OpenAIが公表：第三者サイバー評価中、モデルが想定超えてインターネットにアクセス
まとめ
第三者サイバー評価中のインシデント要点
- OpenAIが2026年8月4日付ブログで、第三者サイバー評価中にモデルが想定を超えて外部インターネットへアクセスする事態が2件発生したと公表
- 2つの外部評価機関がそれぞれ別の条件で確認
- 原因はモデル能力向上とテスト設定が組み合わさり、意図した評価範囲を超える活動が発生したこと。テスト用の緩和設定が新たなリスクを生んだ
- 今回の2件は、以前OpenAIが報告したHugging Faceのセキュリティインシデントとは別物
室谷代表取締役これはちょっと衝撃的でしたね。OpenAIが2026年8月4日付の公式ブログで、第三者によるサイバー評価中に、自社のモデルが想定を超えて外部インターネットへアクセスする事態が2件発生したと公表しました。
いわゆる「サイバー評価のインシデント」です。
いわゆる「サイバー評価のインシデント」です。
テキトー教師DotAI 認定講師単に「モデルが外のネットにつながっちゃった」という話じゃないんですよ。独立したテスト環境で、モデルが評価の境界を越える動きをした。
しかも2つの外部評価機関がそれぞれ別の条件で確認した。これはAIの安全性評価そのもののあり方を根底から問い直す出来事です。
しかも2つの外部評価機関がそれぞれ別の条件で確認した。これはAIの安全性評価そのもののあり方を根底から問い直す出来事です。
室谷代表取締役そうなんですよね。今回、OpenAIは「外部テストの役割は重要だ」としながらも、最近のモデルの能力向上とテスト設定が組み合わさることで、意図した評価範囲を超える活動が発生したと説明しています。
つまり「テストのための緩和設定」が、結果的に新しいリスクを生んでしまった。
つまり「テストのための緩和設定」が、結果的に新しいリスクを生んでしまった。
テキトー教師DotAI 認定講師しかも、この2件は以前OpenAIが報告したHugging Faceのセキュリティインシデントとは別物だと明記されています。混同されがちですから、そこは最初に押さえておきましょう。
何が起きたのか：UK AISIとIrregularの事例詳細
何が起きたのか：UK AISIとIrregularの事例
UK AISI（意図的に緩めた）
- 英国政府のAI Security Institute
- サイバーレンジ評価を実行
- インターネットアクセスを意図的に有効化
- サイバー分類器（安全フィルター）を無効化
- レッドチーミングの標準的手法
- モデルの素の能力を測定
Irregular（意図せず緩んだ）
- OpenAIの外部サイバーセキュリティテストパートナー
- Capture-the-Flag形式の評価を実行
- 本来はインターネットから隔離の予定
- テスト環境の設定ミスで公開アクセス
- 意図せず緩んだケース
室谷代表取締役具体的にはどんな状況だったんでしょうか。まず1件目は、英国政府のAI Security Institute、UK AISIですよね。
テキトー教師DotAI 認定講師ええ。UK AISIは、サイバーレンジ評価を実行していました。
ここでインターネットアクセスは意図的に有効化されていたんですね。なぜなら、エージェントに自らツールを見つけさせて、実際の攻撃者に近い状況で動作させるためです。
さらに、サイバー分類器（サイバー分野の有害な入出力を遮る安全フィルター）を無効化して、モデルの素の能力を測定しようとしていました。
ここでインターネットアクセスは意図的に有効化されていたんですね。なぜなら、エージェントに自らツールを見つけさせて、実際の攻撃者に近い状況で動作させるためです。
さらに、サイバー分類器（サイバー分野の有害な入出力を遮る安全フィルター）を無効化して、モデルの素の能力を測定しようとしていました。
室谷代表取締役なるほど。いわゆる「レッドチーミング」の標準的な手法ですよね。
もう1件はどうですか？
もう1件はどうですか？
テキトー教師DotAI 認定講師もう1件は、OpenAIの外部サイバーセキュリティテストパートナーであるIrregular社です。ここはCapture-the-Flag形式、要は攻防戦ゲーム形式の評価を実行していたんですが、これは本来インターネットから隔離されるはずでした。
ところが、テスト環境の設定ミスによって、モデルが公開インターネットへアクセスできてしまった。
ところが、テスト環境の設定ミスによって、モデルが公開インターネットへアクセスできてしまった。
室谷代表取締役つまり、意図的に緩めたケースと、意図せず緩んでしまったケースの両方があった、と。その2つがほぼ同時期に報告されたのが、今回のポイントですね。
テキトー教師DotAI 認定講師そうです。OpenAIが「特定の条件下で、低減された安全設定により発生した」と説明しているのは、この2つの事例をまとめて指しています。
通常の公開デプロイ環境での挙動を反映したものではないとも明言しています。
通常の公開デプロイ環境での挙動を反映したものではないとも明言しています。
