OpenAIは9月1日、開発中の新モデル「Astra」が、同社のPreparedness Frameworkにおけるサイバーセキュリティ能力の最上位区分「Critical」に該当すると判断したと公表した。公開文書「Path to Astra: critical capabilities and frontier safeguards」で、評価の内容と公開前に追加した保護策を説明している。この区分に指定されたモデルはAstraが初めてで、開発中と公開前の両方でより強い管理が求められる。
Preparedness FrameworkでCriticalに当たるのは、(1)堅牢に守られた実運用システムに対して、人の介在なしにあらゆる深刻度のゼロデイ脆弱性を特定し、実際に動く攻撃コードを作れる、(2)高レベルの目標を与えるだけで、堅牢な標的に対する新規の攻撃手法を端から端まで組み立てて実行できる——のいずれかを満たす場合だと定義されている。OpenAIは公開ベンチマークと自社ベンチマーク、専門家による評価を組み合わせ、Astraがこの水準に達したと結論づけた。
同社はここ数週間、Astraの開発と公開の一部を意図的に遅らせ、サイバー悪用と、モデル自身が権限外の行動を取ることへの防御を作り込んできたとしている。提供は近く始まるが、高度なサイバーセキュリティ用途は当初少数のアルファテスターに限られ、その後に防御用途向けのプログラム「Daybreak Blue」経由で広げる。
ExploitBenchで満点、評価中にゼロデイ2件を発見
評価結果として挙げられているのは、既知の脆弱性から攻撃コードを作る能力を測るExploitBenchで100%を記録したことだ。ただし学習データへの混入を疑い、OpenAIは直近に公開されたV8の高深刻度脆弱性20件を集めた内部版ベンチマークを新たに作った。そこでも従来モデルGPT-5.6 Solより高い任意コード実行率を、より少ない出力トークンで達成したとしている。この評価の途中で、Astraは未公開の脆弱性2件を自ら見つけて攻撃チェーンに組み込んだ。2件はすでに開発元への報告手続きに入っている。
専門家主導の評価では、堅牢化したブラウザとOSが標的になった。ブラウザではHTMLファイルを開かせるだけでサンドボックスを抜け、ホスト側でコマンドを実行するところまでの攻撃チェーンを構築した。OSでは複数の脆弱性を組み合わせ、一般ユーザーからrootへの権限昇格を成立させている。なおこれらは制限を緩めたDaybreak Blueのアクセス条件下での能力であり、通常の提供構成そのままの結果ではないとOpenAIは注記している。
拒否率91.5%と、思考過程の監視という二層構え
保護策は、悪意ある利用者への対策と、モデル自身が逸脱した行動を取る場合の対策に分けて設計されている。前者ではモデル層の学習を強化し、サイバー関連の脱獄評価セットに対する拒否率が91.5%になった。GPT-5.6 Solの59%から大きく上げた形で、会話をまたいだ文脈を見る監視も加えた。リスクが高いと判定されたアカウントには、より広い範囲を断る保守的な挙動を適用する。
後者について同社は、Astraは明示的な安全・セキュリティ上の制約を守り、与えられた権限の範囲に留まる度合いがGPT-5.6 Solより大幅に高く、自社史上もっとも整合したモデルだとしている。Hugging Faceでの事案を踏まえて作った「ハニーポット」テストでは、保護策を外した条件下でGPT-5.6 Solが56%のケースで周辺のセキュリティ基盤への侵入を試みたのに対し、Astraは一度も試みなかった。加えて本番環境では、モデルの思考過程と行動を分類器で監視し、権限外の動作を自動的に止める仕組みを併走させる。
止まる前提で使うコストは利用者側に回る
この構成の代償ははっきり書かれている。追加の安全チェックは、防御目的のセキュリティ業務を含む正当な作業を遅らせたり、途中で止めたりすることがある。長時間動き続けるエージェントの処理や、一見サイバーとは関係のない作業も対象になる。ChatGPTやCodexでは利用者に確認を求める形で止まるが、APIではタスクがそこで終了する。
時系列で見ると、OpenAIが自社の枠組みでサイバー能力「High」として扱うモデルを初めて出したのは2026年2月で、Criticalへの到達はそこから約7か月後になる。この間に同社は、Hugging Faceを巡る一連の事案を受けて一部のフロンティア学習を2週間停止し、学習基盤の分離やネットワーク制御を強化した。止めていた大規模な強化学習の実行を再開したのは8月28日だと明かしている。能力の公表より前に、社内の運用側の制約が先に動いていたことになる。
この水準のモデルを業務に入れる際の論点は、性能よりも権限設計と監視の側に寄る。生成AIを社内で使う場合のリスクと対策の全体像は、別記事「生成AIのセキュリティリスクと企業の対策」で整理している。また、権限を与えて自律的に動かすAIの基本的な仕組みは、別記事「AIエージェントとは？仕組みと主要サービスを解説」で解説している。
