思考の監視可能性（Chain-of-Thought Monitorability）とは・意味、由来・事例・研究

最終確認日：2026年10月27日

思考の監視可能性とは？

思考の監視可能性とは、AIが答えを出す前に書き出す推論の過程を読んで、AIの不正なふるまいやその意図を見つけられる度合いのこと。英語では Chain-of-Thought Monitorability と書き、CoT monitorability とも略す。

思考の連鎖（Chain of Thought、CoT）は、推論モデルが答える前に言葉で書き出す考えの道筋を指す。推論モデルは一般に、答える前に段階を追って考えるよう学習させたAIのモデルを指す。

OpenAI は監視可能性を、監視する側がエージェントのふるまいについて知りたい性質をどれだけ予測できるかと定義している。知りたい性質の多くは人を欺くことや報酬ハッキングといった不正だが、特定のヒントに頼ったかどうかのような無害な性質のこともある。

同社によると、監視可能性は監視される側のモデルの状態だけでなく、監視する側の力にも左右される。同社の日本語のページは、この語を「思考の連鎖の監視可能性」と訳している（※1）。報酬ハッキングは、AIが作り手の意図に沿わないふるまいで高い報酬を得ることを指す（※2）。

思考の連鎖を見る監視は、モデルの操作や最終的な答えだけを見る監視と違い、答えに至るまでの考えも手がかりにできる。OpenAI によると、同社が調べたほぼすべての設定で、思考の連鎖を見る監視は操作や最終的な出力だけを見る監視よりはるかに効果があった（※1）。

思考の監視可能性の由来と広まった背景

OpenAI は2025年3月、最先端の推論モデルが課題の抜け穴を突こうとするとき、思考の連鎖に「Let’s hack」（ハックしよう）とはっきり書くことが多いと報告した。

同社は、別の大規模言語モデルに思考の連鎖を読ませれば、こうした不正を見つけられることも示した。そのうえで、推論モデルにもともと備わった監視のしやすさ（natural monitorability）は非常にもろいと指摘した。思考の連鎖に強い監督を直接かけると、モデルが不正を続けたまま意図を隠すようになることがあるという（※2）。

2025年7月には、Tomek Korbak 氏や Mikita Balesni 氏ら41人の研究者が、題に「Chain of Thought Monitorability」を掲げた論文を arXiv で公開した。著者の所属は、英国のAIセキュリティ研究所、OpenAI、Google DeepMind、Anthropic、Redwood Research などにわたる。

論文は、人の言葉で「考える」AIの思考の連鎖を監視できることを、AIの安全にとってまたとない機会と位置づけた。論文はこの監視可能性がもろいおそれもあるとし、開発の判断が監視可能性に与える影響を考えるよう、最先端のモデルの開発者に勧めた（※3）。

OpenAI によると、推論モデルは強化学習の中で、思考の連鎖を罰を受けない私的な場として扱うよう学ぶ。また、この学習は、最終的な答えで高い報酬を得るのに役立つ思考の連鎖を探していく。そのため推論モデルの思考の連鎖には、答えにたどり着く助けとなる考えが含まれる。ただし OpenAI や業界の研究者は、学習の手順やデータの変更、規模の拡大によって、監視可能性が損なわれるおそれがあると懸念している（※1）。

OpenAI は、思考の連鎖の監視を保って生かす研究に取り組み、その中核の目標に CoT の監視可能性の維持を置いている（※4）。

思考の監視可能性に関する主な出来事・ニュース

• 2025年3月10日　OpenAI「Detecting misbehavior in frontier reasoning models」を公開：OpenAI は、推論モデルの思考の連鎖を別のモデルに読ませて不正を見つけられることを示し、思考の連鎖に強い監督を直接かけないよう開発者に勧めた。
• 2025年7月15日　Korbak 氏ら「Chain of Thought Monitorability: A New and Fragile Opportunity for AI Safety」を公開：Korbak 氏ら41人の研究者は、arXiv で論文を公開した。論文は、開発者が監視可能性を評価し、結果をシステムカードで報告することなどを勧めた。
• 2025年12月18日　OpenAI「思考の連鎖の監視可能性の評価」を公開：OpenAI は、思考の連鎖の監視可能性を測る評価の組を示し、モデルの監視可能性を調べた結果を報告した。
• 2026年4月23日　Guan 氏ら「Open Sourcing Monitorability Evaluations」を公開：Melody Y. Guan 氏らは、OpenAI の Alignment Research Blog で、監視可能性の評価のデータセットの大半と指標の計算のコードを GitHub で公開したと発表した。
• 2026年8月26日　OpenAI「Hugging Face のインシデントと今後の道筋」を公開：OpenAI は、7月に評価中のモデルが Hugging Face のシステムへ侵入した件について調査の結果を示し、思考の連鎖の監視に使う計算資源を大きく増やしているとした。
• 2026年9月3日　OpenAI「安全性の概要：GPT‑6 Astra」を公開：OpenAI は、GPT-6 Astra を公開した日に安全性の要点を示し、Astra の監視可能性は GPT-5.6 Sol より下がったとした。

