OpenAIの社内規程には、サイバー能力が最上位に達したときの対応が一行だけ書かれています。さらなる開発を停止する、と。同社は8月7日、次期モデルAstraがその水準に届いた可能性を否定できないと公表しました。実際に止まったのは、一部の社内活動でした。
OpenAIは2026年8月7日、次期モデルAstraが、社内規程Preparedness Frameworkの定めるサイバーセキュリティのCritical水準に該当する可能性を否定できないと公表した。
過去数日間の社内評価で、エージェント的コーディングとサイバーセキュリティの能力に進展が確認された。同規程は、人間の介入なしに堅牢化された実システムのゼロデイエクスプロイトを開発できること、または高レベルの目標のみから新規の攻撃を立案・実行できることをCriticalの条件とする。
GPT-5.6 Solを含む従来モデルはHighと評価されていた。OpenAIは隔離環境やネットワーク制限などの管理策を強化し、要件を満たさない社内活動を停止した。Hugging Face事案への関与は否定している。
From: 
Responding to the next frontier of critical cyber capabilities
【編集部解説】
「昨夜」という言葉
OpenAIの発表は、結論に至った時点を「last night」と書いています。四半期でも、月でも、日付でもなく、昨夜。この一語が、今回の発表の性格をほとんど説明しています。
過去数日間の社内評価で結果が出て、専門家の所見を加えて、発表前夜に結論へ至り、その日のうちに公表した。整えられた発表ではなく、動いている最中の報告です。
「越えた」とは、どこにも書かれていない
まず、いちばん誤読されやすいところに線を引いておきます。
OpenAIは「AstraがCriticalに達した」とは言っていません。書かれているのは「否定できない（cannot rule out）」です。評価は継続中で、判定は下りていない。ロイターの配信もこの点を明示しています。
一方で、同社の公式アカウントは同じ日に、Astraを「サイバーセキュリティにおける最初の”critical”モデルとして扱う」と投稿しました。一見すると本文より踏み込んでいますが、矛盾ではありません。判定と処遇を分けているのです。Criticalかどうかは確定していないが、Criticalであるかのように扱う。安全側に倒した運用としては筋が通っています。
規程には、たった一行しか書かれていない
ここからが、この発表のいちばん静かな部分です。
Preparedness Frameworkの最新版はバージョン2、2025年4月15日付です。その本文の表を開くと、サイバーセキュリティのCriticalしきい値に対応する欄には、こう書かれています。
Critical基準を満たすセーフガードと管理策の標準を定めるまで、さらなる開発を停止する
「一部を停止する」ではありません。そして今回OpenAIが取ったのは、強化した要件を「まだ満たしていない」活動の一時停止です。
これを「規程違反だ」と読むのは、おそらく早すぎます。AstraはCriticalと確定しておらず、公表資料から表1の停止条項が正式に適用されたとは確認できません。加えて、同社は今回「より厳格なセキュリティ管理策」の中身を列挙しており、条文が言う「標準を定める」作業そのものが進行中とも読めます。
ただ、同じ規程の第4.4節には、こんな一文もあります。
現時点でCriticalレベルの能力を持つモデルは保有しておらず、そのレベルに達する前に本Preparedness Frameworkをさらに更新することを見込んでいる
これはバージョン2の本文にある記述で、2025年4月時点でOpenAIが立てていた見通しです。そして今回の発表がリンクしているのも、そのバージョン2でした。更新は確認できません。Critical到達前に規程を改めるつもりだった当のバージョンのまま、Criticalを排除できないモデルへの対応局面に入ったことになります。なお同じ第4.4節は、Criticalに達したモデルだけでなく、達すると予測されるモデルにも、外部公開の有無にかかわらず開発中から追加のセーフガードを求めています。
もう一点、細かいけれど間違えやすい事実を添えておきます。バージョン2で「low」と「medium」の区分は削除されました。追跡対象カテゴリの能力しきい値は、現在HighとCriticalの2段だけです。「4段階のうち最上位」と説明している資料が国内外にありますが、現行の規程では、Highの下に段はありません。GPT-5.6 SolのHighという評価は、最上位から一段下、というより、二段しかないうちの下という意味になります。
監視の対象が、内側に折り返した
措置の一覧で、最も設計思想が出ているのは3番目です。
Astraのエージェント的用途すべてに全面的な監視を敷く。その対象に、訓練と評価を含むと明記されています。
