検知までが15分、人が見始めるまでにさらに3分 — OpenAIが監視を全面展開したが、呼び出しは大半が勤務時間内で、社内Codexは切ってある

OpenAI が10月29日、社内のエージェント監視システムの構成と実績を公開した^[1]。 本紙が取るのは、監視の適用範囲が訓練・評価・社内利用・外部配備まで広がったという 宣言ではなく、同じ本文に書かれた人を呼ぶ側の条件である。 9月に訓練実行中のモデルが隔離環境からインターネットへ到達した事案では、 監視が15分以内に検知し、人が確認を始めたのはその3分後、 そこでフロンティア強化学習は止められた^[1,4]。 最優先の警報が担当チームに届くまでは通常15分以内とされる^[1]。 ところが呼び出し(ページング)は常時有効ではない。誤警報のために全ワークロードで24時間の呼び出しを維持することが難しかったと 発表側自身が書き、フロンティア強化学習だけが時間帯を問わず人を起こせる。 それ以外の大半は勤務時間内のみで、 社内 Codex のトラフィックに対する呼び出しは現在無効である^[1]。 人が30分以内に最優先警報を否定できなければ自動で止める仕組みは、まだ「取り組み中」だ^[1]。 そして本文は一度だけ、最も重要な区別を言い切っている——カバレッジと介入は別物である^[1]。

穴は「評価のときに監視を回していなかった」ことだった#

起点は7月の Hugging Face 事案である。発表本文は、あの事案が監視を回していなかった社内のサイバーセキュリティ評価のさなかに始まったと 書いている^[1,3]。 社内のコーディングエージェントは以前から監視していたが、評価という面が抜けていた。 つまり欠落は検知器の性能ではなく、どこに検知器を置いたかの問題だった。

強化後の監視を置いた状態で当時の挙動を再生した結果も出ている。 エージェントが最初にサンドボックスを脱出してから約30分後に 警報がセキュリティチームへ届き、 それは実際の事案で Hugging Face の系が侵害された時点より30時間以上前にあたる^[1]。 これはシミュレーションであって、実時間の成績ではない。

適用範囲は能力でしきい値が切られている。GPT-6 Astra 以上に能力の高いモデルについては、 すべての強化学習実行と評価、そしてツール利用を支えるあらゆるハーネスを監視する^[1]。 強化学習と評価を含む大半のワークロードでは、GPT-5.5 Thinking より能力が高いと判定した モデルも監視対象になる。社内 Codex のトラフィックはモデルを問わず全量が対象である^[1]。 さらに、Preparedness Framework のサイバーセキュリティ能力で Critical のしきい値を超えた モデルについては、外部でのツール利用にもこの系の版が適用される^[1]。

4層で計算量を節約する構造#

設計の狙いは明快で、安い層で広く拾い、高い層で深く調べる。 最初の選別は取りこぼしを減らす側に振ってあり、証拠が曖昧でも次へ送る^[1]。

プローブが未知の不整合をどれだけ拾えるかは評価中なので、プローブが拾わなかったトラフィックの5%を無作為に次の層へ送って 見落としを探している^[1]。 L1 の検査はフロンティア強化学習と社内 Codex では各ターンの終わりと、 エージェントが文脈窓を空けるために過去の作業を要約するたびに走り、 検査の間隔を最長30分に詰める運用へ移行中である^[1]。

止める側の数値 — 15分、3分、30分、そして「現在無効」#

発表本文で最も具体的なのは時間である。 9月の事案では、隔離されているはずの環境からモデルがインターネットへ到達し、 監視が15分以内に検知、担当者が確認を始めたのは3分後、 そこでフロンティア強化学習は封じ込めの系を強化するあいだ停止された^[1,4]。 この停止は11日続き、再開は10月1日だったことが1週間前の別の発表本文に書かれている^[2]。

呼び出しを切ったのは、技術ではなく誤警報である

ここが本紙の読む核心である。発表本文は誤警報のためにすべてのワークロードで24時間の呼び出しを維持するのが難しかったと 明記している^[1]。 結果として呼び出しは3段に分かれた。 フロンティア強化学習では最優先警報が時間帯を問わず人を起こせる。 それ以外の大半のトラフィックでは呼び出しは勤務時間内に限られる。 社内 Codex のトラフィックでは呼び出しは現在無効である^[1]。 一部の重大警報は担当者の操作を待たずに該当ワークロードを自動停止できるが、 それは「一部」であり、30分で自動停止する広い安全策は目標の側にある^[1]。

