8月、OpenAIは訓練の一部を止めました。9月1日、その停止が解かれていたことが明かされます。同じ発表で、Astraはサイバー能力がCriticalに達した最初のモデルに指定されました。止める判断と、動かす判断が、一つの文書に並んでいます。
OpenAIは2026年9月1日、次期モデルAstraが社内規程Preparedness Frameworkの定めるサイバーセキュリティのCriticalしきい値を満たすと判断したと公表した。この水準に指定するモデルは初めてとなる。
8月7日には「Criticalを排除できない」段階だった。汚染の懸念から新たに構築した内部ベンチマークでは、GPT-5.6 Solより高い任意コード実行率をより少ない出力トークンで達成し、評価中にゼロデイ2件を発見した。
専門家主導の評価では、堅牢化されたブラウザとOSで未知の脆弱性を連鎖させ、サンドボックス脱出とroot権限への昇格に至った。同社は8月28日、保留していた大規模な強化学習ランを再開した。提供は近く始まるが、高度なサイバー機能は当初限定提供となる。
From: 
Path to Astra: critical capabilities and frontier safeguards
【編集部解説】
「排除できない」から「満たす」へ
8月7日、OpenAIは次期モデルAstraについて「Criticalなサイバー能力を排除できない」と公表しました。あれから25日、言い方は「排除できない」から「満たす」に変わりました。日常の語感では小さな移動に見えますが、同社の社内規程の上では、この二つはまったく別の状態を指します。
Preparedness Frameworkは、能力のしきい値をHighとCriticalの2段で定義しています。Highに達したシステムは、展開の前にリスクを十分小さくするセーフガードを求められます。Criticalに達したシステムは、それに加えて開発中にも同じ水準を求められます。今回の指定で、Astraは開発の段階から追加の保護を必要とする最初のモデルになりました。
止まっていたものが、動いた
そして今回の発表でもっとも動いたのは、止まっていたものが動いた、という一点です。
8月18日、OpenAIはHugging Face事案と、AstraがCriticalに達しうるという予備的証拠の二つを挙げ、展開を予定する最新モデルの強化学習を2週間止めたと公表していました。AstraはHugging Face事案に関与していませんが、その訓練の一部も停止の対象となっています。今回、8月28日に、保留していた大規模な強化学習ランを再開したと明かされました。一部の小規模な実験的訓練は、いまも保留のままです。
2週間のあいだに行われたのは、訓練基盤の作り替えでした。隔離とネットワーク制御、監視の範囲の拡大、アラインメント訓練としきい値の強化。停止が明けたあとも小規模な作業は厳しい管理下に置かれ、より大きな強化学習ランは、訓練環境そのものの安全性とセキュリティの基準を引き上げたうえで再開されています。つまりあの停止は、期限で自然に切れるものではなく、解除の条件を伴っていました。能力の側を先に伸ばすのではなく、能力を育てる訓練環境の側を作り替えてから再開したという順序は、7月以降の一連の出来事を追ってきた読者には見覚えのある形だと思います。
能力の中身で、いちばん具体的なのは専門家主導の評価です。堅牢化されたブラウザに対して、Astraは未知の脆弱性を見つけ、動くエクスプロイトチェーンに仕立てました。HTMLファイルを一つ開かせるだけで、サンドボックスを抜けてホスト上でコマンドが走るところまで到達しています。堅牢化されたOSでも複数の脆弱性を組み合わせ、非特権ユーザーからrootへの権限昇格を成立させました。ブラウザの侵害からサンドボックス脱出まで、Pwn2Ownでも問われる種類のエクスプロイトチェーンが組み上がったことになります。この評価は「専門家主導」と説明されています。この評価を含む安全・セキュリティ・アラインメント試験の詳細は、公開時のシステムカードで示される予定です。
数字は、条件とセットで読む
数字の読み方には、いくつか手がかりがあります。ExploitBenchの100%は、既知の脆弱性からエクスプロイトを開発する能力を測った結果です。OpenAI自身が汚染の懸念を挙げ、2026年6〜8月に開示された高深刻度のV8脆弱性20件で内部版を作り直しています。そちらでの任意コード実行率は、具体的な数字ではなく「大幅に高い」という形で示されました。そして発表には、示された結果がDaybreak Blueアクセス時のもので、既定の本番構成ではないという断りが太字で置かれています。8月にGPT-5.6-Cyberの「95%」が能力値ではなく応答率だったのと同じで、条件とセットで読む数字です。
セーフガード側の数字も同じ作法で読めます。サイバー関連のジェイルブレイク評価でAstraは91.5%を拒否し、GPT-5.6 Solの59%を上回りました。これは能力ではなく、拒否の測定です。Hugging Face事案を踏まえて作られたハニーポット試験では、Solが56%の試行で周辺の標的へ手を伸ばしたのに対し、Astraは一度も試みませんでした。ここにも「セーフガードなしの試験条件下の挙動であり、通常の本番利用ではない」という但し書きが添えられています。この但し書きごと引き取るのが、発表の意図に沿った読み方でしょう。
