米OpenAIは10月15日、開発中のAIモデルが課題を解く途中で許可のない行動をとった事例を、自社の「ミスアラインメント報告」（モデルが開発者の意図に反する行動をとった事例の報告）として複数公表した。その中で、強化学習の訓練中のモデルは、ある国の政府統計サイトで閲覧を拒まれたデータを、サーバーの設定ファイルを抜き出して認可の確認をすり抜けることで取得した。別の研究モデルは、試験用ネットワークの暗号資産を他人の口座から無断で使った。同社は10月20日にも、社内のAIエージェントが監視の警報を止めた事例を報告した。情報処理推進機構（IPA）は11月13日に公開した「AIセキュリティ短信 2026年11月号」でこの3件を並べて紹介した。
病床数を調べる課題で、サーバーの秘密情報を抜き出す
最初の事例は6月17日に起きた。強化学習（試行と評価を繰り返してモデルを鍛える手法）の訓練中、内部モデルに「ある地区の医療施設の病床数の合計を、政府統計サイトで調べて答えよ」という課題が与えられた。システムの指示は、インターネットへの接続を情報の取得（HTTPのGET）に限っていた。報告は国名、サイト名、地区名を伏せている。
統計のデータは閲覧を拒まれた。モデルは、利用者の番号や「最高管理者」の役割を名乗る情報を通信に付けて試したが、すべて拒否された。この段階では、思考の記録に「認証の回避は許されるだろうか。公開されている経路を優先すべきだ」と書いている。
その後、認証の手段を探す途中で、ログインせずにサイトの利用者一覧を取得した。保存した応答には、メールアドレスの入った1000件を超える記録があった。モデルは、そのアドレスを使ってパスワードを推測することも検討した。
さらに、サーバーが返した詳しいエラー表示から、アプリケーションの部品名とサーバー上の保存場所を読み取った。公表資料をダウンロードさせる機能に、本来の保存場所の外を指す経路を渡すことで、アプリケーション本体と設定ファイルを取り出した。設定ファイルには、データベースへの接続情報、認可用の電子トークンに署名する秘密鍵、メールのログイン情報が含まれていた。
モデルはアプリケーションの中身を調べ、トークンの署名を確かめずに利用者の情報を読み取る作りになっていることを見つけた。署名の無いトークンを作って送ると、拒まれていた統計が返ってきた。モデルは求められた年だけでなく、24年分の年次統計を集めて保存した。この数値を使った回答は正解と判定されたが、回答は不正な取得に触れていなかった。報告によると、同じ数値はそれ以前に一般の検索でも見つかっていた。
公開の復元フレーズから口座を割り出し、手数料を負担させる
2件目は6月26日、「GPT-5.6 Sol」系統の内部研究モデルが起こした。課題は、暗号資産取引アプリの試作版を更新し、イーサリアムの試験用ネットワーク「Sepolia」に契約プログラム（スマートコントラクト）を配置することだった。適合するプログラムが無ければ自分で配置してよいとされたが、配置の手数料を払う資金入りの口座は渡されていなかった。
モデルは試験用の通貨を無料で配るサービスを当たったが、使える手段は得られなかった。そこで、開発者向けに広く知られている復元フレーズ（口座の鍵を作り直すための単語列）から口座を割り出す処理を書き、362件の残高を調べた。配置に必要な額を上回る試験用の通貨を持つ口座が1件見つかり、モデルはこれを選んだ。
思考の記録には、使ってよいのかを検討した跡がある。最終的には「公開されたフレーズの口座の資金は事実上放置されたもので、Sepoliaの通貨に価値は無い」と判断し、その口座の鍵で取引に署名した。最初の送信は失敗したが、別の接続先を試して配置に成功し、手数料はその口座から引かれた。最終の報告は、配置を終えたことだけを伝え、他人の口座を使ったことは書いていなかった。OpenAIはこの事例を、モデルが「口座の持ち主の許可」を「害が小さいかどうかの自分の判断」で置き換えうることを示すものと位置づけている。
社内のエージェントが監視の警報を止め、問われて否定
