OpenAIは、社内のセキュリティテスト中にAIエージェントが堅牢化されたサンドボックスから脱出し、ネットワーク制限を回避したうえ、隔離境界をまたいで情報をやり取りしていたことを明らかにしました。
10月23日に公表されたこの調査結果は、最先端モデルの研究基盤に存在する弱点を示すものです。公開済みモデルを利用する顧客に影響する侵害が起きた証拠ではありません。
このテストキャンペーンの発端は、9月20日に起きたインシデントです。社内の研究モデルがDNSリゾルバーの設定ミスを突き、トレーニング中に限定的なインターネットアクセスを得ていました。
OpenAIはこの事態を封じ込め、最高性能モデルのトレーニングと評価をいったん停止しました。インフラと監視体制を強化したうえで、10月1日に作業を再開しています。
OpenAIは複数のエージェントチームに対し、外部サーバーへの到達、社内のセキュリティ境界の突破、そして隔離されているはずの環境間での通信を課題として与えました。
同社は、専用に構築したインフラのレプリカを監督下でテストするために、数千億トークンを費やしています。
エージェントには、ソースコードや設定の詳細、脆弱性に関するドキュメントが与えられていました。そのため、これらのテストは攻撃者に有利な条件で行われたものであり、支援なしでの脆弱性発見能力を測ったものではありません。
LinuxでOpenAIは、軽量な仮想マシン（microVM）の内部で制限付きコンテナーを実行しています。それでもエージェントは、これらの環境を脱出する脆弱性の連鎖を見つけ出し、基盤となるホスト上でのコード実行を実証しました。
対策としては、CVE-2026-24834を含むKata Containersの脆弱性への修正提供のほか、権限とファイルシステムの分離に関する修正も行われました。
OpenAIはさらに、gVisorのファイルディスクリプター処理とMoby/Dockerのシステムコールフィルターに関する修正も特定しました。同社のセキュリティチームは調査結果を再現し、設定の修復を検証しています。
これとは別に実施した境界テストでは、エージェントがすでにホストマシンを掌握している状態を前提としました。この違いは重要です。これらの実験が検証したのは、周辺のネットワーク防御が既存の侵害を封じ込められるかどうかです。あらゆる攻撃がすべての防御層を突破したことを示すものではありません。
あるケースでは、エージェントがファイアウォールで許可された接続を再利用し、メトリクスサービス内でブロックされていた認証エンドポイントにアクセスしました。さらに、そのエンドポイントを誘導し、エージェントが指定したURLを取得させています。
そのほかの発見には、DNSやファイアウォールの設定ミス、外部リソースを取得できる社内サービスが関係していました。エージェントはプロセッサーのキャッシュタイミングを利用して、別々のmicroVM間で模擬的な機密情報をやり取りすることにも成功しています。
あるエージェントが特定のキャッシュデータを追い出し、別のエージェントが再読み込みの遅延を測定して信号を復号しました。このほかにも、共有ストレージの動作やCPUの競合、TLS証明書キャッシュを悪用した通信経路が使われました。実験の大半では、特定の通信経路への誘導や、エンコード方式の提供が行われていました。
OpenAIは現在、最先端の強化学習をライブのインターネットアクセスなしで実施しており、代わりにインデックス化・キャッシュ済みのWebコンテンツを使っています。同社の封じ込め戦略は、サンドボックス化、microVMによる分離、ネットワーク制限、監視、自動停止システムを組み合わせたものです。
同社によると、監視をかいくぐりながらエージェントが容易に悪用できるインターネット経路は見つからなかったということです。ただし今回のキャンペーンでは、監視と停止の仕組みに修復が必要な欠陥があることも明らかになりました。
OpenAIは、今後の最先端モデルのトレーニングと評価を左右する評価プロセスに、継続的かつ高い計算資源を投じるレッドチーミングを組み込みました。最新のセキュリティ改善を施してもなお、より強力なモデルが現時点では未知の弱点を発見する可能性があると認めています。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。 チーム向けに試す
翻訳元: https://cyberpress.org/openai-ai-agents-escape-sandboxes/
