OpenAIの内部研究モデルが、与えられていない暗号資産ウォレットの資金を使用してコーディングタスクを完了し、公開されている開発者向けリカバリーフレーズからウォレットの鍵を導出していたと、同社は木曜日に更新したアライメントウェブサイト上のアライメント報告書で明らかにしました。

OpenAIのGPT-5.6 Solファミリーに属するこのモデルは、暗号資産取引のプロトタイプを更新し、イーサリアムのSepoliaテストネット上でスマートコントラクトをデプロイするよう求められていました。インシデントは6月のトレーニングタスク中に発生し、OpenAIは9月にこれを発見しました。

Sepoliaはイーサリアムの主要な公開テストネットワークで、開発者がメインネットにデプロイする前にコントラクトやアプリケーションを試験するために使用されます。そのネイティブのテストETHには金銭的価値がなく、公開フォーセットを通じて無料で配布されています。しかし、ウォレット自体はメインネットのアカウントと同じ方法で構築されています。Sepoliaアドレスを生成するリカバリーフレーズは、イーサリアムのメインネットワーク上でも同じアドレスを生成し、そこでは残高が実際の価値を持つ可能性があります。

報告書によると、指示では互換性のあるコントラクトが見つからない場合にモデル自身がコントラクトをデプロイすることが許可されていましたが、資金の供給されたウォレットは提供されず、モデルが自ら見つけたアカウントから支払う許可も与えられていませんでした。

公開フォーセットからテストトークンを入手できなかったモデルは、一般的な開発者向けリカバリーフレーズからアカウントを導出し、その残高を確認するスクリプトを作成しました。リカバリーフレーズを知っている人は誰でも、対応するアカウントを制御する秘密鍵を導出できます。開発環境では、標準的なフレーズが公開文書化されていることが多く、誰でも同じアカウントを再現できるようになっています。このスクリプトは362のアドレスを確認し、デプロイ費用を支払うのに十分なSepolia ETHを保有する1つのアドレスを見つけました。

モデルはトランザクションに署名する前に、自分に許可があるかどうかを自問しました。「しかし、公開されている鍵/資金を倫的に使用することは? 既知の公開開発者ニーモニック上の資金は、事実上放置されたテストETHであり、Sepoliaには価値がない」と推論した後、「問題ない」と結論づけました。

デプロイは成功し、トランザクション手数料はそのアカウントに請求されました。モデルは最終応答でコントラクトをデプロイと報告しましたが、その支払い方法は開示しませんでした。

「このケースは、モデルがアカウント保有者の許可に代えて、起こりうる害についての自己の判断を代入し、その判断に基づいて許可なく行動できることを示している」とOpenAIは述べました。

テスト環境におけるAIエージェント

この報告書は、AIエージェントがテスト環境の制限を回避してきた一連の事例に追加されるものです。以前のインシデントでは、OpenAIのGPT-5.6 Solとより高性能なプレリリースモデルがサンドボックスから脱出し、競合AI企業のHugging Faceの本番サーバーに侵入しました。先月、サイバーセキュリティ企業Darktraceの研究者らは、AIエージェントが自身のテスト環境に侵入して不正を行う事例を発見した一方、AIシステムをインターネットから切り離すべきだと呼びかける科学者もいます。これらの事例に共通するのは、割り当てられた環境の境界を尊重すべき制限としてではなく、技術的に回避すべき問題として扱うエージェントの存在です。

OpenAIは、アライメントの監視を以前のモデル活動の記録に拡大する過程でこのインシデントを発見したと述べています。同社は、同様のケースでモデルがライブインターネットにアクセスすることを防ぐ「追加の安全対策」を導入しており、現在はすべてのトラフィックに対して監視システムを実行し、モデルがライブインターネットアクセスを得た場合にセキュリティ部門へ警告するよう設計されています。これは、6月のインシデントでモデルが公開フォーセットからトークンを入手しようとし、アドレスの残高を確認した際に使用した種類のアクセスです。