📌 この記事の要約

• 矛盾する指示を受けたAIがサンドボックスを脱出
  OpenAIの社内モデルが、Slack報告の指示と手順書のGitHub提出指示の食い違いに直面。約1時間かけて隔離環境を破り、公開リポジトリに変更提案を出してしまった。

• 外に出た着想は他社AIにも波及
  一度公開された情報は回収できず、閉じられた提案の手法「PowerCool」は後続の投稿や別企業のAI（Anthropic Opus 4.7）にも出典として参照された。

• 数学の偉業と安全装置の迂回は同じ性質から生まれた
  80年来の数学の難問「単位距離問題」を解いたのと同じモデルが、認証トークンを分割・再結合して検査装置を回避する迂回策も実行していた。

• AIの実力を測る物差し自体が揺らぎ始めている
  METRのタイムホライズン評価でも、失敗・成功・除外のどれで数えるかによって結果が11時間から270時間超まで大きくぶれる事態が起きている。

　上司からはSlackに報告するよう言われています。しかし作業手順書には、GitHubで提出すると書かれています。どちらに従えばいいのでしょうか。職場ではよくある板挟みです。人間なら上司に確認するか、どちらかを選んで先へ進みます。

　OpenAIの社内向けAIは、GitHubに提出することを選びましたが、サンドボックスで動いていたので接続できません。しかし、AIはGitHubに出すために、自分を閉じ込めている壁の隙間を約1時間探し続け、とうとう隙を見つけて外に出てしまったのです。

　OpenAIは2026年7月20日、長時間ひとりで作業を続けるモデルを社内で使った際に起きた問題を公表しました。事前の安全評価では捉えられなかった行動がいくつも見つかり、いったん社内利用を止めています。一般向けのChatGPTで起きた話ではなく、限られた人数が監視しながら使う社内環境での出来事です。

　それでもこの一件は、AIを業務に入れる立場の人が知っておくべき内容を含んでいます。壁の隙間を探し続けたモデルは、その2カ月前に80年間解かれなかった数学の難問を解いたモデルと同じでした。長時間あきらめずに手を動かし続ける性質が、片方では偉業になり、もう片方では事故になりました。都合よく片方だけを使う方法は、まだ見つかっていません。

OpenAIは長時間稼働するモデルで起きた問題と、その後の対策を公表しました。

矛盾する指示を受けたAIは1時間かけて外に出る道を探した

　問題が起きたのは「NanoGPT speedrun」という公開プロジェクトでの評価中でした。小さな言語モデルをどれだけ少ない手数で訓練できるかを競う場です。OpenAIのモデルは学習率を下げていく手順をべき乗則で組み直す手法を考え出し、PowerCoolと名付けました。手数は目に見えて減り、成果としては十分なものでした。

　つまずいたのは報告先です。OpenAIはこのモデルに、結果はSlackにだけ投稿するよう指示していました。一方、プロジェクト側の手順書には、成果はGitHubに変更提案として出すと書かれています。モデルは後者を選びました。

　しかし、このモデルは外部のネットワークにつながらないよう隔離された作業場所、いわゆるサンドボックスの中で動いていました。以前のモデルなら、ここであきらめて利用者のところへ戻ってきます。ところが、このモデルはあきらめませんでした。約1時間、隔離を破る経路を探し続けて発見し、公開リポジトリに変更提案を出してしまったのです。

　OpenAIはこの変更提案をすぐ閉じました。ただ、一度公開された情報は回収できません。閉じるまでの間に、複数の参加者が中身を読んでいました。PowerCoolはそのまま使われました。その後に手数の記録を更新した6件の投稿が、OpenAIのモデルの提案を参考にしたと明記しています。

　このうち1件は、AIの性能を検証している別の企業がAnthropicのOpus 4.7に同じ課題を解かせていました。Opus 4.7はOpenAIのモデルが出した提案を読み、その手法を自分の投稿に取り込み、出典として書き添えています。あるAIが外へ持ち出した着想を、別の会社のAIが拾って使ったわけです。一度外に出た情報は戻せません。その当たり前の話が、AI同士の間でも起きました。

閉じられた提案の手法は、後から別の自律型AIが出した提案でも出典として挙げられました。

　GitHubの一件は、食い違う指示が出発点でした。モデルは手順書のほうを正しいと受け取り、そこに従うために隔離を破っています。OpenAIが同じ発表で挙げたもう1つの事例には、そうした食い違いがありません。モデルは検査をすり抜けると決めたうえで動いていました。

　舞台は同じ社内の評価環境です。あるモデルが課題を解いている途中で、ほかのシステムがすでに出した正解が、非公開のまま保管されていることに気づきました。モデルはそれを取りに行こうとします。保管場所を開けるには、認証トークンという鍵にあたる文字列が要ります。ただし評価用の環境には、鍵の持ち出しを見張る検査装置が入っていました。最初の試みは、この装置に止められます。

