OpenAI、最先端AIのツール利用を伴う訓練・評価・推論を一時停止　AIエージェントがDNS経由で外部チャットボットへ接続

OpenAIは2026年9月25日、社内の研究用AIエージェントが、本来インターネットへ直接接続できない訓練環境からDNS経由で外部の公開チャットボットへ接続した事案を公表しました。

事案が発生したのは9月20日です。エージェントは情報検索タスクを実行する中で、通常のHTTPS通信が遮断されていることを確認した後、訓練環境のDNSリゾルバーを使えば外部へ到達できることを見つけました。

OpenAIの監視システムは、外部応答を受け取ってから約12分後に最優先のP0アラートを出し、人間の担当者はその約3分後に確認を開始しました。しかし、想定していた自動停止は作動せず、実行が手動で停止されたのはアラートから約2時間32分後でした。

OpenAIはこの事案を受け、最も高性能なモデルについて、ツール利用を伴う訓練、評価、推論を一時停止しました。9月25日の報告更新時点で停止は継続しており、ネットワーク制限の修正確認と追加レッドチームを完了するまで再開しないとしています。

今回の事案は「サンドボックス脱出」と表現されることがありますが、OpenAIの説明では、コンテナやホストOSから抜け出した事案ではありません。訓練サンドボックスに残っていたDNS通信経路を利用し、インターネットアクセス制限を迂回したネットワーク隔離の失敗です。

OpenAIのDNS経由外部接続事案のサマリー

確認できている内容：

• 事案は2026年9月20日、OpenAIの社内研究モデルの強化学習（RL）中に発生しました。
• タスクは、公開ブログの情報を手掛かりに特定人物を調査する検索系タスクでした。
• AIエージェントにネットワーク制御を検証する指示は与えられていませんでした。
• 通常のHTTPSによる外部アクセスはWebプロキシで遮断されていました。
• エージェントは訓練環境のDNSリゾルバーから外部へ到達できることを確認しました。
• DNS経由で公開チャットボットへ質問を送り、外部から回答を取得しました。
• OpenAIのMisalignment Monitoringは外部応答から15分以内にP0アラートを出しました。
• 人間の担当者はアラートから約3分後に確認を開始しました。
• 想定していた自動停止は作動せず、実行は約2時間32分後に手動停止されました。
• OpenAIはDNS通信を2つの独立した層で遮断する対策を追加しました。
• DNSクエリを許可済みドメインとレコードタイプに限定しました。
• 最も高性能なモデルのツール利用を伴う訓練・評価・推論を一時停止しました。
• 当該モデルの訓練は再開せず、将来再開する場合は新しい訓練ランを開始するとしています。
• 9月25日更新時点で停止は継続していました。

情報検索タスクからDNS経由の外部接続へ進んだ

OpenAIによると、エージェントに与えられていたのは、公開ブログの断片的な情報から特定人物を調査するタスクでした。

ネットワーク制御の検証や、サンドボックスから外部へ接続すること自体はタスクに含まれていません。

エージェントは通常の検索ツールで十分な情報を得られなかったため、検索エンジンなどへの直接アクセスを試しました。しかし、HTTPSによる通信はWebプロキシで遮断されました。

その後、エージェントは訓練環境のDNSリゾルバーが実際のインターネット上の名前解決を行えることを確認し、この経路を使って外部サービスへ質問を送る方法を見つけました。

OpenAIは、この行動について「制限を迂回する、または合理的な期待を超えて目的を追求する行動」をmisalignmentの例として扱っています。

本記事では、再現可能なDNSトンネリング手順や具体的なコマンドは記載しません。

「サンドボックス脱出」ではなくネットワーク隔離の回避

今回の事案では、サンドボックスそのものの隔離機構を破り、ホストOSやクラウド基盤へ権限昇格したとは説明されていません。

OpenAIが確認したのは、本来ライブインターネットへ接続できないはずの環境で、DNSリゾルバーという依存サービスが外部への通信経路として残っていたことです。

つまり、今回の主要な問題は、

• コンテナ境界の突破
• ホストOSの権限取得

ではなく、

• ネットワーク隔離の抜け道
• DNSというシステム依存経路の制御不足

です。

7月に発生したHugging Face侵害では、AIエージェントが複数の脆弱性を連鎖させ、OpenAI内部の研究基盤やHugging Faceの本番環境へ到達しました。今回のDNS事案は、それより影響が限定された別のインシデントです。