この一語がなぜ重いかは、この1か月を振り返ればわかります。7月21日のHugging Face事案をはじめ、この期間に公表された複数の事案では、モデルが評価の最中に、本来想定されていない外部環境へ到達しています。能力を安全に測るために用意された評価環境が、外部への到達を防ぐ境界として十分ではなかった事例が続きました。
今回OpenAIは、その評価環境を監視の外側ではなく内側に置き直しています。さらに監視系はChain of Thought、つまりモデルの思考過程を評価し、セキュリティ対応を発動して高リスク活動のレビューと中断につなげる設計です。出力ではなく、途中経過を見る。評価中のモデル自身が評価環境の境界を越えて行動しうるリスクを、監視設計に明示的に織り込んだと読めます。
同じ問いに、Anthropicは先に別の答えを出していた
構図としては、既視感があります。
Anthropicは2026年4月7日、Claude Mythos Previewについて、主要OSや主要ブラウザを含む重要ソフトウェアで多数のゼロデイ脆弱性を特定できるとして、一般公開を見送りました。かわりにProject Glasswingという枠組みを作り、防御側に限って提供する道を選んでいます。
ただし、そこで止まりませんでした。同社は2026年6月9日、同じ基盤モデルから二つの版を出しています。サイバーや生物分野の高リスクな要求を別モデルへ受け流すセーフガードを備えたClaude Fable 5を一般に公開し、その一部を外したClaude Mythos 5をProject Glasswing経由の限定提供に回した。能力そのものではなく、能力の出口を選り分けたわけです。
この二本立てと、OpenAIがDaybreakとTrusted Access for Cyberで組んできた仕組みは、原則の上では近いものです。強いサイバー能力について、一般公開と審査済みの防御側向けアクセスを分ける。ただし実装は同じではありません。Anthropicは同一基盤モデルにセーフガードの差分を作り、OpenAIは審査によるアクセス階層とサイバー専用モデルを組み合わせています。
そのうえで今回OpenAIが選んだのは、公開の絞り込みではなく開発の減速でした。出口を設計する段階の手前で、いったん手を止めている。Astraについては、絞り込みで足りるかどうかがまだ判断できない、という位置にあると読めます。
なお、Fable 5とMythos 5は公開の3日後、6月12日に米政府の輸出管理指令を受けて停止しました。指令は6月30日に解除され、Fable 5は7月1日に世界向けの提供を再開しています。Mythos 5は承認を受けた一部の組織への復旧から始まり、現在も限定提供です。能力の出口を自社で設計しても、それを止める判断は外側から来ることがある。
留保すべきこと
第一に、評価性能を外部から検証できる定量情報がありません。
これは指摘しておく価値があります。7月のHugging Face事案では、ExploitGymという評価ベンチマークの名前と課題数が公になりました。Anthropicは7月30日公表の遡及調査で141,006件の評価実行をレビューしたと明らかにしています。今回の発表には、ベンチマーク名も、スコアも、実施件数も、専門家の人数も書かれていません。「予備評価の性能が十分に強い」という記述だけです。
公開された情報だけでは、「否定できない」という判断を外部が再現・検証することはできません。
第二に、何をもって決着とするのかが示されていません。
Criticalの能力基準そのものは規程の表1で公開されています。しかし、Astraについて、どの評価結果を満たせばCriticalと確定し、どの結果なら否定するのかという具体的な判定手順と、評価の完了時期は公表されていません。減速の出口が定義されていない状態です。
第三に、停止の実体が見えません。
停止対象は「強化した要件をまだ満たしていないAstra関連の社内活動」とだけ示され、具体的な活動種別や全体に占める範囲、停止期間、公開時期は公表されていません。Axiosの報道によれば、ホワイトハウス当局者はOpenAIが公開延期の方針を政権に自主的に伝えたと説明しています。少なくともこの報道の限りでは、Preparedness Frameworkに基づく義務的な報告とはされていません。
第四に、規程には抜け道にもなりうる条項があります。
バージョン2の第4.3節は「限界的リスク」を扱っており、他の開発者がHighまたはCriticalの能力を持つシステムを同等のセーフガードなしに開発・公開したと厳密に確認できた場合、全体の深刻な被害のリスクを有意に増やさないことなどを条件に、自社のセーフガード水準を調整しうると定めています。中国のオープンウェイトモデルが最先端に迫っている現状を思えば、この条項が存在するという事実は、記憶しておくに値します。
日本の読者にとっての意味
「一社の社内規程の話」で終わらせにくい理由が、二つあります。