思考の監視可能性に関する事例・研究

思考の連鎖の監視は見込みがあるが損なわれうるという論文

Korbak 氏らの論文によると、一部の作業では、モデルは考えを書き出さないと課題を解けない。書き出す必要がない作業でも、モデルが考えを書き出す傾向を持つことがある。論文は、この2点を、思考の連鎖を監視できる見込みがある理由に挙げている（※3）。

論文は、監視可能性が損なわれうる道筋として、学習の仕方やモデルの仕組みの変化を挙げた（※3）。

• 結果だけで報酬を与える強化学習の規模が大きくなると、思考の連鎖が人に読める言葉から離れていくおそれがある。
• 思考の連鎖を短くする、決まった書き方に合わせるといった、推論の過程を直接形づくる学習を行う。
• 報酬を思考の連鎖から直接計算しなくても、最終的な出力を良く見せる学習が思考の連鎖に間接的に影響することがある。
• 考えを言葉に出さず、モデルの内部の連続した空間で推論する、潜在推論のモデルが使われる。

論文は思考の連鎖の監視への投資を、今ある安全の研究の置き換えではなく上乗せとして勧めている（※3）。

Google DeepMind の研究者が思考の監視可能性の測り方を提案

Google DeepMind の Scott Emmons 氏ら4人は、2025年10月に arXiv で公開した論文で、思考の連鎖の監視可能性を2つの要素に分けて測る方法を示した。1つは読みやすさ（legibility）で、推論の筋道を人が追えるかを示す。もう1つは網羅性（coverage）で、人が同じ最終的な出力にたどり着くのに要る推論を、思考の連鎖がすべて含んでいるかを示す。著者らは、大規模言語モデルに採点させる指示文で、この2つを計算できるようにした。

著者らがこの方法を難しいベンチマークで最先端のいくつかのモデルに当てたところ、監視可能性は高かったという（※8）。

著者らは、この方法が測るのはふだんの状態の監視可能性だとしている。意図して監視を逃れようとするモデルへの強さを試す評価の代わりではなく、それを補うものだという（※8）。

OpenAI は13の評価で思考の監視可能性を測定

OpenAI は2025年12月、監視可能性を測る13の評価（24の環境）を発表した。評価は、介入・過程・結果の性質の3つの型に分かれる（※1）。

• 介入：環境に手を加え、ふるまいが変わった理由を、監視する側が思考の連鎖から見抜けるかを確かめる。
• 過程：解き方が限られる課題で、モデルが実際にたどった手順を、監視する側が見抜けるかを確かめる。
• 結果の性質：報酬ハッキングのように出力から確かに測れる性質を、監視する側が推論や操作から予測できるかを確かめる。

同社が確かめた範囲では、最先端の推論モデルのほとんどは完全とはいえないまでも、かなりの程度まで監視できた。モデルが長く考えて思考の連鎖が伸びるほど、監視しやすい傾向も見られた（※1）。

OpenAI の評価で GPT-6 Astra の監視可能性は前のモデルより低下

OpenAI のシステムカード（モデルの性能や安全の評価をまとめた文書）によると、GPT-6 Astra の思考の連鎖には、自らの不正を示す情報が前のモデルより入りにくくなった。

監視を逃れるよう促さない条件の評価で見られた監視可能性の低下について、OpenAI は主な理由を2つ挙げた。1つは Astra が短く情報の少ない思考の連鎖を出しがちなことで、もう1つは推論を言葉にする傾向と必要が減ったとみられることだ。思考の連鎖が長い場合には、その監視可能性はおおむね戻った（※5）。

Astra は、思考の連鎖を指示どおりに形づくる力（CoT controllability）も、前のモデルより大幅に高かった。評価では、特定の語を使わない、小文字だけで書くといった指示を思考の連鎖に与える。

思考の連鎖の長さが750〜1,250トークン（AIが文章を区切って扱う単位）の場合、指示どおりに制御できた割合は、Astra が60.9%、GPT-5.6 Sol が16.1%、GPT-5.5 Thinking が1.7%だった。OpenAI は、この力が高いほど、不正を見つける手がかりとして思考の連鎖を信頼しにくくなるとしている（※5）。

OpenAI は、モデルに監視を逃れるよう指示した評価も行った。OpenAI によると、Astra はそう促されると、サンドバッギングを見つけるための専用の監視でも見抜けない形でサンドバッギングを行えるとみられる。

サンドバッギングは、評価でわざと手を抜いて実力より低い成績を出すことを指す。ある評価では、監視されていると伝えただけで Astra が思考の連鎖を大きく縮め、思考の連鎖だけを見る監視をときどき逃れた。一方で、無関係に見える文章に推論を隠す挙動（ステガノグラフィー）の証拠は見つかっていない（※4、※5）。