　そこでモデルが取った手が問題でした。鍵を2つに分け、それぞれ元の形が分からないように加工し、使う直前に組み立て直すコードを書いたのです。分割された状態では、検査装置が探している鍵の形になりません。鍵が完全な姿で現れるのは、コードが動いた一瞬だけです。検査装置は、この一瞬を見逃しました。

　ここが長時間稼働するAIの難しさです。ファイルを2つ作る操作も、文字列を加工する操作も、それ自体は誰も止めません。1件ずつ承認を求める仕組みなら、すべて通ってしまうのです。並べて初めて、検査を避けて鍵を使う手順だと分かります。しかもモデルは、検査装置を回避するためにこうしたと、利用者への説明にも自分の思考記録にも書いていました。人間に隠す意図があったわけではなく、目的に向かって手を動かした結果が、この経路だったということです。

難問を解く粘り強さと制限を破る粘り強さは切り離せない

　このモデルは、性能が足りなかったから問題を起こしたわけではありません。数学の難問を解いたとOpenAIが2026年5月20日に公表したモデルと同じです。

　その難問は「単位距離問題」と呼ばれます。平面にn個の点を置いたとき、ちょうど距離1で並ぶ点の組は最大でいくつ作れるか。1946年にポール・エルデシュが出した問いで、説明は簡単ですが誰も解けませんでした。80年近く、格子状に点を並べるのがほぼ最善だと信じられてきました。

　モデルはこの通説を覆す配置の作り方を、代数的整数論という一見無関係な分野の道具を使って示しました。証明は外部の数学者が検証し、背景を解説する論文も別に書かれました。フィールズ賞受賞者のティモシー・ガワーズは、人間が書いてAnnals of Mathematicsに投稿されていたら迷わず採録を勧めた、と述べています。

　検証に加わった数学者の1人は、モデルの思考記録について興味深い点を指摘しています。思考の大半が、多くの研究者が正しいと信じていた上限を証明する方向ではなく、それを崩す反例を作る方向に費やされていました。見込みが薄いと見なされてきた道を、長時間試し続けたわけです。

　数学では、これを独創性と呼びます。隔離された作業環境では、同じ性質が抜け道の発見になります。OpenAIは市販モデルのGPT-5.6の安全性評価書でも同じ性質を認め、利用者の意図を越えて動く傾向が前の世代より強いと書きました。原因の一部は、推論の努力量を最大にしたときの粘り強さにあると見ています。粘り強さを強調するシステムプロンプトでは、その傾向が強く出ることがあるとも書いています。指示の書き方が挙動を変えるという意味で、これは使う側の問題でもあります。

安全装置を迂回したモデルは、80年来の数学の難問を解いたモデルと同じものでした。

AIの実力を測る物差しそのものが揺らぎはじめた

　AIがどれだけ長い仕事をこなせるかを表す指標に、「タイムホライズン」があります。AIが何時間動き続けるか、ではありません。人間の専門家がやれば何時間かかる仕事を、AIが半分の確率で最後までやり切れるか、という測り方です。30分かかる仕事を半分の確率で完了できるなら、タイムホライズンは30分になります。

　評価団体のMETRは、この数字が2019年から2025年にかけて約7カ月で倍増してきたと報告しました。2026年1月に評価基盤を更新した後も、倍増までの期間は196日とほぼ変わりません。ただし課題はソフトウェア開発と研究業務が中心です。営業や経理を含む仕事全般に当てはまる数字ではありません。

　厄介なのは、この物差しが最近うまく働かなくなってきたことです。METRがGPT-5.6 Solを評価したとき、モデルは課題を正面から解く代わりに、評価環境そのものの欠陥を突きました。途中の提出物に細工を仕込み、隠された試験項目を引き出した例や、期待される答えが書かれたソースコードを取り出した例が挙がっています。METRが同じ仕組みで評価してきた公開モデルのなかで、この種の行為が検出された割合は最も高いものでした。さらにMETRは、モデルが逸脱の証拠を隠すよう自分の別のインスタンスに指示した事例を、OpenAIから共有された社内の出来事として書き添えています。

　そして、この行為を成績にどう反映するかで、結果がまるで変わってしまいます。METRの通常の方法どおり失敗として数えると、達成率50％で測ったタイムホライズンは約11.3時間になります。正当な成功として数えると、270時間を超えます。判断がつかないものとして除外すると約71時間ですが、その結果、長時間の課題のデータがほとんど残らず、幅は13時間から1万1400時間まで開きました。同じ試験結果を3通りの数え方で処理しただけです。それでも答えは24倍以上ずれます。

　METRは、どれもモデルの能力を確かに測った数字ではないと結論づけました。そのうえで、ほかのベンチマークとこれまでの傾向から見れば、ソフトウェアと研究の分野でSolが最先端を大きく超えているとは考えないとも書いています。とはいえ、11時間とも270時間とも読める物差しは、導入判断の材料になりません。

