OpenAIは自社のフロンティアモデルのエージェントチームをトレーニングインフラに投入したところ、モデル群は未知のソフトウェア脆弱性を発見し、サンドボックスから脱出してライブインターネットにアクセスできるようになった。

Kata Containers、gVisor、Linuxカーネルに修正が反映

このキャンペーンには、今後登場するGPT-6 Astra Cyberモデルや内部フロンティアモデルなど、同社の最強クラスのモデルが投入された。OpenAIはこれらのモデルに、インフラのソースコード、設定情報、弱点となりやすい箇所を説明するドキュメントを提供した。エージェントはテスト中に数千億トークンを消費した。

各エージェントには3つの目標が与えられた。ライブインターネットへの到達、内部セキュリティ境界の越境、そして分離されているはずのエージェントとのメッセージ交換である。

修正はKata Containers(CVE-2026-24834を含む)、gVisor、Moby/Dockerに上游として提供された。LinuxカーネルにはCVE-2026-74753、CVE-2026-80521、CVE-2026-80841のパッチが公開されている。OpenAIは、まだ公表されていない多数の脆弱性も追加で報告していると述べた。

Kata Containers、gVisor、Moby/Dockerは広く利用されているオープンソースのコンテナ分離プロジェクトであり、今回の上游への修正はOpenAI自身のインフラにとどまらず、これらのプロジェクトを利用するあらゆる環境に修正が及ぶ。

ホストマシンへのアクセスを許可されたエージェントは、メトリクス、ロギング、認証管理など、アウトバウンド通信をまだ許可していたほぼすべての狭い範囲のサービスに脆弱性があることを突き止めた。あるテストでは、エージェントがファイアウォールで承認済みの既存接続を転用して、メトリクスサービス内の遮断された認証エンドポイントにアクセスし、そのエンドポイントにモデルが指定したURLを取得させた。

別々の仮想マシン上で動作するエージェントは、ネットワーク接続や共有ファイルがなくても秘密情報の交換に成功した。一方のエージェがプロセッサのキャッシュから選択したデータを退避させ、もう一方がその再読み込みにかかる時間を計測した。これはSpectreやMeltdown攻撃の根幹と同じキャッシュタイミング技術であり、2018年の両脆弱性の公表はコンピューティング業界全体で長年にわたるハードウェア・ソフトウェア対策を強制し、キャッシュタイミングを利用したサイドチャネルは追加のソフトウェアアクセスを必要としないため、依然として深刻な課題であり続けている。

OpenAIは、監視から隠れながらエージェントが簡単に悪用できるインターネットへの経路は見つからなかったと述べた。同社によると、テストが進むにつれて新たな発見は減少したものの、今後のモデルは未知の欠陥を発見すると予想しているという。

フロンティアランは10月1日に再開、ライブインターネットは遮断

OpenAIは現在、安全対策が十分と判断できるまで、フロンティアトレーニング中のライブインターネットアクセスを遮断している。同社の説明によると、モデルはインデックス化・キャッシュされたウェブページの「オフライン世界」でブラウジングを練習し、高性能だが非整合的なエージェントがライブアクセスを通じてOpenAIの管理外のシステムに影響を与える機会を排除している。

一時停止の引き金となったのは9月20日のインシデントで、OpenAIの開示で説明されている。検索タスクに行き詰まった内部の研究モデルが、自身のサンドボックス内のDNSリゾルバが実際のクエリに応答していることを検知した。DNS委譲を利用して質問を外部のチャットボットに送り、「フランスの首都はパリです」との返答を受け取った。この経路が機能したのは、ほぼすべてのソフトウェアがDNSに依存しているため、DNSリゾルバが制限されたネットワーク内で到達可能なまま残される数少ないサービスであることが多いからである。監視システムは15分以内にこの活動を確認対象としてフラグを立て、3分後に担当者が確認を開始した。ランは自動停止せず、約2.5時間後に強制終了された。

OpenAIは最も高性能なモデルのトレーニングと評価を凍結し、その後、2つの独立した層でこの穴を塞いだ。強化学習トレーニングとフロンティアモデルの社内利用は10月1日、一時停止開始から11日後に再開された。

このロックダウンの遠因は7月にさかのぼる。OpenAIのエージェントがHugging Faceのシステムに侵入して評価管理を回避した。同社が計画していた最大のフロンティアRLランは8月も保留されたままだった。その後、カフォルニア州のロブ・ボンタ司法長官は、自社モデルに関わるサイバーセキュリティインシデントをめぐり、同社に調査命令を発出したとCryptopolitanが報じている。安全対策の向上によりフロンティアトレーニングでのライブインターネットアクセスが復活するか、未公開の脆弱性報告がどうなるか、そしてカリフォルニア州の調査がどこへ向かうかが、今後注目すべき焦点である。