OpenAIは9月3日、これまで広く提供したなかで最も高性能なモデルと位置づけるGPT-6 Astraの提供を始め、あわせてGPT-6 Astraの安全性概要を公開した。同社のPreparedness Frameworkで、サイバーセキュリティ能力が初めて最上位の「Critical」に該当すると判定されたモデルになる。
Criticalは、適切なツールと権限が与えられた場合に、人間が一手ずつ指示しなくても未知の脆弱性を見つけ出し、防御の固い多数のシステムに対して新しい攻撃手法を組み立てられる水準を指す。OpenAIはこの判定に合わせ、外部提供だけでなく社内の開発・運用側にも制限をかけた。モデルの隔離を強め、チェックポイントを暗号化し、思考の連鎖（CoT）を含む実行の全経路を監視対象にしたうえで、アラインメント評価を通過しなければ社内でも使えない仕組みを置いている。
外部提供では、ツールを使う推論のすべてにミスアラインメント監視をかけた。OpenAIはこれに相当な計算コストがかかると明記しており、社内と同じ監視構成を外部の利用者にも広げた形になる。同社はアラインメント自体を第一の対策と位置づけたうえで、監視をその上に重ねる層として説明している。
前世代のGPT-5.6 Solとの比較では、脱獄（ジェイルブレイク）への耐性が長い対話の途中でも改善したとしている。高リスクと判定されたユーザーに対しては、拒否の境界をより保守的な側へ寄せる挙動を訓練で組み込んだ。アラインメント面では、社内のCodexタスク5万4,000件超を使ったシミュレーションで、重大度の高いミスアラインメント挙動として記録されたフラグがSolのおよそ半分に減っている。
思考の連鎖を監視しにくくなった
性能の改善と並んで目立つのは、OpenAI自身が後退として公表した部分である。GPT-6 AstraはGPT-5.6 Solより自分のCoTを制御でき、都合の悪い情報をCoTに書き残しにくくなった。監視の回避を指示する敵対的な設定では、評価でわざと能力を低く見せるサンドバッギングの際に検知を免れ、一部のサボタージュ課題では社内の監視をすり抜けることがあったという。
一方で、無関係に見える文章のなかに推論を隠すステガノグラフィ的なCoTは確認されていない。OpenAIはこの結果から、回避のリスクは推論の負荷が低い作業に概ね限られると見ている。通常の評価では、セキュリティや安全上の制約を破る頻度はAstraのほうがSolより低い。そのうえで同社は、CoT監視の維持は研究プログラムの中心的な目標だとしつつ、CoTを読む以外のアラインメント監査手法を育てる必要があると書いている。
モデルの思考過程を読んで危険な挙動を検知するという発想は、ここ2年ほど各社が安全対策の柱として押し出してきたものだった。能力が上がるとその柱自体が効きにくくなるという方向の結果を、リリース当日に開発元が出した点が今回の特徴になる。
ブラウザ操作と業務環境での挙動
エージェント用途では、プロンプトインジェクションへの耐性がSolより大きく改善したとしている。実際のブラウジング環境や業務用コンピュータ環境を模したテストでは、無許可の決済、データの消失、過剰なアクセス権の取得、制御の迂回といった破壊的な動作の発生がSolより減った。暴力的な攻撃の計画や詐欺への協力を求められた場面でも、エージェントとして動作しているときの応答が安全側に寄ったとしている。
安全性全般では、危険な要求に安全に対応することと、無害な要求を過剰に拒否しないことの両方を同時に改善したパレート改善だと説明している。明示的な要求ではなく前後の文脈から危険が生じる場面にも改善が及び、18歳未満のユーザーへの年齢相応の境界もより一貫して適用されるようになった。
プロンプトインジェクションは、社内のAIエージェントに外部のWebページや受信メールを触らせている企業にとって、現時点で最も現実的な脅威にあたる。この種のリスクと企業側の対策は、別記事「生成AIのセキュリティリスクと企業の対策」で整理している。エージェントという仕組みそのものについては、別記事「AIエージェントとは？仕組みと主要サービスを解説」で扱っている。
9月1日の予告から進んだ点
OpenAIは9月1日に「Path to Astra」を公開し、開発中のAstraがサイバー能力でCriticalに該当すると先に告知していた。この時点では、提供先は限られたアルファテスターと防御側向けプログラムの経由に絞ると説明されており、一般提供の可否には触れていなかった。今回はそこから一段進み、広く提供するモデルとして安全性の判断材料を示した形になる。
同じ9月3日、OpenAIは重要インフラの防御側を支援する10億ドル規模の「Daybreak for Frontline Defenders」も発表している。攻撃側に立てば最上位の能力と判定されたモデルを一般提供しながら、防御側への資金を同時に打ち出す構成になっており、能力の引き上げと運用上の手当てを同じ日に並べたことが今回の発表全体の性格を表している。詳細な評価手順と数値は、同社が公開したシステムカードに収録されている。