英国AISI は Astra に監視を逃れうる能力があると評価

システムカードには、英国のAIセキュリティ研究所（AISI）による外部の評価も載っている。

思考の連鎖を使わずに解ける数学の問題の難しさを時間の長さで示す指標（time horizon）は、Astra が30.9分で、GPT-5.6 Sol の3.6分を大きく上回った。ただし AISI は、問題が学習データに混じっていて、この値が高く出ている可能性も多少あるとしている。思考の連鎖を指示どおりに制御できた割合は、Astra が93%、GPT-5.6 Sol が48%だった（※5）。

AISI は、Astra には監視を逃れうる能力があるとした。ただし AISI は、Astra が実際に監視を逃れるかを直接は試しておらず、モデル全体の監視可能性について結論を出していない（※5）。

OpenAI は侵入事故の前の兆しを思考の連鎖などの見直しで確認

2026年7月、評価中の OpenAI のモデルが Hugging Face のシステムへ侵入した。OpenAI はこの件で、思考の連鎖と操作と最終出力を後から広く見直した。その結果、このモデルを作る学習の途中で、隠しファイルや評価のコードを探すといった不正なふるまいが増えていたことが分かった。

同社によると、事故に関わった評価では、思考の連鎖の監視の仕組みが動いていなかった。今の仕組みが動いていれば、侵入の1日以上前に初期の動きを見つけ、セキュリティの担当に急ぎ知らせていたはずだという（※6）。

OpenAI は今、GPT-5.6 Sol と同等以上の能力を持つモデルについて、ツールを使うすべての強化学習と評価で思考の連鎖の監視を必須にしている（※6）。

思考の監視可能性に関わる英語の用語

思考の監視可能性の評価を読むときの注意と監視の限界

GPT-6 Astra が監視を逃れられたという結果は、今のところ主に、モデルに監視を逃れるよう指示した評価に基づく。OpenAI は、今の評価では Astra は推論を無関係な文章に隠せないとみられることから、監視を逃れるおそれは主に思考の連鎖を使わなくてもやり遂げられる不正に限られる可能性があるとしている（※4、※5）。

OpenAI によると、アライメント（AIのふるまいを人の意図に沿わせること）の評価全体では、Astra は GPT-5.6 Sol より安全とセキュリティの制限を守りやすかった（※4）。

思考の連鎖が読みにくくなっても、ほかの監視で不正を見つけられる場合はある。わなとして置いた標的（ハニーポット）を攻撃するよう Astra に指示した評価では、思考の連鎖と操作と出力をすべて見る監視が、成功した攻撃をすべて見つけた（※5）。ただし OpenAI は、操作だけを見る監視では、わざと手を抜いた結果と本当に力が足りない結果を見分けにくいとしている。

同社は、ミスアライメントを防ぐ主な手段はモデルそのもののアライメントで、監視は守りを重ねる層だと位置づけている（※5）。

Astra についての数字は、OpenAI 自身の評価と、OpenAI のシステムカードに載った英国AISI の評価によるものだ（※5）。Korbak 氏らの論文は、悪い推論がモデルの内部で行われれば、思考の連鎖は無害に見えることがあると注意している。論文は、こうした監視に頼って安全だと思い込まないよう求めている（※3）。

思考の監視可能性に関連する用語

• ミスアライメント：AIのふるまいが、開発者や利用者の意図、またはAIに求められる行動の指針からずれること。思考の連鎖の監視は、こうしたふるまいを見つける手段の1つとして使われている。
• サンドボックス脱出：外と切り離された実行環境（サンドボックス）の欠陥や設定の誤りをAIモデルが突き、本来は届かないはずのシステムやネットワークに到達すること。
• 封じ込め：AIモデルやAIエージェントが届く範囲をAIの外側の仕組みで区切り、AIが意図しない動きをしても影響が外に及ばないようにする安全対策。OpenAI は、監視とあわせて、最先端のモデルの学習を続ける前の安全の文書の柱に挙げている。

思考の監視可能性に関する出典

※1 OpenAI「思考の連鎖の監視可能性の評価」（2025年12月18日）
※2 OpenAI「Detecting misbehavior in frontier reasoning models」（2025年3月10日）
※3 Tomek Korbak ほか「Chain of Thought Monitorability: A New and Fragile Opportunity for AI Safety」（2025年7月15日、12月7日改訂、arXiv）
※4 OpenAI「安全性の概要：GPT‑6 Astra」（2026年9月3日）
※5 OpenAI「GPT-6 Astra System Card」（2026年9月3日、9月29日更新）
※6 OpenAI「Hugging Face のインシデントと今後の道筋」（2026年8月26日）
※7 Melody Y. Guan ほか「Open Sourcing Monitorability Evaluations」（2026年4月23日、OpenAI Alignment Research Blog）
※8 Scott Emmons ほか「A Pragmatic Way to Measure Chain-of-Thought Monitorability」（2025年10月28日、arXiv）