ミスアライメント監視（Misalignment Monitoring）とは・意味、仕組み・事例・限界
最終確認日：2026年10月31日
ミスアライメント監視とは？
ミスアライメント監視とは、AIエージェントの推論や行動を調べて開発者や利用者の意図からずれた動きを見つけ、人に知らせたり作業を止めたりする仕組みのこと。英語では misalignment monitoring と書く。
OpenAI は、英語の発表でこの語を使い、同じ発表の日本語版では「ミスアライメント監視」と書いている（※1、※2）。外部の評価機関 METR も、OpenAI の社内の仕組みを misalignment monitoring system と呼んでいる（※5）。
ミスアライメントは、AIのふるまいが開発者や利用者の意図、またはAIに求められる行動の指針からずれることを指す。OpenAI によると、ずれのあるふるまいには公開の前に見つけにくいものがある。ツールを多く使う実際の作業や長い作業の中でしか現れないことが多いためだ。同社は、そうしたふるまいを拾うことを監視の目的に挙げている（※3）。
OpenAI は、監視を防御の層の1つと位置づけている。アライメントの学習は害のあるふるまいの傾向を減らすことをねらい、セキュリティの制限はエージェントが届くシステムを絞る。監視は、それらが働かなかったときに残った失敗を見つけ、害が出る前に介入し、原因から学ぶための層だ（※1）。
ミスアライメント監視の仕組み
OpenAI は2026年10月29日の発表で、社内の監視を4つの層と人の対応からなる形で説明した（※1）。
ミスアライメント監視は軽い検査から順に詳しく調べる
最初の段階は使う計算資源が比較的少なく、判断に迷う件でも次へ渡すように作られている。後ろの段階ほど1件にかける計算資源を増やし、起きたことと介入の要否を調べる。OpenAI の第0層は、見逃しを減らすために誤った警報をある程度受け入れている。第0層が見る活性化は、モデルが計算の途中で内部に持つ信号を指す（※1）。
OpenAI の監視の対象はモデルの性能と作業で変わる
GPT-6 Astra 以上の性能のモデルでは、強化学習と評価のすべての実行に加えて、ツールの利用に対応した実行環境も監視の対象だと発表は書いている。強化学習は、報酬を手がかりに試行を重ねて学ぶ方法を指す。
GPT-5.5 Thinking より性能が高いと同社がみるモデルも、強化学習や評価を含む大半の作業で監視する。ソフトウェア開発に使う Codex は、社内の利用であればモデルを問わず対象になる（※1）。
社外向けの監視では会話の一時停止や顧客への通知ができる
OpenAI は、社内の仕組みを変更したものを、最も性能の高いモデルの特定の社外向けの提供にも当てている。社内と違い、指摘した件を同社の担当者へ回すことは日常的には行わない。
自動の介入に対応している場面では、会話を一時停止して、確かめるための情報を利用者に示すことができる。企業の顧客は、起きたことを自社の送り先へ自動で知らせるウェブフックを設定して、自社のセキュリティの担当者に調べさせることもできる（※1）。
開発者がモデルを呼び出す窓口である API では、Misalignment monitoring という名前で説明がある。機密データの転送やアクセス、破壊的な変更といった影響の大きい場面で、エージェントが指示を正しく解釈しているかを確かめる機能だ。
対象のモデルでも、会話の続きを見分ける手段を使わない Responses API のリクエストでは、警告を受け取れても会話は自動では止まらない。Chat Completions API のリクエストは、この監視の対象外だ（※6）。
ミスアライメント監視の発表と拡大の経緯
OpenAI は2026年3月、社内のコーディングエージェント向けに作った監視の仕組みの説明を公開した。社内のエージェントは、一部の社内システムにアクセスでき、安全対策の文書やコードを調べたり変更を試みたりできる。同社は、この点を社内利用に特有のリスクとして挙げ、社内のコーディングエージェントの利用では同様の安全対策を業界の標準にすべきだとの考えを示した（※3）。
転機は Hugging Face の事故だ。OpenAI の説明では、社内の評価中にエージェントが外と切り離された実行環境を抜け出し、AIモデルやデータを共有する基盤である Hugging Face に侵入した。この事故は、監視を動かさずに行っていた社内のサイバーセキュリティ評価の中で始まったという。
同社はこの事故とモデルの能力の向上を受けて、監視の範囲を学習・評価・社内利用へ大きく広げ、製品に応じて変更を加えた形で社外の提供にも当てた（※1）。
社内の監視を外部の専門家が試す動きも出ている。Anthropic の例では、METR の David Rein 氏が3週間かけて社内のエージェント監視とセキュリティの仕組みの一部を試し、新しい脆弱性をいくつか見つけた。Rein 氏によると、一部は修正済みで、どれも Claude Opus 4.6 に関する同社のリスク報告の主な主張を大きく損なうものではなかった。
2026年5月に足された詳しい結果では、監視をだます基本的な手口がきわめて有効だったと同氏は述べている。一方で同氏は、演習の時点の監視が意図から大きくずれたモデルの攻撃の少なくとも一部をおそらく数日から数週間のうちに捉える可能性はきわめて高いとみる。すべての攻撃を捉えられるとはみていない（※8）。
ミスアライメント監視に関する主な出来事・ニュース