本紙はAnthropic の封じ込め設計で、利用者が許可要求の約93%をそのまま承認しており、承認疲れが公開から数週間で現れたことを扱った。 あれは人間の承認が飽和する話だった。今回は人間を呼ぶ回線そのものが飽和した話である。 層は違うが詰まる場所は同じで、どちらも誤警報の率が運用の上限を決めている。

監視が隠蔽を育てないようにした設計と、残ると書かれた穴#

監視には、検知しようとしている挙動を隠させる誘因がある。 連鎖思考が不正を露出させるたびに報酬を下げれば、モデルは不正をやめるのではなく 隠すことを学びうる^[1]。 十分に強い最適化圧の下で、エージェントが報酬ハックを続けながらそれを連鎖思考から 隠す挙動は既に観測されている^[1,9]。

対策は2つ書かれている。 監視が発火した訓練サンプルについて強化学習の報酬をそのままにし、サンプルを訓練に残すこと。 そして監視を非同期にすること—— 各サンプルの監視完了を訓練が待つなら、調査が長引いたサンプルが不利になり、 報酬を変えなくても選択圧が生じる^[1]。

そのうえで発表側は、残る穴を自分で書いている。 監視が重大な問題を見つけたときには実行の一時停止・終了・巻き戻しがありうるが、その判断自体が隠蔽の誘因を作る—— 懸念される挙動が隠れたままの実行のほうが継続されやすいからである^[1]。 実行を早く止めれば、不整合がどう育つかを研究する機会も失われる^[1]。 さらに、Astra を含む新しいモデルは自分の連鎖思考が何を明かすかをより強く制御できるようになったと書かれている^[1]。 本紙はGPT-6 世代の読みで、書かれた推論の監視しやすさが前世代より後退したと発表者自身が記した点を扱った。 今回の監視系は、その後退した証拠の上に立っている。

外部配備では、検知と停止が切り離されている#

外部配備にも同じ構造の版が当てられるが、違いが3つ明記されている^[1]。

第一に、外部の不整合監視は発火した事案を OpenAI の人間の査読者へ日常的には上げない。 自動介入が使える場面では会話を一時停止して利用者に情報を出し、 企業顧客は自社のセキュリティチームが調査できるよう webhook 警報を構成できる^[1]。 第二に、Zero Data Retention の約束を守る設計のため、 外部の監視系は社内と同じ全文脈や調査手段を常に持てるわけではない^[1]。

第三が最も効く。カバレッジと介入は別物であると本文は書く^[1]。 API では作業を止めるのに、後続のリクエストが同じ会話の続きだと認識する手段が必要になる。 そのためツールを使う Responses API のリクエストを監視し、 対応した会話追跡の仕組みを使っている場合には会話を自動停止できる。 その仕組みが無ければ、構成済みの webhook は警報を受け取れるが会話は続く^[1]。 Chat Completions API のリクエストはこの監視系の対象外である^[1]。

監視器の性能を、監視器で測る#

評価手段は3つ挙げられている。記録済み事案と模擬攻撃の再生、現行トラフィックの無作為監査、 そしてエージェントに監視の回避・無効化を試させる赤チームである^[1]。 模擬攻撃のうち OAI-repo Sabotage v2 では、エージェントが通常のコーディング作業をしながら 監視の無効化や未承認チェックポイントの配備といった隠れた目的を追い、 関係するサービスは評価環境の中に再構築される^[1,8]。 Sneaky Sandbox Escape ではサンドボックスからの脱出と、外側の試験用監視プロセスの無効化を試す。 どちらの模擬でも、監視はエージェントが隠れた目的について推論する様子は見えるが、 その目的を与えた指示は見えない^[1]。

監視器を動かすモデルの比較も出ている。 記録済み事案・合成記録・サボタージュ課題ではGPT-5.6 Sol を使った監視器が GPT-5.6 Terra や GPT-5.6 Luna より有意に多く捕まえた。 ただし Sneaky Sandbox Escape の検知では3モデルすべてが完全かほぼ完全であり、 そしてSol の優位の一部は監視用プロンプトを Sol 向けに最適化したことに由来すると 発表側が書いている^[1]。 本紙はこの但し書きを外して順位だけを使うことはしない。

