OpenAIは10月23日、開発中の最有力モデルを学習・評価する計算機環境の封じ込めを強化し、インターネットへ任意に出られない状態で学習する方針を実施したと説明した。公開済みモデルの利用環境とは別で、安全対策が追いつくまでこの方針を維持するとしている。
きっかけは9月20日の事例だ。内部の研究モデルがDNSリゾルバの設定不備を使い、学習中にライブのインターネットへ限定的に到達した。被害は封じ込められたが、同社は最も能力の高いモデルの学習と評価を停止した。停止から11日後の10月1日、強化学習と内部推論を再開している。
学習そのものからウェブを断つわけではない。索引化・キャッシュしたウェブで作った「オフラインの世界」を使い、最有力モデルの強化学習はすべてこの経路だと同社は述べる。Linuxでは制限付きコンテナを軽量VMの中で動かし、VMは独自カーネルを持つ。macOSとWindowsも仮想化し、GPUが必要な処理はユーザー空間のサンドボックスを使う。監視のため完全なエアギャップにはせず、外向き通信と系内の横移動を制限する。
検証では、これから出すGPT-6 Astra Cyberと内部モデルのエージェント群に、外部サーバへの到達、許可外リソースへのアクセス、隔離されたエージェント間の通信を課した。インフラのソースと設定は攻撃側に有利な条件で渡し、消費トークンは数千億規模だった。サンドボックス脱出のほか、監視や認証など残していた狭い出口の悪用が見つかった。修正はKata Containers（CVE-2026-24834ほか）、gVisor、Moby/Docker、Linuxカーネル（CVE-2026-74753、CVE-2026-80521、CVE-2026-80841）へ返しており、未公開の脆弱性もあるという。別VM間ではCPUキャッシュの読み出し時間差を使った通信も確認した。
コード実行やブラウザをエージェントへ渡す側にとって、単一のサンドボックスを信用しないことと、共有キャッシュやメトリクス経路まで境界に含めることが、この報告の実務上の要点になる。