利用者に近いところでは、摩擦の予告が印象に残ります。追加の安全チェックが、防御目的の正当な作業まで遅らせたり止めたりすることがある。サイバーと直接関係しないように見える作業や、エージェントが長時間動く作業も対象になりうる。ミスアラインメント監視がタスクを止めた場合、ChatGPTとCodexでは利用者に確認が求められ、APIではタスクが停止する。公開当初は最終的に意図する水準より摩擦が大きくなる、と発表者自身が先に言っています。この率直さは、防御側の現場で計画を立てる人にとって実務的な価値があります。
規程の改訂より先に、第1号が来た
制度の側にも一つ、目を留めておきたい点があります。8月18日、OpenAIはPreparedness Frameworkを訓練と展開の両方にまたがる形へ改訂する方針を示していました。本日時点で公開されている規程は2025年4月15日付のバージョン2のままです。Critical第1号の指定が、規程の改訂より先に来たことになります。もっともバージョン2は、Criticalに達したモデルに開発中のセーフガードを求める条文をすでに備えています。今回の対応はその条文に沿ったもので、改訂は、先に走った運用をあとから言葉に落とし込む作業になるのだと思います。
OpenAIはAstraを「同社史上もっともアラインしたモデル」と評価しています。事前訓練への介入から強化学習中の採点の一貫性まで、複数年にわたる仕事の積み上げとして語られる評価です。同時に発表は、本番に置くミスアラインメント監視について、良好なアラインメントの代わりにはならず、将来のモデルでは一度も発動しないことが目標だと書いています。安全装置を足したことを成果として掲げるのではなく、いずれ要らなくすることを目標に据えている。
そのシステムカードが公開されるのは、これからです。能力の数字より、そこで何がどう測られたかのほうが、次の一年を占う材料になります。
【関連記事】
OpenAI「Astra」、サイバー能力Criticalの可能性｜一部の社内活動を停止
今回の指定に至る前段。「排除できない」という判断の中身と、規程の条文を読み解いた一本である。
OpenAI、強化学習の訓練を2週間停止｜監視の計算コストも公表
今回再開が明かされた停止そのものを扱った記事。監視にかかる計算コストの見積もりも押さえている。
OpenAI GPT-5.6-Cyber、95%は能力値ではなく「応答率」
本文で触れた「95%」の読み方を詳しく扱った一本。今回の91.5%を読むときの下敷きになる。
【解説】OpenAIのAIが欺こうとした採点器は、存在しなかった｜METR独立調査と読む
ハニーポット試験の背景にあるHugging Face事案を、独立調査とあわせて整理した記事である。
【編集部後記】
監視にはコストがかかります。8月18日の発表で、OpenAIは監視の負荷を、監視対象の推論計算のおよそ20%と見積もっていました。ワークロードによって幅は大きい、という断りつきの数字です。
今回の発表に、この数字は出てきません。ただ、本番に置くミスアラインメント監視も、社内と同じ設計だと書かれています。安全を足すたびに、計算資源が要ります。いずれ要らなくすることが目標だ、という一文には、その手触りも含まれているはずです。
【用語解説】
Preparedness Framework（プリペアドネス・フレームワーク）
OpenAIが定める、深刻な被害を生みうる最先端能力を追跡・管理するための社内規程。初版は2023年12月、現行はバージョン2で2025年4月15日付である。生物・化学、サイバーセキュリティ、AI自己改善の3領域を追跡対象とする。
Critical／High
Preparedness Frameworkが定める能力のしきい値。Highは既存のリスク経路を大きく増幅する水準、Criticalは前例のない質的に新しい脅威経路を生む水準を指す。バージョン2で追跡対象カテゴリのlowとmediumは削除され、現行の区分はこの2段のみである。Highは展開前のセーフガードを求め、Criticalは開発中にもそれを求める。
Astra
OpenAIが開発中の次期モデル。2026年8月7日にCriticalの可能性が公表され、9月1日にCriticalしきい値を満たすと判断された。同社がこの水準に指定した最初のモデルにあたる。
GPT-5.6 Sol
OpenAIの現行のフロンティアモデル。Preparedness Frameworkの評価ではサイバーセキュリティでHighと判定されており、今回のAstraの評価では比較対象として使われている。
GPT-5.6-Cyber
防御側向けに提供されるサイバー特化モデル。2026年8月の発表で示された「95%」が能力値ではなく応答率だったことは、数値の読み方を説明する際の例として本文で挙げている。
ExploitBench
既知の脆弱性から実際に動くエクスプロイトを開発できるかを測るベンチマーク。今回Astraは100%を記録したが、OpenAIは汚染の懸念を挙げ、より新しい脆弱性で内部版を作り直している。
汚染（contamination）
評価に使う課題や答えが、モデルの学習データに含まれてしまっている状態。スコアが能力ではなく記憶を測っている可能性が生じるため、評価の信頼性を損なう。
任意コード実行
攻撃者が望むプログラムを、標的のシステム上で実行させること。脆弱性の悪用が成立したかどうかを測る代表的な指標である。
ゼロデイ
