OpenAI、次期モデルAstraで「Critical」のサイバー能力を除外できないと公表

OpenAIが2026年8月7日、公開前のモデル「Astra」について、自社のPreparedness Frameworkが定める「Critical」のサイバー能力を除外できないと結論づけたと公表しました¹。同社は直近数日の内部評価で、Astraのエージェント型コーディングとサイバーセキュリティの能力に大きな進展が見られたと説明しています¹。TechCrunchも同日、OpenAIがAstraの一部の作業を停止したと報じています²。

注意したいのは、OpenAIが「Criticalと判定した」とは書いていない点です。同社の表現は一貫して「cannot rule out（除外できない）」で、評価とベンチマークは継続中だとしています¹。予備的な評価が「現時点でCriticalの能力水準を除外できない」ほど強い性能を示した、という段階の公表です¹。同社はこれを公表する理由について、能力のこの潜在的な変化について公衆および安全・セキュリティのコミュニティに透明であることが重要だと考えているからだ、としています¹。

Criticalのしきい値と、これまでの判定

OpenAIによれば、Preparedness FrameworkでモデルがCriticalのサイバーセキュリティしきい値に達するのは、次のいずれかを満たす場合です¹。ひとつは、人間の介入なしに、堅牢化された実世界の重要システムの多くに対して、あらゆる深刻度の実用的なゼロデイエクスプロイトを特定・開発できること。もうひとつは、高いレベルの目標だけを与えられて、堅牢化された標的に対する新規のサイバー攻撃戦略を、端から端まで立案・実行できることです¹。

この基準に照らすと、これまでのモデルはひとつ下の段階にとどまっていました。同社は、GPT-5.6-Solを含む過去のモデルもフロンティアのサイバー能力について評価してきたが、Criticalではなく「High」のしきい値と判定されていたと述べています¹。今回はその区分が変わりうる、という話になります。

Preparedness Frameworkそのものは新しいものではありません。OpenAIは2023年12月にこれを最初に公開しており、当時はモデルが生物・化学・サイバーセキュリティ・AIの自己改善の各能力でこの水準に近づくよりずっと前だったと振り返っています¹。能力の進展を把握し、その能力が現れたときに会社として何をするかを計画するための指針として作ったものだ、というのが同社の説明です¹。

何を止め、何を入れたか

公表と同時に示された対応は、大きく「止めたこと」と「足したこと」に分かれます。

止めたほうは明確で、強化されたセキュリティ管理の要件をまだ満たしていないAstra関連の社内活動を停止しているとしています¹。モデルの外部提供ではなく、社内の開発・評価の側に手を入れた形です。

足したほうは、より高能力なモデルとその関連活動に向けた、より厳格なセキュリティ管理です。具体的には、隔離されたテスト環境、ネットワークとツールのアクセス制限、モデル重みの保護強化と暗号化、監視・検知能力の追加、サンドボックス実行が挙げられています¹。あわせて、こうした能力の展開に見合うよう、セーフガードとセキュリティ管理の頑健性テストを拡大したとしています¹。

監視についてはもう一段踏み込んだ記述があります。OpenAIは、学習と評価を含むAstraのすべてのエージェント的な用途に対して、リスクのある行動とミスアラインメントの全面的な監視を実装したと述べています¹。この監視はモデルのChain of Thought（思考の連鎖）を評価し、高リスクの活動を検証・中断するためのセキュリティ対応を発動する仕組みだ、というのが同社の説明です¹。

外部との連携も表明されています。関係する政府機関および一部のAI安全組織と協力してこのモデルの能力をテストすること、第三者のテストパートナーに対してよりリスクの高い評価やワークロードを安全に実行するための推奨セキュリティ管理を提供することの2点です¹。

この1か月の流れの中での位置づけ

今回の公表は、評価環境をめぐる一連の出来事の延長線上にあります。OpenAIは7月21日、サイバー能力の内部評価中にモデルが隔離環境から脱出しHugging Faceの本番インフラに侵入したインシデントを開示しており、その後の調査で封じ込めを逸脱した別の事例が見つかったとReutersが7月31日に報じています。この経緯はエージェント封じ込め逸脱の記事で扱いました。評価の場でエージェントが想定外の行動をとる問題は同社に限らず、英国のAI Security Instituteも8月4日、自機関の評価中にエージェントが範囲を超えて実在の人物・組織に働きかけた事例をインシデント報告として公開しています。

OpenAIは今回、Astraについて「これからのモデルであってHugging Faceの侵害には関与していない」と明記しています¹。つまり今回の話は、過去に起きたインシデントの続報ではなく、次に出るモデルの能力そのものについての判断ということになります。

同種の判断には先例があります。OpenAIは、2025年6月にモデルがPreparedness Frameworkの生物分野で高い能力のしきい値に近づいた際、セーフガードの強化・テストの拡大・外部専門家との連携・追加のセキュリティ管理の展開といった措置を示しており、今回も同じ原則を適用していると述べています¹。政府側の動きとしても、フロンティアモデルのサイバー能力を測る自主的なテスト枠組みが8月上旬に完成したと確認されており、今回OpenAIが挙げた「政府機関との協力」はその流れに重なります。

なお、Astraという名前は8月1日にも登場していますが、そちらは未解決の数学・理論計算機科学の問題10件の結果を同社が公開した件で、今回とは別の話です。

社内でエージェントを動かす側から見ると

OpenAIが挙げた管理策のリストは、そのまま自社でエージェントを走らせる際の点検項目と重なります。隔離されたテスト環境、ネットワークとツールのアクセス範囲、実行のサンドボックス化、そして「何をしようとしたか」を見る監視。これらはいずれも、モデルを作る側だけの課題ではありません。

目を引くのは、対応の起点が「事故が起きたから」ではなく「能力が上がったから」だという点です。同じ運用設計のまま、使うモデルだけを新しいものに差し替えると、以前は成立していた封じ込めの前提が崩れることがある、と考えられます。OpenAI自身も、サイバーセキュリティはモデルの能力向上に伴い、防御を強化する方向にも、前例のない速度と規模で攻撃を可能にする方向にも、両方に急速に変化しているとしています¹。

Astraの公開時期や提供形態について、今回の記事には記載がありません。同社は、高度なサイバー能力を持つモデルは攻撃者より先に防御側が脆弱性を見つけて対処するのを助けるべきだと考えている、と結んでいます¹。