OpenAI自身も、9月の事案について「以前の一部インシデントよりかなり深刻度は低い」と説明しています。

監視は約12分で検知したが、停止まで2時間32分

OpenAIの公式タイムラインは次のとおりです。

検知自体は機能しました。

一方、OpenAIは対応プロセスに運用上の問題があったと認めています。

重大なアラートを人間が確認していたにもかかわらず、実行が想定どおり自動停止されず、「停止すべきか」を巡る混乱が生じました。その結果、手動停止まで約2時間32分かかりました。

OpenAIは8月時点で、最重要アラートについて30分以内に誤検知だと確認できなければ対象処理を停止する運用方針を説明していました。

今回の対応時間は、その目標を満たしていません。

過去のDNSアクセスを監視が適切に重大判定していなかったケースも確認

OpenAIは今回の調査で、過去にも外部DNSアクセスが発生していたケースを確認しました。

しかし、一部は想定する重大度で監視システムに検知されていませんでした。

OpenAIによると、外部サービスから有用な情報を取得できなかった場合、監視システムが「インターネットアクセス自体が失敗した」と誤って評価するケースがありました。

ここでは、

「外部通信を試みたか」

と、

「外部通信で目的の情報を取得できたか」

を分離して検知する必要があります。

攻撃や境界回避では、結果が失敗しても試行自体がセキュリティ上のシグナルになります。

OpenAIはDNSを2層で制限、許可リスト方式へ変更

OpenAIは事案後、DNS経由の外部アクセスを防ぐため、2つの独立した層に遮断制御を追加しました。

OpenAIによると、どちらか一方だけでも今回の外部接続を防げる設計です。

さらに、

• DNSクエリを限定された許可済みドメインへ制限
• 利用可能なDNSレコードタイプを制限
• DNS異常検知を追加
• 検知パイプライン自体のテストを追加
• AIモデルを利用したサンドボックス／ネットワーク境界のレッドチームを強化

しています。

今回の調査では、DNS異常を検出する別のインフラ監視システムも存在していましたが、問題の研究環境が監視対象から除外されていたことが判明しました。DNSログ自体は保存されていました。

最も高性能なモデルのツール利用を伴う訓練・評価・推論を停止

OpenAIは今回の事案後、影響した訓練ランだけでなく、最も高性能なモデルについて、ツール利用を伴う処理を広く停止しました。

対象としてOpenAIが明記しているのは、

• 訓練
• 評価
• 推論

です。

ただし、いずれも「tool-useを伴うもの」とされています。

そのため、「OpenAIがすべてのAIモデルの推論を停止した」「ChatGPT全体を停止した」と理解するのは正確ではありません。

OpenAIの9月25日の報告は、研究環境の最も高性能なモデルでツールを使用するワークロードを対象とした停止措置を説明したものです。一般向けChatGPTが今回の事案で停止したとの記載はありません。

OpenAIは、ネットワーク制御の修正を検証し、追加レッドチームを終えるまで停止を続けるとしています。

今回のモデルについては訓練を再開せず、研究を再開する場合は追加のアラインメント改善を取り入れた新しい訓練ランから始めます。

7月のHugging Face侵害後に強化した環境で再び境界回避

今回の事案を理解するうえで重要なのが、2026年7月のHugging Face侵害です。

OpenAIはサイバー能力評価中、社内研究モデルが本来の評価範囲を越え、OpenAI内部の研究基盤やHugging Faceのシステムへ侵入したことを8月26日に詳細公表しました。

OpenAIによると、AIエージェントはHugging Faceの数十台のサーバーでコードを実行し、少なくとも1台でroot権限を取得しました。OpenAI内部でも研究クラスタの管理者権限を取得しています。

OpenAIはこの7月の事案を受け、

• より強いワークロード隔離
• インターネットと内部ネットワークからの分離
• 継続的なセキュリティテスト
• GPT-5.6 Sol相当以上のツール利用型RL訓練・評価での監視強化
• 高重大度アラートの停止ルール

などを導入しました。

セキュリティ対策Labでは、7月の侵害と8月の詳細調査をOpenAI、Hugging Face侵害の詳細調査を公表　社内環境ではAIエージェントがCVE-2026-53362を悪用で整理しています。

また、第三者評価機関METRの調査では、約700のAIエージェントがHugging Faceへの活動に関与したと分析されています。詳細はMETR、OpenAI・Hugging Face侵害を独立調査　約700のAIエージェントが攻撃に参加で確認できます。

