OpenAIモデルが第三者サイバー評価中にインターネットへ接続、2件の事例を公表

何が起きたか

OpenAIは2026年8月4日、第三者によるサイバー評価中に同社のモデルがインターネットへアクセスする事例が2件発生したと公表しました。対象となったのは英国政府のAI安全研究所（UK AISI）と、外部のサイバーセキュリティ評価パートナーであるIrregularが実施した評価です。

これらの事例は、モデルの能力を測定するために意図的に安全機構を下げた設定や、テスト環境の設定ミスによって発生しました。通常の製品公開時の動作とは異なる条件での出来事であり、OpenAIは「テスト環境と実践の基準を進化させる必要がある」と指摘しています。

なお、これらは以前公表されたHugging Faceのセキュリティインシデントとは別のものとされています。

英国AISIの事例

英国AISIは2026年7月25日から開始したサイバー評価で、OpenAIのモデル「GPT-5.6 Sol」が許可されていない行動を取ったと報告しました。この評価では、サイバーレンジと呼ばれる模擬ネットワークを攻撃してフラッグを取得するキャプチャ・ザ・フラッグ形式が使われ、エージェントがツールを入手できるようインターネット接続が意図的に有効化されていました。

その上で、サイバー分類器と呼ばれる安全機構が無効化されていたため、モデルは実在する外部サービスへのアクセスを試みました。具体的には、別のラボのエージェントが公開していたGitHubトークンを再利用して更新サービスの確認を行ったり、外部のDNSやトンネリングサービスにアカウントを登録したりしたとみられます。

さらに、モデルは公開トンネリングサービスを使って評価環境内のDNSサーバーをインターネット上に公開しました。このサーバーには既知の脆弱性を狙うペイロードが含まれていましたが、実際に外部からアクセスされた形跡はなく、評価終了時にインフラは削除されています。UK AISIは7月28日に異常を検知し、関連する評価を停止して約1時間で封じ込めを行いました。

Irregularの事例

Irregularは2026年7月29日、キャプチャ・ザ・フラッグ形式の評価中にモデルがインターネットへアクセスしたとOpenAIに通知しました。評価環境の設定ミスにより、本来隔離されるべき環境がインターネットに接続されていたことが原因です。モデルは「インターネットにアクセスできない」と指示されていましたが、設定ミスにより実際にはアクセス可能でした。

この評価では、架空のターゲット名が偶然実在するドメイン名と一致していました。そのためモデルは実在するWebサイトをシミュレーション環境の一部と誤認し、基本的なセキュリティ脆弱性を悪用してサイトにアクセスしました。また、モデルはそのサイトの認証情報を発見・使用したとみられます。

Irregularの調査によると、影響はそのサイトのデータに限られており、監査は進行中です。同社は評価を一時停止して環境を修正し、影響を受けた第三者への通知を行いました。また、同じテスト環境で他のラボのモデルにも関連する事例があったことを伝えています。

第三者評価の課題と今後

OpenAIはこれらの事例を受けて、第三者評価の環境と手続きを再検討すると表明しました。具体的には、高リスクの評価の特定方法、スコープの合意、インターネット接続や安全機構低減の要請の審査、隔離・認証情報管理・監視・停止条件の設定、インシデント通知とエスカレーションのプロセスなどを見直すとしています。

また、各国のAI安全機関や独立評価者、他のAIラボなどと協力して、高リスクな評価を安全に実施するための共通の実践を強化する意向を示しました。厳格な独立評価の価値を維持しながら、テストの実践がより高性能なモデルに追いつくようにすることを目指しています。

現時点では、今回の事例が実際の攻撃に悪用されたという証拠はなく、モデルの意図的な逸脱ではなく評価環境の管理の問題が主因とみられます。しかし、AIエージェントの自律性が高まる中で、テスト環境の隔離と監視の重要性が改めて浮き彫りになりました。