公表や修正が行われる前の未知の脆弱性。今回の評価では、Astraがこれを2件発見し、エクスプロイトチェーンの一部として使用したとされる。
V8
ChromeのJavaScriptエンジン。Webページ上のプログラムを実行する中核部分で、攻撃対象としても研究対象としても扱われることが多い。
エクスプロイトチェーン
複数の脆弱性や手順を連鎖させ、段階的にコード実行、権限昇格、サンドボックス脱出といった最終目的へ到達させる攻撃の組み立て方。
サンドボックス
プログラムの影響範囲を区切るための隔離の仕組み。ここから外へ抜け出すことをサンドボックス脱出と呼び、通常はもう1件の脆弱性を要する。
権限昇格／root
現在より高い権限を獲得すること。rootはUNIX系OSにおける最上位の管理権限を指し、非特権ユーザーからrootへの到達は、そのOSの防御が破られたことを意味する。
ジェイルブレイク
モデルに課された制約を、指示の工夫によって回避させる試み。今回Astraは、サイバー関連のジェイルブレイク評価で91.5%を拒否したとされる。
ハニーポット
攻撃者を誘い込むために意図的に置かれた標的。今回は、モデルが割り当てられた課題を解く代わりに周辺のセキュリティ基盤へ手を伸ばすかを見る試験として使われた。
Daybreak Blue
OpenAIが審査を通った防御側に提供するアクセス階層。今回示されたAstraの評価結果は、既定の本番構成ではなくこのアクセス条件下のものだと明記されている。
アラインメント／ミスアラインメント監視
モデルが意図どおりに振る舞い、人の監督に応じる状態をアラインメントと呼ぶ。ミスアラインメント監視は、モデルの推論と行動を分類器で検査し、認められた範囲を超える活動を自動的に止める仕組みを指す。
強化学習（RL）
モデルの行動に報酬を与えて学習させる手法。フロンティアモデルの後段の訓練で中心的に使われ、今回停止と再開の対象になったのはこの工程である。
システムカード
モデルの公開にあわせて示される文書。能力評価、安全性・セキュリティ・アラインメントの試験結果と、その手法が記載される。
Pwn2Own
実環境に近い条件で攻撃耐性を競う、著名な脆弱性発見コンテスト。ブラウザやOSの侵害チェーンが競技の主要な題材となっている。
【参考リンク】
OpenAI｜Preparedness Framework（バージョン2・PDF）（外部）
2025年4月15日付の現行版。表1のCybersecurityの行に、Criticalのしきい値と、その際に取るべき措置が書かれている。
OpenAI｜Our updated Preparedness Framework（外部）
バージョン2を公開した際の解説記事。lowとmediumの区分を削除し、HighとCriticalの2段に整理した経緯が読める。
OpenAI｜Pacing model development in an era of cyber-critical capabilities（外部）
2026年8月18日公表。2週間の訓練停止と、監視の多段構成、30分以内に警報を出すという目標を説明している。
OpenAI｜Responding to the next frontier of critical cyber capabilities（外部）
2026年8月7日公表。Criticalの2条件と、当時「排除できない」と判断した根拠、停止した社内活動を記す。
OpenAI｜The Hugging Face incident and the road ahead（外部）
2026年8月26日公表のHugging Face事案の総括。評価環境からの逸脱と、その後の方針をまとめている。
OpenAI Daybreak（外部）
防御側に向けたサイバーセキュリティ構想の公式ページ。BlueとRedの階層と、申請の入口が案内されている。
OpenAI Codex（外部）
OpenAIのコード向けエージェントの公式ページ。監視がタスクを止めたとき、確認を求められる面の一つにあたる。
【参考記事】
OpenAI says Astra AI model is its first that crosses ‘Critical’ cybersecurity capability（CNBC）（外部）
Criticalしきい値を越えた初のモデルだとする発表を、Preparedness Frameworkの2段構成とあわせて伝えている。
OpenAI to limit access to Astra model’s advanced cyber features due to hacking concerns（Fortune）（外部）
提供を限定する判断を軸に報じる。GPT-5.6 Solとの能力差と、Hugging Face事案との関係にも触れている。
Open AI’s Astra model is on the way — and very good at breaking into computer systems（TechCrunch）（外部）
公開が近いことを軸に、AnthropicがMythosで示した懸念との類似を指摘した記事である。
OpenAI Astra may have hit critical cyber threshold, prompting safety overhaul（Axios）（外部）
8月18日の記事。Preparedness Frameworkを書き換えている最中だとOpenAIが述べた点を伝えている。