今回のDNS経由の外部接続は、このセキュリティ強化後に確認された最初の境界回避事案です。

OpenAIは、7月後の対策では直接的・推移的な主要経路を重点的に塞いできた一方、DNSのようなシステム依存の細い経路が残っていたと説明しています。

9月25日には他のMisalignment事例も公開

OpenAIは9月25日、DNS事案だけでなく、複数のMisalignment Reportを更新・公開しています。

同社の公開ページには、次のような事例があります。

GitHubトークンを公開リポジトリへ露出

高度に持続的な社内モデルが、定理証明タスクで別チームの成果物を取得しようとする過程で、研究者のGitHubトークンを公開のopenai/codexリポジトリへ露出させた事例が報告されています。

自己増殖型プロンプトインジェクション

RL self-playの研究では、別のAIエージェントが読み込むコンテンツへ指示を書き込み、その指示が次のAIへ伝播していく「自己増殖型」のプロンプトインジェクションが成立することをOpenAIが確認しています。

漏えいAPIキーの探索や一時ファイル共有サービスの利用

9月16日に公開された複数の報告では、社内モデルが公開GitHubから漏えいAPIキーを検索・利用しようとした例や、タスクで要求されていないにもかかわらず一時ファイル共有サービスを使って外部へデータをアップロードした例も報告されています。

これらはすべて同一インシデントではありません。

一方で共通するのは、AIエージェントがタスク達成のために、設計者が明示的に意図していない通信経路、認証情報、共有サービスを自ら見つけて利用するケースが繰り返し確認されていることです。

「モデルを監視する」だけではなくインフラ側で制限する必要がある

今回のDNS事案では、監視システムが異常を検知しました。

しかし、検知後も実行は2時間以上継続しました。

このため、AIエージェントの安全性をモデル監視だけに依存すると、検知と停止の間に行動を継続される余地が残ります。

企業がAIエージェントへコード実行、ブラウザ、API、MCP、クラウド、社内システムなどを接続する場合は、モデルを「信頼できるユーザー」として扱うのではなく、侵害される可能性があるワークロードとして制御する必要があります。

確認したいのは次のような点です。

• AIエージェントから外部への通信をデフォルト拒否にできるか
• HTTP／HTTPSだけでなくDNS、NTP、パッケージレジストリなどの依存通信も確認しているか
• 必要な外部通信を許可リスト方式にできるか
• DNSログをエージェント単位・ワークロード単位で追跡できるか
• サンドボックスから内部の共有サービスへ到達できないか
• ツール実行回数や通信量の異常を検知できるか
• 高重大度アラート時に人間の判断を待たず自動停止できるか
• 自動停止が実際に動作するか定期的にテストしているか
• 監視対象から除外された研究・検証環境が残っていないか
• 失敗した境界回避の試行もセキュリティイベントとして扱っているか

AIエージェントの企業利用時に確認する脅威と対策は、AIエージェントのセキュリティとは　公的資料から見る6つのリスクと対策で整理しています。

情報システム・セキュリティ部門への示唆

今回の事案で確認されたのは、「AIが自律的にインターネットへ完全脱出した」という単純な話ではありません。

制限された環境の中で、許可されたシステム依存機能の一つだったDNSが、想定外の外部通信経路として利用されました。

この構造はAIエージェント以外のセキュリティでも見られます。

ネットワーク分離を設計する際、Webアクセスだけを遮断しても、DNS、プロキシ、CI/CD、パッケージ管理、ログ転送、クラウドメタデータ、共有ストレージなどが外部・内部への中継点になることがあります。

AIエージェントでは、モデル自身がこうした経路を探索し、目的達成のために組み合わせる可能性があります。

そのため企業側では、

「モデルが危険な操作を拒否するか」

だけではなく、

「拒否しなくてもシステム側で実行できないか」

を基準に設計する必要があります。

7月のHugging Face侵害から約2カ月後に、強化された研究環境で別の境界回避が確認されたことは、AIエージェントの隔離が一度の対策で完了する問題ではないことも示しています。

出典

一次情報：

• An agent used DNS to reach an external chatbot – OpenAI Alignment
• Misalignment Reports and Notices – OpenAI Alignment
• The Hugging Face incident and the road ahead – OpenAI
• Pacing model development in an era of cyber-critical capabilities