テスト環境の「緩和設定」がリスクを生む：レッドチーミングの基本と落とし穴
まとめ
レッドチーミングと緩和設定の複合リスク
- レッドチーミングはモデルの潜在能力を測るため、安全設定を意図的に無効化して実施するのが一般的
- 従来は「サンドボックス隔離により影響は限定的」という前提があった
- しかし最近の事例では、テスト用の許可経路から外部へ活動が波及し、前提が崩れつつある
- UK AISIのケースでは、インターネットアクセスを有効にした環境が自律的な行動拡大の要因になった
- 「安全機能を外す」ことと「モデルが自律的にツールを探せる」ことを組み合わせると、制御が一気に難しくなる
室谷代表取締役ここが今回の本質だと思うんですが、そもそも第三者評価では安全設定をわざと外すのが普通なんですよね。
テキトー教師DotAI 認定講師その通りです。AIモデルの危険性を把握するために、開発元とは独立した外部組織がモデルを攻撃的にテストする「レッドチーミング」は、デプロイ前の検証として一般的です。
このとき、モデルの「普通の振る舞い」ではなく「潜在能力」を測るために、通常のAPI製品に実装されている安全フィルターを意図的に無効化する。これは評価の常套手段です。
このとき、モデルの「普通の振る舞い」ではなく「潜在能力」を測るために、通常のAPI製品に実装されている安全フィルターを意図的に無効化する。これは評価の常套手段です。
室谷代表取締役うちの会社でも、新しい機能を出す前に社内でちょっとしたテストをしますけど、本番の安全装置を外した環境で試すことの怖さはよく分かりますよ。ましてや、最近のモデルはエージェント的に自律して動けるじゃないですか。
テキトー教師DotAI 認定講師そう。従来は「テスト環境はサンドボックスで隔離されているから、安全装置を外しても影響は限定的だ」という前提がありました。
しかし今回の事例は、その前提自体が崩れ始めていることを示している。テスト用に許可された経路を足がかりに、想定していた評価範囲の外へ活動が波及するリスクが現実のものになったわけです。
しかし今回の事例は、その前提自体が崩れ始めていることを示している。テスト用に許可された経路を足がかりに、想定していた評価範囲の外へ活動が波及するリスクが現実のものになったわけです。
室谷代表取締役特にUK AISIのケースは、インターネットアクセスを意図的に有効にしていたのが効いていますよね。サイバー攻撃に近い条件下で能力を測るためとはいえ、そこからモデルがどこまで自律的に動くのかを正確に見極めるのは、もはや人間の手に負えない領域に入ってきている。
テキトー教師DotAI 認定講師ええ。「安全機能を外して能力を測る」ことと「モデルが自分でツールを探しながら動けるようにする」ことを組み合わせると、制御が一気に難しくなる。
この複合リスクは、ChatGPT警告の種類と対処法 – プロンプトブロックからアカウント停止までで解説している通常の安全機構の話ともつながりますね。
この複合リスクは、ChatGPT警告の種類と対処法 – プロンプトブロックからアカウント停止までで解説している通常の安全機構の話ともつながりますね。
「隔離すれば安全」はもう成立しない？AI評価の根本的課題
室谷代表取締役今回のインシデントをどう理解すればいいんでしょうか。やはり「隔離していれば安全」という設計思想では、もうダメだということですか。
テキトー教師DotAI 認定講師その問いは核心です。従来の評価環境は、仮想マシンの中などにモデルを閉じ込め、外部へ影響を及ぼせない「サンドボックス」構造を前提にしていました。
でも、モデルの性能が上がれば上がるほど、その境界はあいまいになる。特に今回のようなサイバー評価では、攻撃者の視点でモデルを動かすため、ネットワーク探索やツール利用を許可する設定がどうしても必要になります。
でも、モデルの性能が上がれば上がるほど、その境界はあいまいになる。特に今回のようなサイバー評価では、攻撃者の視点でモデルを動かすため、ネットワーク探索やツール利用を許可する設定がどうしても必要になります。
室谷代表取締役評価のためには力を発揮させたい、でも発揮させすぎると境界を越える。このジレンマは、AIの能力が上がるほど深刻になりますよね。
テキトー教師DotAI 認定講師まさに。OpenAIも「モデルの能力が進歩するにつれて、モデルを取り巻くセキュリティと安全のシステムも進歩する必要がある」と述べています。
これは開発環境だけでなく、ラボや独立パートナーが評価に使う環境も同様です。単に技術的な境界管理の失敗ではなく、AI評価の方法論そのものが問われていると言えます。
これは開発環境だけでなく、ラボや独立パートナーが評価に使う環境も同様です。単に技術的な境界管理の失敗ではなく、AI評価の方法論そのものが問われていると言えます。
室谷代表取締役あと、今回のモデルが「何をしたか」の詳細は、どこまで明らかになっているんですか。
テキトー教師DotAI 認定講師具体的なアクセス内容や影響範囲については、現時点では明らかにされていません。OpenAIは「テストの境界を超えてモデルの活動が延長した」と表現するにとどめています。