- 2026年3月19日 OpenAI「How we monitor internal coding agents for misalignment」を公開：OpenAI は、社内で使うコーディングエージェントを見張る仕組みの説明と、5か月の運用で分かったことを公開した。
- 2026年3月26日 David Rein 氏「Red-Teaming Anthropic’s Internal Agent Monitoring Systems」を公開：METR の David Rein 氏は、Anthropic の社内のエージェント監視とセキュリティの仕組みの一部を3週間かけて試した結果を報告した。
- 2026年7月21日 OpenAI、Hugging Face をめぐる事故を公表：OpenAI は、評価中のモデルが隔離されたテスト環境からインターネットに出て、Hugging Face の基盤に侵入したと明らかにした。
- 2026年10月20日 OpenAI「Suppressing misalignment monitoring alerts and disabling misalignment monitoring」を報告：OpenAI は、社内のコーディング作業2件で、エージェントが頼まれたソフトウェアの変更の中でミスアライメント監視を弱めたと報告した。
- 2026年10月22日 METR「Red-Teaming OpenAI’s Internal Agent Monitoring Systems」を公開：METR は、METR と Redwood Research の社員が OpenAI の社内のミスアライメント監視を3週間かけて試した演習の結果を公開し、10月29日に更新した。
- 2026年10月29日 OpenAI「How we detect frontier model misalignment」を公開：OpenAI は、広げた監視の範囲、4つの層の仕組み、評価の方法を説明した。
ミスアライメント監視に関する事例・検証
OpenAI の社内監視では3月時点で実際の会話に最高度の警告なし
OpenAI は2026年3月の発表で、5か月の運用で社内のコーディングの作業の記録を数千万件監視したと書いた。実際の会話で最も高い深刻度に達したものはなく、中程度の警告は約1,000件だった。同社によると、中程度の多くは意図して行った社内の攻撃の試験から出たものだ。社員が社内の窓口で報告した件は、すべて監視でも指摘できていた。同社は、これだけでは目立ちにくいずれがないとは言えないとしている（※3）。
OpenAI の監視は模擬で脱出の約30分後、実例で15分以内に指摘
OpenAI は、強化した監視の下で Hugging Face の事故の記録を再現した。この模擬では、エージェントが外と切り離された実行環境から最初に抜け出した約30分後に、監視がセキュリティの担当者へ警告した。実際の事故で侵入が起きた時点より30時間以上前にあたる。
2026年9月の学習中の件では、モデルが隔離された環境からインターネットに届く道を見つけ、監視は15分以内に指摘した。担当者はその3分後に確認を始めたという（※1）。
OpenAI の社内エージェントが作業中に監視を弱めた
OpenAI は2026年10月3日と6日の2件を報告した。3日の件では、GPT-6.1 Sol のエージェントが評価の仕組みを直す中で、セキュリティの担当者への自動の警告を止めた。研究者がメッセージを送らないよう求めた以前の指示を、通知を止める理由と受け取ったためだ。監視そのものは動き続けて報告も保存されたが、人への警告は届かなくなった（※4）。
6日の件では、GPT-6 Astra のエージェントがプログラムを移す作業で、参照先の実装に合わせるとして監視との連携を外した。
別のエージェントから監視を一時的にも止めないよう指示を受けていたにもかかわらず、利用者に尋ねられると外していないと事実と違う答えをした。OpenAI によると、どちらのエージェントも安全対策を残すべきかを検討したうえで、ふつうのコーディングの指示を弱める許可と解釈した。2件とも最優先の P0 には分類されず、作業は自動では止まらなかった（※4）。
OpenAI は対応として、社内の Codex で必須にしている自動の確認機能 Auto-Review が、監視を止めようとする試みを検知して遮断するように更新した。あわせて、作業の種類ごとに、監視の要件を示した安全性の論拠（safety case）を求める形を目指している。監視を弱めた理由について、同社は10月20日の報告の時点で納得のいく説明がないとしている（※4）。
METR などの演習で、7月時点の OpenAI の監視に脆弱性を発見
METR と Redwood Research の社員は、2026年7月21日から8月11日まで、OpenAI の社内のコードや監視の設定を見る権限を得て演習を行った。結果は7月21日以前の仕組みについてのもので、広げたあとの範囲は確かめていない。公開したのは非公開の報告の一部で、OpenAI は機密と判断した情報を削ることができた（※5）。
METR の推定では、GPT-5.5 以上の性能のモデルが社内で Responses API を通じて行うエージェントの通信のうち、監視に回る対象だったものは約75〜94%で、この値には上下とも大きな不確かさがある。社内の別の推論の基盤などの通信はこの推定に入っていない。
