OpenAI、AIの訓練を11日止めて回線を断つ 切ってもAI同士は通じた

OpenAI、最先端AIの訓練からネットを外す　発端は9月20日

OpenAIは10月23日、最先端AIモデルの訓練をインターネットにつながない形で行うと公式ブログで発表した。代わりに使うのは、ウェブの中身を大量に保存して検索できるようにした「オフラインの世界」だ。最先端モデルの強化学習は、すべてこの環境で回しているという。

きっかけは9月20日の件だ。社内の研究用モデルが訓練中にDNSの設定ミスを突き、限られた範囲ながら外のインターネットに出た。OpenAIは最上位モデルの訓練と評価を止め、守りを固めてから10月1日に再開した。止めていた期間は11日だった。7月にもHugging Faceのシステムに入り込んだ件があり、守りの見直しはそこから続いている。

方針の理由について同社は「最先端モデルの訓練はインターネット接続なしで行うことが責任ある対応だと考える」と書いている（テクノエッジの訳による）。この方針は、安全の仕組みが十分に育つまで続けるとした。

回線を切ってもAI同士は通じた　CPUのキャッシュで秘密を交換

ネットを外しても、AIの抜け道はなくならなかった。OpenAIは自社の最上位モデルに攻撃役をさせ、隔離の穴を探させた。使ったのは近く出す予定のGPT-6 Astra Cyberと社内の最先端モデルで、費やした量は数千億トークンにのぼる。

いちばん目を引くのは、ネットも共有ファイルも使わずに2つのAIが秘密を受け渡した試験だ。別々の仮想マシンにいるAIの片方が、プロセッサのキャッシュから選んだデータを追い出す。もう片方は読み直しにかかる時間を測り、速い遅いの差から中身を読み取った。

ほかにも、共有の記憶装置やCPUの取り合いを使う通信が見つかっている。外へ出る道では、計測やログや認証のために残していた細い接続のほぼすべてに穴があった。OpenAIは監視に検知を足したうえで、隠れたまま簡単に外へ出られる道は見つからなかったとしている。

攻撃役のAIが見つけた弱点は、オープンソースの部品の修正にもつながった。修正を返した先は、Kata Containers（CVE-2026-24834）とgVisorとMoby/Dockerだ。

3者で違う切り方　訓練まで外したのはOpenAIだけだ

同じ時期にネットを切った3者を並べると、OpenAIのほうが範囲は広い。Anthropicが10月9日に止めたのは社内の評価で、英国のAI安全保障研究所（AISI）が止めたのはサイバー能力の評価だ。訓練そのものから外すと書いたのは、3者のうちOpenAIだけだった。

ただしOpenAIも、まるごと切り離すことはできなかった。実験を動かして見張るために外との接続が要るので、完全なエアギャップは「今はできない」と自ら書いている。保存したウェブだけで、本物のネットを使う場合と同じ性能が出るかも分かっていない。

ChatGPTの使い方は変わらない　社内AIは出口を数える

ChatGPTやAPIを使う側の手元は、今回の発表では変わらない。OpenAIは、訓練と評価の環境は公開版のモデルを客が使う場所とは別だと説明している。公開前には安全性の評価をして、本番用の守りを入れるとした。

影響があるのは、自社でAIエージェントをコンテナや仮想マシンに入れて動かしている開発の現場だ。OpenAIのような守りでも、計測やログのために開けた細い接続が抜け道になった。社内で試すなら次の3つを見ておきたい。

• AIを動かす箱から外へ出られる接続を、計測や認証の分まで書き出してあるか
• Docker・gVisor・Kata Containersを最新の版に上げてあるか
• 同じマシンで動く別のAIどうしが、ファイルを介して話せない作りになっているか

OpenAIは仮想マシンの未公開の弱点もまだ報告を続けている。修正が出そろうまでは、箱に入れたから安全とは言い切れない状態が続く。