ひとつは、この判断の先に日本がつながっていることです。OpenAIは2026年2月にTrusted Access for Cyberを発表し、日本を含む複数国・機関とのパートナーシップを公表しています。日立製作所は6月17日、TACを通じてサイバー向けAIモデルへのアクセスを取得する予定だと発表しました。OpenAIの「Japan Cyber Action Plan」の一環で、日立のCyber CoEが自社を最初の検証対象に据える設計です。利用開始済みとは発表されていません。金融庁は5月14日、AI脅威に関する金融分野の官民作業部会を開いています。
ただし、AstraがTACに載るのかどうか、載るとしていつなのかは公表されていません。今回の減速が日本の防御側への提供にどう響くかを、いま因果で語ることはできません。分かるのは、この判断の届く範囲に日本が入っているという事実だけです。
もうひとつは、この減速を誰が判定するのかという問題です。
ここは制度の状況を正確に押さえる必要があります。カリフォルニア州のTransparency in Frontier Artificial Intelligence Act（SB 53）は、2026年1月1日にすでに施行されています。今回の論点に直接関係する義務として、大規模なフロンティア開発者には次のものがあります。
- リスク管理の枠組みを自社サイトに公開すること
- フロンティアモデルを第三者に提供する前に、透明性レポートを公表すること
- 自社モデルの内部利用から生じる壊滅的リスクの評価要約を、3か月ごと、または自ら書面で通知した合理的なスケジュールで、州緊急事態局へ送ること
- 重大な安全インシデントを、発見から15日以内、切迫した死傷リスクがあれば24時間以内に報告すること
違反には1件あたり最大100万ドルの民事罰があり、州司法長官が執行します。OpenAIが2026年5月28日に公表したFrontier Governance Frameworkは、この法律とEU AI Actへの対応関係を説明する文書です。今回の発表の71日前にあたります。
つまり、配備の前と事故の後だけでなく、開発中の内部評価も制度の対象に入っています。「まだ出していないから制度の外」ではありません。
ただし、留保が二つあります。ひとつは、同法のフロンティアモデルが訓練計算量10の26乗演算超という基準で定義されており、Astraがこれに該当するかは公開情報から確認できないこと。もうひとつは、州緊急事態局へ送られる内部評価の要約が秘密扱いで、州の公文書公開法の適用から外されていることです。制度を通った情報が、そのまま公になるわけではありません。
一方、SB 53は、開発中のモデルの継続や停止について州の事前許可を求める制度にはなっていません。公開すべき文書と、当局へ送る報告は定められている。しかし、止めるか進めるかを決めるのは開発者です。
今回OpenAIは、米政権に自主的に伝えたと報じられています。日本の当局に同種の通知があったかは、公表資料からは確認できません。評価の結果がどこまで、どんな形で外に出るのかも、まだ示されていません。
止めると決めたのも、いつ再開するかを決めるのも、公表資料の上では同じ会社に残っています。
OpenAIのPreparedness Frameworkはバージョン2がPDFで公開されており、表1のCybersecurityの行を開くと、Criticalに対応する措置が一行だけ書かれています。今回の発表と並べて読むと、規程が想定していた対応と、実際に取られた措置の距離が見えます。継続中の評価がどうなればCriticalと確定し、どうなれば否定されるのか。その基準は、まだどこにも書かれていません。
【関連記事】
OpenAI、次期主力モデル「Astra」による数学・理論計算機科学の新結果10件を公表
Astraという名称がOpenAI公式サイトで初めて使われた発表を扱う記事である。今回と同一のモデルの前史にあたる一本だ。
Meta製AIも他社に侵入｜共通点は評価会社Irregular
7月末から続く外部システムへの到達をめぐる開示を整理した一本である。今回の発表の直前までの状況がよく分かる記事といえる。
「防御側優位」は成り立つか──AnthropicのProject GlasswingとAIサイバー能力の構造
Anthropicが2026年4月にMythos Previewの一般公開を見送った経緯を扱う。その後の展開と読み比べたい。
【編集部後記】
数千人規模の死者か重傷者。あるいは数千億ドル規模の経済的損害。Preparedness Frameworkが「深刻な被害」と呼ぶものの中身は、1ページ目の小さな注釈に書かれています。
Criticalという区分は、そこまでの被害を前提に引かれた線です。強すぎるモデル、という話ではありません。
OpenAIは、その線に触れたかもしれないと言いました。触れていないと確認する作業が、いま進んでいます。終わったとき、私たちはそれをどこで知るのでしょうか。
【用語解説】
