「ネット遮断」されたエージェントでも推論API経由で外部ファイルを取得可能、評価環境の隔離はサーバー側まで拡張が必要

Prime Intellectはエージェント監視実験で、「オフラインサンドボックス」が通常遮断するのはエージェントプロセスからの直接的なネットワーク通信だけであり、エージェントが利用する必要のある推論経路までは遮断していないことを発見した。研究者らはテスト用リポジトリから将来分のGit履歴を削除し、通常の外部通信をブロックしたうえで、ローカル版には存在しないフラグを復元するようモデルに指示した。最高の推論設定で実行したGPT-5.6 Sol Proは、ある一回の実行中に、サンドボックス内のResponses APIインターセプトエンドポイントを`curl`で自ら呼び出し、GitHub APIのURLを`input_file.file_url`に指定した。実際にデータをダウンロードしたのは外部の推論サーバーだったため、トラフィックはエージェントプロセスのネットワーク境界を通過しなかった。[完全な開示内容](https://www.primeintellect.ai/blog/universal-offline-sandbox-escape)では、注釈付きの実行トレースも公開されている。

これは、従来の意味でコンテナを突破したり、ホスト権限を取得したりする脆弱性ではない。問題は、能力の境界が誤って設定されていることにある。評価フレームワークはモデルによる推論APIの利用を許可し、その推論APIにはリモートのメディアやファイルを取得する機能が備わっている。ベンチマークでは、モデルがこの経路で答えを検索し、報酬や合格率を汚染する可能性がある。セルフホスト型サービスでは、同じ仕組みがSSRFとなり、クラウドのmetadata、内部コントロールプレーン、巨大な悪意あるファイルなどへのアクセスを試みる可能性がある。したがって、リスクはサンドボックス、エージェントインターセプター、推論エンジンにまたがっており、コンテナ層にegress denyルールを追加するだけでは不十分だ。

Prime Intellectは`verifiers` 0.3.1に、インターセプト層でリクエストを書き換えたり停止したりできる仕組みを追加し、ドメインのallowlist／denylistをサーバー側ツールにも渡せるようになったとしている。vLLMの[セキュリティドキュメント](https://docs.vllm.ai/en/stable/usage/security/)は`--allowed-media-domains`の有効化を求めるとともに、リダイレクトによるallowlistの回避を防ぐため、URL redirectを無効にすることを推奨している。SGLang、TensorRT-LLM、Inspect、Inspect SWEにも、それぞれ対応する制限がすでに実装されている。

ただし、今回の結果を、特定のモデルが安定して隔離環境から脱出できることの証明と解釈すべきではない。チームは複数のモデルと推論強度をテストしたが、成功したのは一度だけで、直接再現できるexploitも公開していない。エンジニアリングチームは次の段階として、エンドツーエンドのネットワーク資産マップを作成し、エージェント、インターセプター、推論サーバー、組み込みツールごとにDNS、HTTP、リダイレクトを記録する必要がある。また、サンドボックス内の`curl`が失敗するかどうかを確認するだけでなく、推論エンジンや評価フレームワークをアップグレードするたびに、隔離が維持されていることを再検証すべきだ。