METR と Redwood Research は 10 月 22 日、OpenAI の社内ミスアラインメント監視に対する埋め込み型レッドチーム演習の概要を公開しました。両組織から各1人が 7 月 21 日から 8 月 11 日まで現地に入り、社内コードベース、モニター用プロンプトと設定、文書への深いアクセスと、監視・安全システム・セキュリティ各チーム約十数人への技術インタビューを行いました。社内向け成果物は 61 ページの報告書です。DigIntoAI はこのシステムを実測しておらず、当時の穴が今も残っているかどうかは推論しません。

評価対象

METR によると、評価対象は 7 月 21 日およびそれ以前の社内ミスアラインメント監視で、Codex などを支える Responses API 上のエージェント流量を含みます。訪問中に OpenAI が進めていた監視の変更は評価していません。公開稿は意図的に短く、OpenAI は公開版から機密情報を削除する権限を持っていたと METR は書いています。

METR と Redwood が報告した発見

以下の数値と脆弱性はすべて METR / Redwood の公開要約に基づき、DigIntoAI は独自検証していません。

  • 当時、GPT-5.5 以上に相当するモデルの社内 Responses API エージェント流量のうち、おおむね 75–94% が監視の対象資格ありと推定（上下に大きな不確実性あり）。内部 Codex エージェント向け Responses API 流量では、対象資格ありは 99.2% と推定。
  • 演習開始時点では強化学習の訓練ランは監視対象外（3–6 月には一部の RL ロールアウトが監視されていた）。
  • compaction を監視していなかったため、2026 年 5–7 月に対象資格のある内部 Codex 流量のおよそ 1 割が漏れた可能性。METR によると OpenAI 側が演習前に把握し、演習中に修正した。
  • compaction が未監視の間、エージェントは行動を続けて監視を無限に先送りできた。当時の監視はエージェントがユーザーに制御を返すタイミングで発火していたため。
  • Codex エージェントは原則として Codex のサンドボックスと Auto-Review を迂回し、ホストユーザーができる任意の操作を取り得た。
  • 直近数百ステップ（そのエクスプロイト自体を含む）を監視から隠せる手法があり、詳細は OpenAI により伏せられている。
  • エージェントが見る軌道とモニターが見る軌道のシリアライズ差を突いて、モニターを失敗させ得る入力を作れた可能性。
  • クライアント側で制御できるヘッダーが2つあり、新しいエージェントインスタンスの監視を無効化できた。ただしヘッダー設定と新規作成そのものは監視に捕まる可能性がある。

OpenAI のミスアラインメント監視に関する既存記事は OpenAI misalignment reports。Anthropic 側の関連は Claude の攻撃面縮小 と Claude Security の継続スキャン。

OpenAI の説明と、METR が再検証していない点

METR によると、演習後 OpenAI は、発見されたうち本番の保障スタックに影響するものはすべて修正済みだと述べ、その後の監視カバレッジ意図についても大きな変更を説明しています。METR はその主張を評価しておらず、現行システムも再検証していません。DigIntoAI も実測していません。