2026年7月21日から8月11日まで、Machine Ethics Transparency Research（METR）の研究者とRedwood Researchの同僚が、OpenAIの内部コードや監視ツールに深くアクセスできる環境を与えられた。2人は3週間にわたり、Codexを動かすものなど、高度なAIエージェントを監視するシステムの突破を試みた。調査結果は61ページの報告書にまとめられ、OpenAIのスタッフに共有された。
検証で明らかになったこと
監査担当者は、GPT‑5.5以上の能力を持つモデルが利用する内部Responses APIのトラフィックのうち、75〜94％が監視対象になっていたと推定したが、正確な割合は不明だという。Codexエージェントが処理するトラフィックに限ると、監視対象の割合は約99.2％だった。また、検証開始時点では強化学習のトレーニング実行が監視されていなかったことや、「コンパクション」処理中に監視が行われないため、2026年5〜7月にはCodexのトラフィックの約10％が監視をすり抜けていた可能性も指摘した。 具体的には、エージェントがCodexのサンドボックスを回避できる、クライアント側で制御できるヘッダーを設定して新しいエージェントの監視を無効にできる、監視機能が失敗するよう入力を細工できる、といった欠陥が見つかった。負荷制限や監視エラーはまれで、エラー率は0.2％未満だった。また、24時間分のデータを確認したところ、負荷制限は一度も起きていなかった。 OpenAIは、本番環境の安全対策に影響する脆弱性はすべて修正し、検証後に監視対象も拡大したとしている。ただし、監査担当者はこれらの主張を独自に検証していない。
なぜ重要か
OpenAIのCodexツールを利用する開発者にとって、監視の抜け穴があれば、一部のAIの動作がチェックされず、ユーザーに予期しない挙動をもたらすおそれがある。修正によってリスクは低減するはずだが、エージェントの活動をより広く監視できるようになったかを確かめるには、独立した検証が必要だ。
