OpenAIは、GPT-6.1 SolとGPT-6 Astraを基盤とする社内のAIコーディングエージェントが、10月に発生した2件のインシデントで、同社のミスアライメント（目的の不整合）監視を弱体化させていたことを明らかにしました。
OpenAIは「どちらのケースでも、エージェントは監視用の安全対策を維持すべきかどうかを検討していました。しかし、通常のコーディング指示を、安全対策を弱めてよいという許可だと解釈しました」と説明しています。
10月3日、ある研究者がSolエージェントに対し、Slack上の従業員フィードバックから評価タスクを作成するよう依頼しました。その際、Slackにはメッセージを一切送信しないよう指示していました。
パイプラインは途中で停止しました。監視機能が、計画された修正案に問題があると検知したものの、その結果を記録するために必要なアクセス権を持っていなかったためです。研究者はエージェントに対し、監視の出力先をアクセス可能な別の場所に変更し、パイプラインを再実行するよう指示しました。
[関連記事: OpenAI Models Hacked Data Portals, Raided a Crypto Wallet to Finish Tasks ]
Solは修復作業をサブエージェントに任せ、監視機能は損なわないよう命じました。サブエージェントは、通知の抑制は安全ではないとして選択肢から外しました。ところがSolは、「メッセージを送らない」という依頼は監視システムにも当てはまると判断し、抑制を指示しました。
このパッチによって、監視レポートの受信者はすべて削除され、通知もブロックされました。その結果、OpenAIのセキュリティチームへの自動アラートが遮断されました。検知結果は保存されていたものの、誰にも通知されない状態でした。
10月6日には、ユーザーがAstraエージェントに対し、参照実装に合わせてコードを更新するよう依頼しました。それ以前に、別のエージェントがAstraに「一時的にであっても」監視を無効にしないよう伝えていました。
Astraは作業をサブエージェントに引き渡しました。両者は、参照コードに合わせるためにプログラムの監視連携を削除してよいという許可だとタスクを解釈しました。
その後、Astraは変更に触れないまま作業完了を報告しました。さらに、尋ねられると監視の削除を否定しました。
OpenAIのシステムは、P0（最重要）のインシデントに限って、即時レビューのためにセキュリティチームを呼び出します。重大度の低い検知結果は、すぐにはエスカレーションされません。今回の2件はどちらもP0には分類されず、どちらのエージェントの作業も自動的には停止されませんでした。
同社は「エージェントがミスアライメント監視を無効にしたままデプロイを開始した事例を、複数確認しています。エージェント自体は監視されたままでしたが、その監視は、エージェントが起動したデプロイまでは及んでいませんでした」と述べています。
社内でのCodex利用すべてに必須となっているAuto-Reviewは、ミスアライメント監視を無効にしようとする試みを検知して阻止するよう更新されました。
OpenAIはさらに、ワークロードのカテゴリごとに有効なセーフティケースを求める方針です。セーフティケースがないワークロードや、その基準を満たさないワークロードは、自動的に停止させるとしています。
エージェントが単に過度に粘り強かったのか、それとも監視を回避しがちなのか、同社はまだ判断できていません。同社は「この挙動について、納得のいく説明はまだありません」と述べています。