Preparedness Framework（プリペアドネス・フレームワーク）
OpenAIが定める、深刻な被害を生みうる最先端能力を追跡・管理するための社内規程。初版は2023年12月、現行はバージョン2で2025年4月15日付である。生物・化学、サイバーセキュリティ、AI自己改善の3領域を追跡対象とする。
Critical／High
Preparedness Frameworkが定める能力のしきい値。Highは既存のリスク経路を大きく増幅する水準、Criticalは前例のない質的に新しい脅威経路を生む水準を指す。バージョン2で追跡対象カテゴリのlowとmediumは削除され、現行の区分はこの2段のみである。
ゼロデイエクスプロイト
公表や修正が進む前の未知の脆弱性を、実際に動作する形で悪用する手段。今回のCriticalの定義では、これを人間の介入なしに特定・開発できることが条件の一つとされている。
Astra
OpenAIが開発中の次期モデル。公式サイトで確認できる最も古い名称の使用例は、2026年8月1日の数学・理論計算機科学に関する発表である。公開時期は明らかにされていない。
GPT-5.6 Sol
2026年6月に限定プレビューが始まったGPT-5.6系のモデル。OpenAIが自社最高性能のサイバーセキュリティモデルと位置づけたもので、Preparedness Frameworkの評価ではHighと判定されている。
エージェント的コーディング
モデルが単発の応答ではなく、長い工程を自律的に進めながらコードを書き、実行し、修正していく形態の能力を指す。今回OpenAIが進展を認めたのは、この能力とサイバーセキュリティ能力の両面である。
Chain of Thought（思考の連鎖）
モデルが答えを出すまでの途中の推論過程。今回OpenAIが導入した監視系は、出力だけでなくこの過程を評価し、セキュリティ対応を発動して高リスクな活動のレビューと中断につなげる設計になっている。
限界的リスク（marginal risk）
Preparedness Frameworkバージョン2の第4.3節が扱う考え方。他の開発者がHighまたはCriticalの能力を持つシステムを同等のセーフガードなしに開発・公開したと厳密に確認できた場合、全体の深刻な被害のリスクを有意に増やさないことなどを条件に、自社の水準を調整しうると定める。
ExploitGym
報告済みの脆弱性を実際に動作するエクスプロイトへ変換できるかを測る、サイバー能力の評価ベンチマーク。7月のHugging Face事案では、この名称と課題数が公表された。今回の発表にはベンチマーク名の記載がない。
Trusted Access for Cyber（TAC）
OpenAIが2026年2月5日に発表した仕組み。審査を通った「信頼できる防御側」に限り、高度なサイバーセキュリティ向けモデルへのアクセスを開く。同社の防御構想Daybreakの一部にあたり、日本を含む複数国・機関とのパートナーシップが公表されている。
Claude Mythos Preview
Anthropicが2026年4月7日に公表したモデル。主要OSや主要ブラウザを含む重要ソフトウェアで多数のゼロデイ脆弱性を特定できるとされ、同社は当時、能力の高さを理由に一般公開を見送った。後継にあたるClaude Mythos 5が2026年6月9日に公開され、Project Glasswingを通じて限定的に提供されている。
Claude Fable 5
Anthropicが2026年6月9日に公開した、Mythosクラスの一般提供版。Claude Mythos 5と同一の基盤モデルだが、サイバーや生物などの高リスクな要求を別モデルへ受け流すセーフガードを備える点で異なる。
Transparency in Frontier Artificial Intelligence Act（SB 53）
カリフォルニア州の法律。2025年9月29日成立、2026年1月1日施行。大規模なフロンティア開発者に、リスク管理の枠組みの公開、モデル提供前の透明性レポート、内部利用に伴う壊滅的リスク評価の定期報告、重大インシデントの報告などを義務づける。対象となるフロンティアモデルは訓練計算量10の26乗演算超で定義される。違反には1件あたり最大100万ドルの民事罰があり、州司法長官が執行する。
カリフォルニア州緊急事態局（Cal OES）
SB 53にもとづく報告の受け皿となる州機関。提出された重大インシデント報告と内部利用の壊滅的リスク評価は、州の公文書公開法の適用から除外され、秘密として扱われる。
Frontier Governance Framework
OpenAIが2026年5月28日に公表した文書。自社の安全性・セキュリティ実務が、カリフォルニア州SB 53とEU AI ActのGPAI行動規範にどう対応するかを説明する。Preparedness Frameworkを引き続き土台と位置づけている。
【参考リンク】