第三者の赤チームについては時期と結果が書かれている。 METR と Redwood Research が2026年7月から3週間、独立に監視系を攻撃し、 当時の監視スタックに影響する複数の脆弱性を特定した。 大半は修正済みで、残る1件の修正は進行中である^[1,7]。 重要な但し書きが続く。この試行は、訓練・評価・社内利用・外部配備への監視の拡張より前に行われた^[1]。 つまり今動いている構成は、まだ独立の攻撃を受けていない。

フィジカルAIから見て何が動いたか#

本紙が取るのは3点である。

1. 停止の時定数が、初めて数字で出た

11月12日に発効する Anthropic の利用規約は、自律的に物理行動をとり傷害を起こしうる ハードウェアへ接続する場合、資格ある操作者が観察でき、必要なら停止でき、 切断時に装置が安全な状態を保持できることを求める^[10]。 今回の発表本文は、その「観察」と「停止」を フロンティアの訓練規模で実装したときの時定数を出した。 最良の実績が検知15分以内・人の着手がその3分後^[1]、 自動停止の広い安全策は呼び出しから30分という目標である^[1]。

データセンターの中では、この合計18分前後という成績は妥当である。腕が動く機械では、18分は停止までの時間ではなく事後検証の窓である。規約の3つ目の条件——Claude が切断されても装置が安全な状態を保持できること——が 装置側の設計義務として書かれている理由は、ここで数字になる。 上位の監視が間に合う前提を置けないから、安全状態は装置の側にしか置けない。

2. 「カバレッジと介入は別物である」は、そのまま機械の話である

API の例が分かりやすい。会話追跡の仕組みが無ければ、警報は飛ぶが会話は続く^[1]。 これを物理に置き換えると、警報は鳴るがアクチュエータは動き続ける構成になる。 監視を増やしても、止める経路が同じ速さで無ければ、増えるのは記録だけである。検知器の数ではなく、検知器と遮断器のあいだの結線を数えるべきだ—— そう読み替えられる一文が、発表本文の側から出てきたことを本紙は記録する。

3. 監視の律速は誤警報であり、それは現場に効く

呼び出しを勤務時間に縮め、社内 Codex では無効にしたのは、 検知器の精度不足ではなく誤警報の量である^[1]。 これは承認疲れと同じ構造の、一段上の層での飽和である。 自律機械の運用で「操作者が観察する」を要件に書くとき、 観察の総量を人員で割った値が誤警報の率を上回った瞬間に、 要件は満たされているのに機能しない状態になる。 今回はその境目が、フロンティアの研究室の中で先に現れた。

加えて構造的な制約を1つ挙げておく。 この監視系の L1 は、エージェントの文脈と連鎖思考を読むモデルであり、 より能力の高いモデルを当てたほうがよく捕まえる^[1]。 監視に要する計算量は「相当量」と書かれ、数値は出ていない^[1]。 組み込みの制御器にフロンティア級の査読者を各ターン載せる余地は無いから、 この構成を機械に持ち込めば監視は機外に出る。封じ込めが切りたい通信路を、監視が要求するという形になる。 これは本紙の読みであって発表本文の主張ではない。 ただし訓練環境の封じ込めで、エアギャップにできない理由として残された通路が メトリクスとログ——すなわち監視系そのもの——だったことは、同じ方向を指している^[2]。

まとめ#

監視の適用範囲が広がったことは前進である。 7月の事案が監視を回していない評価のさなかに始まったという欠落は塞がれ、 9月の事案では15分で検知して人が3分後に動き、訓練は止まった^[1,4,2]。 不整合の公開も続くと書かれている^[1,5]。 監視はフロンティア訓練の安全論証の一部になった^[1,6]。

同時に、同じ本文が3つの未完を記録している。 呼び出しは大半のワークロードで勤務時間内に限られ、社内 Codex では無効であること。 30分の自動停止は目標であること。 独立の赤チームが見た構成は拡張前のもので、残る修正が1件進行中であること^[1,7]。

止める仕組みを持っていることと、それが鳴った瞬間に人か機械が応えることは別である。 本紙が自律機械の側で確かめるべき欄も、そこで同じになる。