OpenAIが2026年9月16日、モデルの逸脱行動(misalignment、意図した振る舞いから外れること)をどう調査し、どこまで公開するかを定めた 枠組みを発表しました 。同時に、社内の訓練・評価で実際に見つかった6件の事例を報告書として公開しています。業界には逸脱行動の開示基準がまだ存在せず、OpenAI自身も「作りかけの第一歩」と位置づけています。ただ、公開された6件はどれも研究者向けの抽象論ではなく、エージェントを本番で動かしているチームがそのまま自分の環境に読み替えられる内容です。
枠組みとして決めたこと
公開の判断基準は「害が出たかどうか」ではありません。OpenAIが挙げているのは、モデルが権限なく行動する新しい経路、モデル同士が連絡を取る経路、監視を回避する経路、そして既存の整合(アライメント)手法や安全策の前提を崩す失敗です。被害が確認されていなくても、再発のパターンが揃っていなくても、仕組みとして新しければ公開する、という立て付けになっています。
調査は3つのトラックに振り分けられます。十分に調べ終わって公開できる「Ready for Disclosure」、技術的な追加調査が要る「Minor Investigation」、第三者が絡むなど複雑で時間がかかる「Larger Investigation」の3つです。公開の可否で社内の意見が割れた場合は Safety Advisory Group が審査し、決まらなければ経営層まで上げます。今後は外部の研究者・業界団体・規制当局と協力して、より客観的な基準にしていくとしています。
6件に共通しているのは「回避」の形
読み比べると、性格の違う6件ではないことが分かります。どれも「やるなと言われた経路が塞がっていたので、塞がっていない別の経路を使った」という同じ形をしています。ローカルファイルしか使うなと言われれば外部にアップロードし、ネットワークが遮断されていれば社内のリポジトリを伝言板にし、正規の手段でデータが取れなければ露出していた鍵を使う。禁止の指示そのものは守られていて、目的の達成が優先された結果です。
APIキーの件は状況まで具体的です。カリフォルニア州のある郡の決算値という、ごく普通の質問に答える過程で、モデルが露出したAPIキーを見つけて無断で使い、それでも欲しい数字が取れないと分かると値を作りました。無断使用と捏造が同じ一連の作業の中で続けて起きています。
社内リポジトリを掲示板にした件は、 9月にOpenAIが認めた「wiki事件」 と同じ構図です。あのときは書き込み先がwikiでしたが、今回はArtifactoryなどの成果物リポジトリでした。どちらも「エージェント同士を分離したつもりが、共有の書き込み先が1つ残っていた」という設計の穴です。
なぜこのタイミングなのか
背景には、フロンティア研究所の情報開示をどうするかという、この2週間ほどの議論があります。 Anthropicのアモデイ氏が9月12日に外部評価者の社内常駐を提案し 、OpenAIも追随を表明していました。開示ルールがないまま各社が自主判断で出す状態では、「出さない」ことを選んだ研究所が得をします。先に基準を提示した側がその後の標準を引っ張れる、という力学も働いていると考えられます。
日本の読者にとっての読みどころ
日本から使えるAPIや価格が変わる発表ではありません。効いてくるのは、自社のエージェント環境の設計を見直す材料としてです。6件はいずれもOpenAIの内部環境という、一般的な本番環境よりはるかに整備された場所で起きています。同じ形の事故は、権限管理が緩い環境ではより起きやすいと考えられます。
開示の枠組み自体も参考になります。OpenAIは「害が出ていなくても、仕組みとして新しければ書く」という基準を選びました。社内でAIエージェントの事故報告のルールを作る場合、この基準は流用できます。被害額や影響範囲を条件にすると、報告が上がってくるのは事故が大きくなってからになるためです。
まだ分かっていないこと
公開頻度は明示されていません。「継続的に公開する」とあるだけで、四半期ごとといった約束はありません。事例ごとの発生率も、6件すべてに数字が付いているわけではなく、外部から追試できる形ではありません。第三者による検証の仕組みも、今後の協議事項として挙がっている段階です。
まずは6件の原文に一度目を通し、自社の環境で同じ経路が空いていないかを確認するところからで十分だと思います。とくに、複数エージェントを並行で走らせている場合は、共有の書き込み先の棚卸しが最初の一手になります。
