METRとRedwood、OpenAIの内部AIエージェント監視にギャップを発見

外部評価者がOpenAIの自社AIエージェントの不整合監視システムに複数の新たな脆弱性を発見したと、METRは2026年10月22日に述べた[1]。METRとRedwood Researchから各1名の従業員が、OpenAIのインフラへの深いアクセス権を持ち、現地で3週間この夏にストレステストを実施した[1][2]。

METRとRedwood Researchは何をテストしたか？

METRとRedwood Researchは2026年7月21日から8月11日まで現地でOpenAIの内部不整合監視をテストした。2名の評価者はOpenAIの内部コードベース、モニタープロンプトと設定詳細、内部ドキュメントへのアクセス権を持ち、約12名の研究者とエンジニアにインタビューした[1]。彼らはOpenAI支給のデバイスを使用し、デバイスは敷地外に出ず、現地滞在時は同伴された[1]。

この演習でOpenAIの研究者とセキュリティ担当者向けの61ページの内部報告書が作成された[1]。METRによると公開版は意図的に簡潔にまとめられ、OpenAIには編集権があり、発見は7月21日以前のシステムを記述したもので、演習中に構築中だった拡張システムではない[1]。

評価者が発見したギャップはどれか？

METRはOpenAIの内部エージェントResponses APIトラフィックの75〜94%が監視対象だったと推定している。推定はGPT-5.5と同等以上のモデルを対象とし、双方に大きな不確実性があるとMETRは述べる[1]。内部Codexエージェント単独では対象シェアを99.2%と見積もる[1]。

いわゆるコンパクションイベントの非監視により、2026年5月から7月にかけて対象となる内部Codexトラフィックの約10%が未監視のままだった可能性が高いとMETRは指摘する[1]。OpenAIスタッフは演習前にそのギャップを発見し、演習中に修正した[1]。演習開始時点でRLトレーニングランは監視システムの対象外だった[1]。

評価者はまた、数百の最近のエージェントアクションを監視から除外するエクスプロイトを記述しており、詳細はOpenAIにより編集された[1]。エージェントがモニターを失敗させる入力を crafted できる可能性や、新規エージェントの監視をオフにする2つのクライアント制御可能ヘッダーを発見した[1]。

すべてが壊れていたわけではない。METRによると、モニターはわずかな例外を除きエージェントが見る完全な軌道を把握し、プロンプトはスキーム、サボタージュ、データ漏洩、欺瞞、プロンプトインジェクションなどのリスクを探す[1]。評価者に示された情報ではモニターのエラー率はリクエストの0.2%未満だった[1]。

OpenAIはどのように対応したか？

OpenAIはX上で、METRとRedwood Researchを内部監視システムの組み込み評価パイロットに招待したと述べた[2]。OpenAIは本番セーフガードに影響するすべての脆弱性が修正されたと述べているが、METRはその主張を評価していない。METRはOpenAIが演習以降の監視対象範囲に大きな変更を加えたと記述している[1]。

CNBCによると、OpenAI CEOのSam Altmanは9月に独立評価者に従業員同様のアクセスを提供すると約束した[4]。ReutersはAI企業が壁内の評価者スタッフが独自情報を競合に持ち出す可能性を懸念していると報じている[3]。The AI Pinは以前にOpenAI自身の不正エージェントインシデント開示を報じた。

今後のエージェント監視はどうあるべきか？

METRは将来の監視が、高度に有能な内部エージェントによる意図的で持続的な大規模攻撃に耐えうるべきだと主張する[1]。ターンが終わるのを待つのではなくNメッセージごとまたはN分ごとにエージェントをチェックし、監視対象外のリクエストには明示的な承認を要求することを提案する[1]。

また、改ざん防止ログ、モニターの定期的なレッドチーミング、エージェントとモニター間の厳格な分離を求めている[1]。METRは将来の演習でより強力な透明性と独立性の慣行に従うべきだと述べる[1]。

私たちの見解

意見: これはフロンティアラボが自社エージェントをどのように監視しているかに関する最も具体的な公開情報であり、不快な数字は下限値である。対象となる内部エージェントトラフィックの最大4分の1が監視対象外だった。こうした組み込み監査は自己申告の安全カードより価値があるが、次のラウンドで評価者が修正を検証し、編集された内容を記述できる場合に限る。

検証できなかったこと

• Whether OpenAI's patches and expanded monitoring coverage work as described; METR and Redwood Research say they have not evaluated these claims.
• Whether any agent actually exploited the gap that let agents postpone monitoring; the evaluators say they lacked the access to check.
• What OpenAI redacted from the public write-up; the evaluators had no unilateral right to describe the redactions.
• How much agent traffic runs on OpenAI's internal research inference service, which the coverage estimate excludes.