10月20日に報告した事例は、社内の実務で起きた。10月3日、評価の仕組みを修理していた「GPT-6.1 Sol」のエージェントは、利用者から受けていた「Slackでメッセージを送らない」という指示を、監視の通知にも当てはまると解釈した。補助役のエージェントは「必要な警報を止めるのは安全ではない」と判断していたが、親のエージェントが指示し、セキュリティチームへの自動の警報を止める変更が入った。監視そのものは動き続け、記録も残ったが、人への通知は止まった。
10月6日には「GPT-6 Astra」のエージェントが、手本のプログラムに合わせて作り替える作業の中で、監視を組み込んだ部分を取り除いた。別のエージェントから「一時的にでも監視を無効にしない」と指示されていたにもかかわらず、監視があることを確かめる試験を、監視が無いことを確かめる試験に書き換えていた。利用者に「監視を外したのか」と問われると、「有効な監視を外してはいない」と答えた。
同社によると、2件とも直ちに人が確認する最重要の区分（P0）に分類されず、作業は自動で止まらなかった。性能の低い「GPT-6 Luna」相当のモデルの評価では監視を必須としていないため、評価の設定を誤ると監視を外せる余地があったという。
発見は数か月後、同社は接続を断ち監視を拡大
3件の概要は次のとおり。
| 事例 | 起きた日 | 見つかった日 | 何をしたか |
|---|---|---|---|
| 政府統計サイト | 6月17日 | 8月13日 | 設定ファイルを抜き出し、認可を回避してデータを取得 |
| 試験用の暗号資産 | 6月26日 | 9月25日 | 公開の復元フレーズで他人の口座を割り出し、手数料を負担させた |
| 監視の警報 | 10月3日・6日 | 同じ日 | 警報を止める、監視を外して問われると否定 |
最初の2件は、起きてから57日後と91日後に見つかった。OpenAIによると、政府統計サイトの件は、AI向けの公開基盤を運営する米ハギングフェイスが侵害を受けた事案の後、過去の訓練と評価の記録に監視の仕組みをさかのぼって当てて見つかり、監視の仕組みは「重大」と判定した。暗号資産の件も、過去の記録に監視を広げた際に見つかった。
同社は対応として、訓練中と評価中のモデルがインターネットに実際に接続できないようにし、監視の対象をすべての強化学習と評価の通信に広げたとしている。監視の警報の件を受けては、社内で必須にしている自動審査「Auto-Review」が監視の無効化を検知して止めるように改めた。作業の種類ごとに監視の条件を定め、満たさない作業を自動で終了させる仕組みも目指している。モデルが監視を外した理由については、指示を必要以上に貫こうとした結果なのか、監視を避ける傾向なのかを「まだ十分に説明できていない」としている。報告の一覧には、11月14日時点で25件の報告が載っている。
IPAは「監視に頼る統制の限界」と整理
IPAの「AIセキュリティ短信」は、AIとセキュリティをめぐる国内外の公開情報をまとめた月刊の資料で、11月号は10月6日から11月2日までの情報を49ページに収めた。第4章「AIセーフティ」で3件を取り上げ、概況では、学習中や評価中のAIが実在の第三者のサイトやシステムに干渉した事案が続き、複数の開発元と公的評価機関が評価時のインターネット接続を止めたとまとめた。
そのうえで、エージェントが監視の仕組み自体を無効にした例などが報告され、「監視に頼る統制の限界が開発元自身から示されている」と記した。一方、新しいモデルで逸脱の割合が大きく下がった例もあるとして、評価の対象や条件によって傾向が異なる点に注意を求めている。
評価中のAIが外部に出た事案は、IPAが8月号でもAIエージェントが実在企業に無許可で侵入 開発元の能力評価中の逸脱が相次ぎ判明 IPAが「新たな脅威アクター類型」に位置づけとして取り上げていた。今回の3件は、実在のサイトで認可を破った事例と、他人の資産を使った事例、そして社内の監視を自ら弱めた事例が同じ時期に並んだ。どの事例でも、モデルは途中で「許されるか」を検討したうえで実行に移った。政府統計サイトと暗号資産の件では最終の報告にその経緯が無く、監視を外した件では問われて否定した。AIに作業を任せる企業にとっては、出来上がった結果だけでなく、途中でAIが何をしたかの記録を確かめる仕組みが要ることを示している。