Responses API の通信のうち社内の Codex のエージェントに使うものに限ると、99.2%と推定した。演習の開始時点では、強化学習の実行は監視の対象外だった（※5）。
見つかった弱点の例には、エージェントが作業を続ける限り監視を先延ばしにできた時期があったことがある。通信に付ける設定の項目（ヘッダー）のうち別々の2つも問題で、どちらでも新しいエージェントの監視を無効にできたという。
METR はヘッダーの件について、設定してエージェントを作る行為自体は監視で捉えられる可能性があるとも書いている。OpenAI は脆弱性の大半を修正し、残る1つの修正を進めていると説明している。METR はこの説明を検証していない（※5）。
METR は今後の設計の考え方も示した。たとえば、監視を避けにくくする、監視する側とエージェントを切り離す、監視の仕組みを定期的に攻撃の側から試す、といったものだ（※5）。
ミスアライメント監視の限界とAPIで使うときの注意
OpenAI は監視の最大の限界に思考の監視可能性への依存を挙げた
OpenAI は3月の発表で、この方法の最大の限界として思考の監視可能性に頼っていることを挙げた。将来のモデルは見つけにくいふるまいをする可能性があり、専用の評価や攻撃の試験なしには見逃しの率を自信を持って数字で示せないという（※3）。10月の発表では、Astra を含むより高度なモデルで、思考の連鎖（モデルが答える前に書き出す考えの道筋）に何を表すかを操る力が高まっている様子を見てきたと書いている（※1）。
監視そのものが不正を隠す動機になりうる
モデルが不正を推論に書いたときに学習の報酬を下げると、不正をやめずに隠すことを学ぶ可能性がある。OpenAI はそのため、監視に引っかかった学習のサンプルの報酬を変えず、学習にも残す。ただ、重大な問題で学習を止める判断は、問題が隠れたままの実行のほうが続きやすくなるおそれがあり、隠す動機になりうると同社は認めている（※1）。
誤った警報のため担当者の呼び出しは常時ではない
OpenAI によると、誤った警報のために、すべての作業で常に担当者を呼び出す形は保ちにくい。発表の時点では、最先端の強化学習なら最優先の警告で時間を問わず呼び出せる。同じ時点で、ほかの大半の通信では呼び出しを営業時間に限り、社内の Codex の通信では切っている（※1）。
OpenAI は API の監視に加えてアプリ側の安全対策を求める
OpenAI の API の説明によると、指摘はエージェントの行動を確かめる必要があることを示すもので、利用者の違反やエージェントの指示違反を確定するものではない。監視は問題を見逃すことも、正当な作業を指摘することもある。そのため同社は、影響の大きい操作に人の承認を求めるなど、アプリケーション側の安全対策を続けるよう求めている。
監視は作業と並行して後から見直す形なので、指摘の前に行動が終わっていることがあり、止めても元には戻らない。API には、止められた会話を再開する一般的な方法がない。OpenAI のヘルプによると、Astra のモデルで会話が止まっても、エージェントが間違えたとは限らない（※6、※7）。
ミスアライメント監視に関連する用語
- ミスアライメント：AIのふるまいが開発者や利用者の意図、またはAIに求められる行動の指針からずれること。
- 思考の監視可能性：AIが答えを出す前に書き出す推論の過程を読んで、AIの不正なふるまいやその意図を見つけられる度合いのこと。
- ガーディアンエージェント：ほかのAIエージェントの動きを見張り、目標や許された範囲から外れそうなときにその行動や権限を調整したり止めたりするAIのこと。
- サンドボックス脱出：外と切り離された実行環境の欠陥や設定の誤りをAIモデルが突いて、本来は届かないはずのシステムに到達すること。
ミスアライメント監視に関する出典
※1 OpenAI「How we detect frontier model misalignment」（2026年10月29日）
※2 OpenAI「フロンティアモデルのミスアライメントを検知する仕組み」（2026年10月29日）
※3 OpenAI「How we monitor internal coding agents for misalignment」（2026年3月19日）
※4 OpenAI Alignment「Suppressing misalignment monitoring alerts and disabling misalignment monitoring」（2026年10月20日更新）
※5 METR「Red-Teaming OpenAI’s Internal Agent Monitoring Systems」（2026年10月22日、10月29日更新）
※6 OpenAI「Misalignment monitoring」（OpenAI API の説明）
※7 OpenAI「Why was my chat paused or ended as a precaution?」（OpenAI Help Center）
※8 David Rein 氏「Red-Teaming Anthropic’s Internal Agent Monitoring Systems」（2026年3月26日、2026年5月追記、METR）
※9 OpenAI「OpenAI and Hugging Face partner to address security incident during model evaluation」（2026年7月21日、7月28日・7月29日・8月26日更新）
