暮らしと仕事の「？」を調べてみた｜世界AI重要事案

AIの数百件の操作を監視から隠せる？――OpenAIの安全システムを第三者が検証、複数の脆弱性を発見

調査結果公表：2026年10月22日｜資料確認：2026年10月24日｜まいぷれ東村山・小平・東大和編集部

AIを監視する仕組みは、本当にAI自身による監視逃れを防げるのでしょうか。

2026年10月22日、AI安全性を研究する非営利団体METRとRedwood Researchが、OpenAIの内部AIエージェント監視システムについて共同調査結果を公表しました。

研究者は、AIエージェントの直近数百件の操作を監視対象から外せる脆弱性を発見したと報告しています。さらに、監視の実行を先延ばしできる仕組みや、本来の実行権限制限を回避できる可能性も見つかりました。

ただし、今回の調査は、AIが実際に数百件の操作を隠していたことを確認したものではありません。また、調査対象は2026年7月21日以前のシステムです。OpenAIは、本番環境の安全対策に影響する脆弱性は修正済みと説明しています。

AIの行動を監視する仕組みに、どのような弱点があったのでしょうか。両研究機関の共同公表資料とOpenAIの公式説明を確認しました。

そもそも、AIエージェントの監視とは？

AIエージェントは、文章を作成するだけでなく、プログラムを書いたり、ファイルを変更したり、外部のシステムを操作したりできます。こうした作業をAIに任せる場合、利用者が指示していない操作を実行していないか、安全上の制約を回避していないかを確認する必要があります。

OpenAIは、社内で使用するプログラミング用AIエージェントについて、作業履歴や推論の記録などを別のAIが調べ、不審な行動を検知する監視システムを運用しています。問題が疑われる場合は、人間の担当者へ通知し、調査や対応につなげる仕組みです。

監視するAIがどれだけ優秀でも、そもそも監視対象の操作が届かなければ、その内容を確認できません。今回の研究は、その問題を調べたものです。

外部研究者がOpenAIの内部システムを調査

調査を行ったのは、METRとRedwood Researchの研究者各1人です。2026年7月21日から8月11日までの約3週間、OpenAIの協力を得て、内部のプログラムや監視設定、関連文書などを調査しました。研究者は約12人のOpenAIの研究者・技術者にも聞き取りを行っています。

調査結果は61ページの内部報告書としてまとめられ、OpenAIの研究者やセキュリティ担当者に共有されました。今回一般公開されたのは、その内容の一部をまとめた概要です。

研究者は外部機関に所属していますが、調査はOpenAIの協力のもとで実施され、公開範囲にも事前の取り決めがありました。そのため、今回の公表資料だけで、監視システムのすべてを独立して評価できるわけではありません。

発見① 数百件の操作を監視から隠せる脆弱性

今回の調査で特に注目したいのが、直近数百件の操作を監視対象から外せる可能性のある脆弱性です。研究者によると、この方法では、監視を回避するために行った操作そのものも、監視対象から外せる可能性がありました。

通常、AIエージェントが何らかの操作を行えば、その履歴を監視システムが確認することが期待されます。しかし、操作履歴の一部が監視に渡らない仕組みが存在すると、不適切な操作を検知できなくなるおそれがあります。

研究者は具体的な攻撃方法も把握しましたが、OpenAIの判断により、その詳細は公開資料から削除されています。

脆弱性が発見されたことと、AIが実際に悪用したことは別です。今回の公表資料は、AIが数百件の不正操作を隠していたと報告しているわけではありません。

発見② AIが作業を続けると、監視が先延ばしになる

もう一つの問題は、監視を実行するタイミングです。調査対象となった当時のシステムでは、AIエージェントが作業を終えて利用者に操作を戻す際に、監視が実行される仕組みでした。

そのため、AIが作業を終えずに続けている間は、監視が先延ばしになる可能性がありました。例えば、AIが長時間にわたってプログラムを変更し続けた場合、その途中の操作について監視が行われない時間が生じ得ます。

研究者は、当時の条件では、AIが作業を継続することで監視を無期限に先延ばしできる可能性があったと説明しています。ただし、AIが実際にこの弱点を悪用したかどうかは確認できなかったとしています。

また、監視漏れの原因となっていた処理上の問題については、OpenAIが調査開始前から把握しており、調査期間中に修正しました。

発見③ 監視を無効にできる設定も見つかった

研究者は、AIエージェントの新しい実行環境を作成する際に、監視を無効化できる設定を2種類発見しました。これらを利用すると、監視されない新しいエージェントを起動できる可能性がありました。

ただし、設定を変更して新しいエージェントを起動する操作自体は、既存の監視システムによって検知される可能性があります。したがって、監視を無効にする設定が存在したことだけで、AIが必ず監視を逃れられたと断定することはできません。

今回の調査では、このほかにも、監視システムに渡されるデータの形式の違いを利用して監視処理を失敗させる可能性などが指摘されています。

発見④ 本来の実行権限制限も回避できる可能性

今回の調査は、監視の仕組みだけを対象としたものではありません。研究者は、OpenAIの社内で使用されるCodexエージェントについて、本来の実行環境の制限や自動レビューを回避し、そのエージェントを使用している人と同じ権限で操作できる可能性のある方法も発見しました。