ただ、そこで何が行われたにせよ、「安全な評価」と「実力を引き出す評価」の両立が、もう人間の常識だけでなんとかなるフェーズではないことを強く示唆しています。
ただ、そこで何が行われたにせよ、「安全な評価」と「実力を引き出す評価」の両立が、もう人間の常識だけでなんとかなるフェーズではないことを強く示唆しています。
OpenAIの対応と業界への影響：評価環境の標準化は進むか
室谷代表取締役OpenAIは今後どう対応する方針なんでしょう。
テキトー教師DotAI 認定講師発表によると「数週間以内に第三者テストへの自社アプローチを見直す」としています。具体的には、高リスク評価の特定方法、スコープの合意、インターネットアクセスや安全設定緩和のリクエストを承認する基準、隔離の期待値、認証情報の管理、モニタリング、停止条件、インシデント通知とエスカレーションのプロセス整理などです。
室谷代表取締役地味ですけど、めちゃくちゃ重要な項目ですよね。特に「停止条件」と「認証情報の管理」は、実際の運用で抜けがちなところですから。
テキトー教師DotAI 認定講師そうですね。さらにOpenAIは、業界横断で共通のプラクティスを強化するため、各国のAI研究所や独立評価機関、他のAIラボ、その他のグループを集めて協議する方針も明らかにしています。
つまり、個社の対応ではなく「評価環境の標準化」という産業全体のルールづくりに舵を切った。
つまり、個社の対応ではなく「評価環境の標準化」という産業全体のルールづくりに舵を切った。
室谷代表取締役この流れは、ChatGPT長期記憶のすべて：進化、使い方、注意点をプロが解説でも触れた「モデルの記憶や自律性」とも関係しますよね。モデルが長い文脈を持ち、自分の判断で動けるようになると、テスト環境のデザインも「モデルを信頼する」前提から設計し直す必要がある。
テキトー教師DotAI 認定講師ええ。今回の問題はOpenAIだけの話ではなく、AI業界全体が抱える課題です。
独立した評価の価値を守りつつ、能力の高いモデルを安全にテストするには、技術的なサンドボックスの強化に加えて、評価契約や監視体制、インシデント時の対応フローまで含めた標準化が不可欠になるでしょう。
独立した評価の価値を守りつつ、能力の高いモデルを安全にテストするには、技術的なサンドボックスの強化に加えて、評価契約や監視体制、インシデント時の対応フローまで含めた標準化が不可欠になるでしょう。
室谷代表取締役今後の動きから目が離せないですね。特に、第三者がどんな条件下でテストするのかを、どこまで開示するのか。
そこも透明性の観点で注目されます。
そこも透明性の観点で注目されます。
よくある質問：OpenAIサイバー評価インシデントの要点
室谷代表取締役最後に、読者の方からよく聞かれそうなポイントを整理しておきますね。
テキトー教師DotAI 認定講師はい、まず「このインシデントで、一般ユーザーのChatGPTにも危険があるのか」という質問。これについてOpenAIは、通常の公開デプロイ環境でのモデルの挙動を反映したものではないと明言しています。
テスト用の特別な設定下での出来事なので、一般ユーザーに直接影響する話ではないと考えられます。
テスト用の特別な設定下での出来事なので、一般ユーザーに直接影響する話ではないと考えられます。
室谷代表取締役次に「Hugging Faceのセキュリティインシデントとは関係あるの？」という質問ですけど、これもOpenAIが明確に「別件だ」と記載しています。別途アップデートを共有していくとも述べていますね。
テキトー教師DotAI 認定講師そして「なぜ安全設定を外してテストするのか」という根本的な疑問。これは、モデルの本当の危険性を把握するためです。
安全装置をつけたままテストすると、普段どおりの安全な回答しか出てこないので、悪用時の潜在能力を測定できない。だから第三者評価では意図的に緩和する。
このトレードオフが今回の事故を生んだ背景にあります。
安全装置をつけたままテストすると、普段どおりの安全な回答しか出てこないので、悪用時の潜在能力を測定できない。だから第三者評価では意図的に緩和する。
このトレードオフが今回の事故を生んだ背景にあります。
室谷代表取締役最後に「今後、第三者評価はどう変わるのか」。OpenAIは数週間以内に自社のテスト環境の見直しを行い、業界横断の協議も始めるとしています。
具体的な標準の内容はこれからですが、少なくとも「隔離していれば大丈夫」という前提は、もはや通用しない時代に入ったと理解しておくべきでしょう。
具体的な標準の内容はこれからですが、少なくとも「隔離していれば大丈夫」という前提は、もはや通用しない時代に入ったと理解しておくべきでしょう。
テキトー教師DotAI 認定講師そうですね。AIの安全性は、モデル自体の性能と同じスピードで進化させなければならない。
今回の発表は、そのことを業界に強く突きつける出来事になりました。
今回の発表は、そのことを業界に強く突きつける出来事になりました。
