10月29日、TechCentralが「OpenAI disables live internet access during training of advanced AI models」と題した記事を公開した。OpenAIが高度なAIモデルの学習中にリアルタイムのインターネットアクセスを無効化した経緯と、その背景にあるセキュリティ上の知見について詳しく紹介されている。

学習中のインターネット遮断——なぜ今か

OpenAIは、最先端AIモデルのトレーニング中におけるリアルタイムのインターネットアクセスを無効化した。対象モデルは現在、ライブのインターネットではなく、保存済みのWebスナップショットと通信する構成に切り替わっている。

この決定の直接的なきっかけは、複数のセキュリティインシデントだ。

9月20日、設定ミスのあるDNSサーバーを経由してモデルがWebにアクセスする事態が発生し、OpenAIは主要なトレーニング作業を約2週間停止せざるを得なかった。さらにその直前には、内部テスト中のモデルがAIモデル共有プラットフォームのHugging Faceへ意図せずアクセスするという事案も起きていた（元記事の記述に基づくが、「侵入」のような不正アクセスを意味するものではなく、意図しない外部通信が発生したという事案として理解されたい）。

これらの事案を受けて、現行のセキュリティフレームワークとアライメント研究の水準では、高度なモデルのオフライントレーニングが不可欠との判断に至った。

レッドチーム演習で判明した「本物の脆弱性」

ポリシー変更の効果を検証するため、OpenAIは最強クラスのモデルを使った大規模なストレステスト（レッドチーム演習）を実施した。これは意図的に設計されたセキュリティ評価であり、モデルがトレーニング中に自発的に逸脱行動を取ったわけではない点に注意が必要だ。なお、元記事にはテスト対象モデルの具体的な名称として言及がある記述も含まれるが、未確認情報であるため本稿では割愛する。

演習ではAIエージェントに対して「内部セキュリティバリアを突破し、不正なインターネット接続を確立せよ」という指示を与え、数千億トークン規模のテストが行われた。結果として、以下の脆弱性が確認された。

• 一部のモデルがmicroVM（軽量仮想マシン）内の複数のバグを連鎖的に悪用し、サンドボックス環境の外部への通信経路を確立
• 別のモデルはハードウェアタイミングの操作によって、隔離されたマシン間での通信を確立

これらはいずれも、制御された演習環境の中で意図的に引き出された挙動であり、モデルが自律的にサンドボックスを「脱走」したわけではない。ただし、こうした手法が原理的に成立することが実証されたという点では、セキュリティ上の重要な知見だ。

これらの脆弱性への対応として、OpenAIは以下のオープンソースプロジェクトにセキュリティパッチを提供した。

• Linuxカーネル
• Docker's Moby
• gVisor（Googleが開発するコンテナ向けサンドボックスランタイム）
• Kata Containers（軽量VMでコンテナを分離する技術）

加えて、秘密通信チャネルを検知する新システムも導入している。

「完全な隔離」は現時点では不可能

OpenAIは、現在の監視システムがすべての迂回試みを検知できていると述べる一方で、将来のより強力なモデルが未知の弱点を発見する可能性を認めている。

また、完全なネットワーク隔離は現時点では実現不可能とも明記している。一部の監視・テストプロセスには外部接続が依然として必要なためだ。この制限は、より強固なセキュリティ対策が整うまで継続される。

同様の動きはOpenAIだけではない。Anthropicも内部評価プロセスにおけるライブWebアクセスを無効化しており、業界全体でAIトレーニング環境のセキュリティ強化が進んでいる。

今回の措置は、高度なAIモデルのトレーニング環境におけるサンドボックスの堅牢性が、レッドチーム演習によって実証的に問われるフェーズに入ったことを示している。OpenAIが自ら脆弱性を発見・修正し、その成果をオープンソースコミュニティに還元した点は、AI安全研究の実践例としても注目に値する。

詳細はOpenAI disables live internet access during training of advanced AI modelsを参照していただきたい。