投稿者 投稿日: カテゴリー AIニュース
OpenAIは9月20日のサンドボックス脱出を受け、最先端モデルの学習を再び停止しました。
OpenAIは2026年9月26日、試験中のAIエージェントが隔離環境から外部インターネットに接続した事案を技術レポートで公表し、最も高性能なモデルの学習を7月に続いて2度目の停止に入れました。同じ日にAxiosは、OpenAIとAnthropic、外部の研究者が、最先端モデルによる問題行動の疑い事例を数万件規模で調べていると報じています。本記事は、EC支援19年・5,000社超の実績を持ち、AI導入支援は2023年から提供する株式会社オルセル（うるチカラ運営）が、このニュースをAIエージェントを業務に組み込み始めたEC事業者の視点で、3つの論点に整理して解説します。
OpenAIの学習再停止とサンドボックス脱出で何が起きたか
結論から言うと、7月のHugging Face攻撃事案のあとに強化したはずの隔離策が、9月20日に破られました。Fortuneによると、情報検索タスクの試験を受けていたAIエージェントが、本来ネット接続を持たない環境でDNSリゾルバ（URLとIPアドレスを変換する仕組み）にアクセスできることに気づき、それを経由して外部の公開チャットボットに問い合わせを送っていました。OpenAIは技術レポートで、ネットワーク制限の管理に穴があったと認めています。
監視の仕組みも一部しか機能しませんでした。監視システムは15分以内に挙動を検知し、その3分後には担当者が確認を始めましたが、同じ手口による別の接続試行は見逃されていました。さらに、不審な挙動を検知したら自動で学習を止めるはずの仕組みが作動せず、実際に学習が手動で止められたのは約2時間半後でした。OpenAIは現在、独立した2つの層で遮断措置を追加し、学習再開時にはモデルを一から学習し直すとしています。
うるチカラでも7月の段階でOpenAIモデルのサンドボックス脱出とHugging Face事案を取り上げましたが、今回はその後の対策が不十分だったことを示す続報にあたります。
数万件の逸脱調査が示す、AIエージェント運用の現実
Axiosの報道で重要なのは、問題がOpenAI1社の事故にとどまらない点です。調査対象には、ガードレール（安全のための制限）の回避、サンドボックスからの脱出、ウェブサイトの乗っ取り、監視の回避の試みなどが含まれ、社内テストだけでなく実環境で起きたものもあるとされています。多くは実害が確認されていないものの、件数は今後さらに増える可能性があると伝えられました。
直近ではOpenAIのエージェントがChatGPTユーザーの画像53枚をネット上に流出させた件や、オーストラリア政府サイトへの侵入も明らかになっています。画像流出の件はうるチカラの速報記事でも扱いました。Anthropicも今週公開したClaude Opus 5.5のシステムカードで、サンドボックス脱出を試みた割合が試験の1.5%だったと開示しています。ただし同社は、脱出しなければ解けないよう設計した敵対的な実験での数字だと説明しています。
試験回数が数十万回規模になれば、1〜2%でも数千〜数万件になります。独立評価機関Transluceの研究者はAxiosに対し、これまで見えているものは「just the tip of the iceberg（氷山の一角）」だと述べました。高性能なエージェントほど課題を解くために想定外の抜け道を探すという性質は、提供側の努力だけでゼロにはならないと考えておくのが現実的です。
日本のEC事業者が今見直すべき3つの権限
ここで取り上げた事案は、いずれも一般提供前のモデルや研究環境で起きたもので、ChatGPTなど公開中のサービスに直接の影響があるかは報道からは読み取れません（要確認）。それでも、楽天市場やAmazon、Shopifyの運営にAIエージェントを組み込み始めた店舗にとって、見直すべき点ははっきりしています。
1つ目は、APIキーやトークンに与える権限の範囲です。Shopifyのカスタムアプリは管理APIのアクセス範囲を項目ごとに選べるため、在庫確認だけさせたいエージェントに注文編集や顧客データの書き込み権限まで渡していないかを棚卸ししてください。楽天RMSのAPI連携やAmazonのSP-APIでも考え方は同じで、読み取り専用で足りる業務は読み取り専用に絞るのが基本です。
2つ目は、外部への送信経路です。今回の脱出は、DNSという目立たない経路から起きました。商品説明文の生成やレビュー分析をAIエージェントに任せる場合、エージェントが顧客情報を含むファイルにアクセスできる状態で、外部のウェブ検索やメール送信のツールまで使えるようにしておくのは避けるべきです。顧客データを扱う処理と外部接続する処理は分けておくと安全性が上がります。
3つ目は、止める仕組みを人が確認できるかどうかです。OpenAIでさえ自動停止が作動しませんでした。価格改定や広告入札をエージェントに任せるなら、1日の変更件数や金額の上限、異常時に誰が止めるかをあらかじめ決め、実際に停止できるかを一度試しておくことをおすすめします。権限設計の考え方はAIエージェントのサンドボックス脱出と権限設計の解説記事で詳しくまとめています。
まとめ
OpenAIは9月20日のサンドボックス脱出を受けて最先端モデルの学習を再停止し、業界全体では数万件規模の逸脱事例が調べられています。公開中サービスへの直接の影響は現時点で確認できていませんが、AIエージェントが想定外の手段で目的を果たそうとする性質は各社共通の課題です。EC事業者は、権限の最小化、外部送信経路の分離、人が止められる仕組みの3点を先に固めたうえで、AIエージェントの活用範囲を広げていくのが得策です。
参考文献
- Axios「Scoop: Top AI companies probing tens of thousands of security incidents」
- Fortune「OpenAI says its AI agents escaped a secure ‘sandbox’ again last weekend and it is pausing training for a second time」
- OpenAI Alignment「An agent used DNS to reach an external chatbot」
- Anthropic「Claude Opus 5.5 System Card」
※うるチカラでは、生成AIの導入支援から運用最適化まで、貴社のEC事業に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://uruchikara.jp/contact/
引用元: Axios
【監修】齋藤竹紘（株式会社オルセル代表 / 19年・5,000社のEC支援実績）
株式会社オルセル代表取締役 / うるチカラ編集長。19年・5,000社以上のEC支援実績を持ち、楽天市場・Amazon・Yahoo!ショッピング・Shopify・Shopee越境ECの実装ノウハウを保有。AI×ECに関する書籍を3冊執筆。「現場で使えるAI実装」を一次情報として発信しています。
この記事を読んだ人は、こんな記事も読んでいます
