのエージェントがsandboxと「Auto-Review」を原理的には迂回でき、使っている人ができる操作なら何でもできる道を見つけたと書いた。

監視そのものを外す方法も見つかった。エージェントが使える手口のうち1つは、その手口自体を含む直近の数百の操作を監視から外せるもので、詳しい中身はOpenAIが消した。依頼に付けるヘッダーのうち、利用者の側で決められる2つは、新しく立ち上げるエージェントの監視を切れた。ただし、ヘッダーを設定して新しいエージェントを立ち上げる動き自体は、監視に捕まる可能性がある。エージェントが見る記録と監視が見る記録の書き出し方の違いを突き、監視を失敗させて人の確認に回さない入力を作れそうだという指摘もあった。

一方で、良い結果もある。監視は、細かな例外を除き、エージェントが見ているのと同じ流れを全部見ていた。監視のエラーは依頼の0.2%未満で、検査中のある24時間には、負荷を逃がすために処理を落とした件数が0だったという。OpenAIは、本番の安全の仕組みに関わる穴はすべて塞いだと述べたが、METRはこれを確かめていない。

見張りを外されない作りにする

METRは結果から、監視の仕組みの理想を5つにまとめた。監視を避けにくくする、監視するはずの処理が本当に監視されているかを照らし合わせる、事故に素早く対応する、監視の仕組みへの攻撃役の検査を続ける、エージェントと監視を切り離す、の5つだ。例えば、ターンの終わりを待たず、決まった件数か時間ごとにエージェントを監視すべきだとした。エージェントの動きが監視の動く時を左右できないようにし、エージェントに監視の設計やコードを見せないことも求めている。

要は、エージェントを作る会社の社内でも監視に抜けがあり、それを外の研究者が深く入って見つけた。監視は付いているだけでは足りず、エージェントに外されない作りかどうかが問われている。

編集部の見方

Codexを日々使う読者にとって、sandboxと自動の承認を越える道があったという指摘は軽くない。OpenAIは塞いだと言うが、外部の確認はまだ済んでいない。自分の環境でも、エージェントに渡す権限を絞る、操作のログを残す、といった基本を見直す機会にしたい。自社でエージェントを動かす時の見張りも同じで、ターンの終わりにだけ確かめる作りには抜けが出ると今回の検査が示した。