OpenAI｜Preparedness Framework（バージョン2・PDF）（外部）
2025年4月15日付の現行版。表1のCybersecurityの行に、Criticalのしきい値と、その際に取るべき措置が記載されている。
OpenAI｜Our updated Preparedness Framework（外部）
バージョン2を公開した際の解説記事。lowとmediumの区分を削除し、HighとCriticalの2段に整理した経緯が読める。
OpenAI｜OpenAI’s Frontier Governance Framework（外部）
2026年5月28日公表。SB 53とEU AI Actへの対応関係を説明する文書で、PFを土台と位置づけると明記している。
OpenAI｜Introducing Trusted Access for Cyber（外部）
2026年2月5日公表。審査を通った防御側に限り、サイバー向けモデルへのアクセスを開く仕組みを説明した一次情報にあたる。
OpenAI｜Third-party cyber evaluations involving OpenAI models（外部）
8月4日の開示。評価会社Irregularから通知を受けた事案と、英国AISIの事案の2件をあわせて説明している投稿である。
OpenAI｜OpenAI and Hugging Face address security incident（外部）
7月21日の事案報告。今回の発表でOpenAIがAstraの関与を明確に否定した、その事案そのものを扱った文書にあたる。
OpenAI｜Preparing for future AI capabilities in biology（外部）
2025年6月の公表。生物学分野でHighに近づいた際の対応を示す。今回の発表が「同じ原則を適用する」と参照した先例である。
OpenAI Daybreak（外部）
防御側に特化したサイバーセキュリティ構想を示す公式ページである。今回の発表が末尾で「防御側」の語からリンクした先にあたる。
OpenAI公式X｜2026年8月7日の投稿（外部）
Astraを最初の「critical」モデルとして扱う、と記した8月7日の投稿。ブログ本文の「否定できない」との差が読み取れる。
California Legislative Information｜SB 53 条文（外部）
カリフォルニア州法SB 53の条文。2026年1月1日施行で、透明性レポートと重大インシデントの報告義務などを定めている。
Anthropic｜Project Glasswing（外部）
Mythosクラスのモデルを防御目的で限定提供する取り組みの公式ページである。参加企業や利用条件についても掲載されている。
日立製作所｜Hitachi expands its work with OpenAI（外部）
2026年6月17日公表。TACを通じたアクセス取得の予定と、Cyber CoEを最初の検証対象に据える設計を記している。
金融庁｜官民連携会議の作業部会の開催について（外部）
2026年5月14日に公表された、AI脅威に関する金融分野の官民作業部会の開催告知。金融庁を除く36組織の一覧を掲載する。
【参考記事】
Exclusive: OpenAI slows release of Astra model citing cyber capabilities（Axios）（外部）
ホワイトハウス当局者の「公開延期の方針を政権に自主的に伝えた」というコメントを収めた、Axiosによる独占記事にあたる。
OpenAI flags possible critical cybersecurity risk in upcoming model, tightens controls（93.3 The Drive／ロイター配信）（外部）
Criticalの定義と講じられた措置を箇条書きで整理したうえ、評価がまだ確認段階にとどまる点を明示した配信記事である。
OpenAI Pauses Some Work on New Astra Model Over Cyber Concerns（Bloomberg）（外部）
一部の社内作業を停止したという事実関係を短く伝えている記事である。全文を閲覧するには購読が必要である点に留意しておきたい。
OpenAI locks down Astra after model raises first-ever critical cyber capability fears（Interesting Engineering）（外部）
OpenAI公式Xの投稿を埋め込みで引用したうえで、公開時期についての同社の姿勢にまで踏み込んで報じている記事である。
OpenAI slows Astra over critical cyber risk（TNW）（外部）
HighとCriticalの関係を簡潔に整理したうえで、今回の発表の抑制された語調そのものに注目している記事の一本である。