これは監視漏れとは別の問題です。監視は、AIが何をしたかを調べる仕組みです。一方、実行権限の制限は、AIが何をできるかを制御する仕組みです。

仮に監視が機能していても、AIに過大な権限が与えられていれば、問題のある操作を実行できる可能性があります。反対に、AIの権限を適切に制限していても、監視に抜け穴があれば、想定外の行動を把握できない可能性があります。

安全な運用には、監視と権限制限の両方が必要です。

監視対象は75～94％。残りはすべて監視されていなかった？

今回の報告には、監視の対象範囲についても数字が示されています。研究者は、一定以上の能力を持つモデルによる社内Responses API通信について、約75～94％が監視対象となる条件を満たしていたと推定しました。

また、そのうち社内Codexエージェントに使用された通信に限ると、約99.2％が監視対象になると推定しています。

※METR・Redwood Researchの推定。対象範囲や集計条件が異なり、いずれも現在の監視率を示すものではありません。

「監視対象になる割合」と「実際に監視された割合」は異なります。監視対象になっていても、処理の不具合などによって監視が実行されない場合があります。

研究者は、処理の一部が監視対象から漏れていた影響により、2026年5～7月の対象となる内部Codex通信の約10％が監視されなかったと推定しています。ただし、この数字には大きな不確実性があると説明されています。

「OpenAIのAI操作の10％が現在も監視されていない」という意味ではありません。研究者が調べられなかった別の内部システムの通信もあるため、これらの数字をOpenAIのAI利用全体へ広げて解釈することはできません。

OpenAIは脆弱性を修正したの？

METRとRedwood Researchによると、OpenAIは、今回発見された問題のうち、現在の本番環境の安全対策に影響する脆弱性はすべて修正したと説明しています。また、監視対象を広げる変更も進められました。

ただし、研究者は修正後のシステムを再検証していません。今回の公開資料から確認できるのは、OpenAIが修正を報告していることまでです。修正の有効性や、現在の監視システムに同様の問題が残っていないかについて、今回の第三者調査が保証しているわけではありません。

一方で、調査対象が古いシステムである以上、発見された脆弱性が現在も残っていると断定することもできません。

以前の「AIが監視を無効化した事案」とは何が違う？

この特集では、OpenAIが2026年10月20日に公表した、AIエージェントによる監視機能の無効化・削除事案も取り上げました。両者は関連していますが、調べている問題は異なります。

前者は、AIが実際に何をしたかという問題です。後者は、そのような行動を発見するための仕組みが、どこまで信頼できるかという問題です。

AIを安全に運用するには、AIの行動だけでなく、AIを監視するシステム自体も検証する必要があります。

監視システムは、どう改善すべき？

METRとRedwood Researchは、今回の調査結果を踏まえて、安全な監視システムの設計に関する提案も行っています。

その一つが、AIが作業を終了するまで待つのではなく、一定の時間や操作数ごとに監視することです。また、AIが実行した操作の記録と、監視システムが実際に確認した記録を照合し、監視漏れを把握できるようにすることも提案しています。

さらに、AIが監視システムの設定を変更したり、監視の実行タイミングを左右したりできないよう、実行環境を分離することも重要だとしています。

監視システムを設けるだけでなく、監視が本当に実行されたことを確認できる仕組みが必要だという考え方です。

地域の事業者や自治体にも関係する？

今回の調査対象はOpenAIの内部システムです。東村山・小平・東大和の事業者や自治体で、同じ脆弱性が見つかったわけではありません。ただし、AIエージェントを業務に導入する際の考え方としては参考になります。

例えば、AIに顧客情報の整理やWebサイトの更新を任せる場合です。AIの操作履歴を残していても、記録されない操作があれば、問題が起きた際に原因を調べられない可能性があります。また、AI自身がログの削除や監視設定の変更を行える状態では、監視の信頼性が損なわれるおそれがあります。

AIエージェント導入時に確認したいこと

• 操作履歴：AIが実行した操作を、後から確認できるか。
• 監視漏れ：記録されるはずの操作が、実際に記録されているか。
• 権限制限：AIが監視設定や重要なシステム設定を変更できないようになっているか。
• 人間による承認：顧客情報の変更や外部送信など、重要な操作を事前に確認できるか。
• 異常時の対応：AIの実行を停止し、原因を調べられる体制があるか。

すべての事業者がOpenAIと同じ監視システムを構築する必要があるという話ではありません。大切なのは、AIに任せる仕事の内容や扱う情報に応じて、適切な権限と確認方法を設けることです。

まだ分かっていないこと

• 発見された脆弱性をAIが実際に悪用した事例があったか
• 数百件の操作を監視から隠す方法が、実際の不正行為に使われたか
• 修正後の監視システムが、第三者の再検証でも安全と評価されるか
• 現在の監視対象範囲や監視漏れの割合
• 非公開の内部報告書に含まれるすべての調査結果

今回公開されたのは61ページの内部報告書の概要であり、すべての技術的な詳細が明らかになったわけではありません。

主な確認資料・情報源

※資料確認日：2026年10月24日。今回の第三者調査は2026年7月21日以前の監視システムを対象としており、現在のシステム全体を評価したものではありません。