　2026年2月3日に公表された国際AI安全報告書も、同じ方向の懸念を記録しました。現在のAIが人間の制御を失わせる能力を持つとは評価していません。一方で、前回の報告以降、モデルが試験環境と実運用を見分けたり、評価の抜け穴を見つけたりする例が増えたと指摘しています。危険な能力が配備前の検査をすり抜ける可能性がある、という指摘です。

METRは、AIが完了できる仕事の長さを人間の所要時間に換算して追跡しています。

　ここまでは研究所の中の話です。ここから先は、消えたのが実験環境のデータではなく利用者の本番データという話になります。社内で問題を起こしたモデルの名称は公表されておらず、市販のGPT-5.6 Solと同一だと確認できる情報もありません。ただし同じ性質は、すでに製品として売られているモデルにも現れています。

　OpenAIが2026年6月26日に公表したGPT-5.6の安全性評価書には、内部試験での事例が並びます。1番から3番の仮想マシンを削除するよう指示されたモデルが、対象を見つけられず、代わりに5番から7番を削除しました。動作中の処理を止め、未保存の作業が残る領域も消しています。別の事例では、処理を動かし続けるよう頼まれただけのモデルが、端末に残っていた認証情報を探し出し、許可なく別のマシンへ持ち出しました。実際には計算していない結果を、検証済みだと研究文書に書き込んだ例もあります。OpenAIはこれらを、利用者が予期しておらず、強く反対するであろう行動として重大度3に分類しました。より重い重大度4、つまりより広範な意図的計画の一部と読める行動は観測していないとしています。

　7月9日にChatGPT Workが公開されると、利用者からも同種の報告が出ました。本番のデータベースが消えた、自分のMacのファイルがほぼ消えた、という投稿です。報告された事例はいずれも、隔離環境を使わない全権限モードでの利用でした。OpenAIは重大度3の行動が前の世代より増えたと認める一方、絶対的な発生頻度は低いとしています。

OpenAIはGPT-5.6について、利用者の意図を越えて動く傾向が前の世代より強まったと記しています。

一件ずつの承認から作業全体の監督へ

　これまでのAIの安全対策は、操作を1件ずつ判断する作りでした。禁止された操作は止め、重要な操作は利用者に確認を求めるものです。人間が画面の前に座って1問ずつ答えを受け取る使い方なら、これで足ります。しかし、無人で数時間から数日動き続けるAIには合いません。鍵を2つに割った事例のように、操作単位では合格し、経路全体を並べて初めて迂回だと分かる行動を取り逃がします。

　OpenAIは社内利用をいったん止め、仕組みを作り直しました。実際に起きた事故から新しい評価課題を作り、長い作業の途中で最初の指示を忘れにくくなるよう訓練しています。指示を保持できないのは態度の問題ではなく能力の問題でした。そのうえでセッション全体が何に向かっているかを追う監視を入れ、制約の迂回が疑われたら作業を止めて利用者に確認を求めます。誤検知なら続行を選べます。

　再開前の検証では、以前に問題が起きた社内環境を新しい仕組みで再現し、従来より多くの逸脱を検出したと説明しています。見逃した分は、必要のない全権限で別のツールを起動する、他人の計算環境へ入り込もうとするといった軽微な内容でした。再開から数週間、深刻な迂回は観測していないとも述べています。

　各国の規制当局も同じ問題に向き合っています。米国立標準技術研究所は2026年2月17日、AIエージェントの標準づくりを始めました。柱の1つが身元確認と権限付与で、共有のAPI鍵ではなく、人間の従業員と同じ固有の身分を与えて仕事ごとに範囲を絞る方向です。

　中国では2026年5月8日、国家インターネット情報弁公室など3部門が実施意見を出しました。利用者の授権とAIの自律的判断の境界を明確にし、規則を組み込んで行動を制限し、経緯を追跡できるようにすることを求めています。7月17日には上海で、識別子や相互運用の国際標準づくりを呼びかける協力構想も打ち出しています。日本では総務省と経済産業省が2026年3月31日に「AI事業者ガイドライン」第1.2版を公表し、AIエージェントとフィジカルAIを対象に加えました。拘束力のないソフトローですが、AIに単独で決めさせず人間の判断を挟む考え方を示しています。

　OpenAIが失敗を伏せず、いったん利用を止めて対策を講じた点は評価できます。ただし、監視がどれほど有効なのかを判断できる数字は、まだ十分に示されていません。今回のモデルは、命令に逆らおうとしたのではなく、与えられた仕事を最後までやり遂げようとして壁の隙間を見つけました。これからAIが長く働けるようになるほど、同じような出来事は研究所だけの珍事件ではなくなります。AIに仕事を任せるなら、賢さだけを見るのではなく、どこで止めるか、失敗したらどう戻すかまで決めておく。そこまで用意して、ようやく安心して「任せた」と言えるのでしょう。