OpenAIはAstraに重大なサイバー能力が備わっている可能性を排除できず、作業の一部のみを停止した

金曜日、2026年8月7日に、OpenAIは投稿を公開し、同社の次期モデルの一つであるAstraについて最新の社内評価を行った結果、「エージェント型コーディングとサイバーセキュリティにおいて大幅な進歩」が示されたと述べ、さらに同モデルがCritical——Preparedness Frameworkにおける最高のサイバー階層——に達する可能性を排除できないとした。この結論は数日間のテストを経て「昨夜」に導かれたと、投稿は述べている。害は何も及んでいない。投稿は侵入ではなく評価について述べており、OpenAIはAstraが「Hugging Faceの悪用に関与していない」と明言した。変わったのは内部的なことであり、強化されたセキュリティ管理を満たさない開発は一時停止され、満たす作業は継続された。最も直接的な影響を受けるのはOpenAIの開発者たちであり、最終的にアクセスを得ることになるテスターや防御側の担当者たちでもある。この決定の記録はAIインシデントアーカイブの1件の項目であり、そこには本インシデントの情報源、格付け、および隣接する項目が含まれている。

ガバナンス上の出来事としては、印象的なのは、この投稿が主張している内容がいかに少ないかという点だ。スコアも、試験結果も、記録も、名前の挙がった外部評価者も報告していない。報告しているのは一つの判断だ。入手可能な証拠に基づき、OpenAIはこれまで自社のどのモデルにも割り当てたことのない能力レベルを排除できなかった、という判断である。そのためこの記録は、一度に二つのものとして読む価値がある。モデルに関する開示として、そして、企業自身の安全フレームワークがその企業の行動を変えるかどうかの試金石として。

OpenAIのフレームワークにおける「Critical」の意味

このPreparedness Frameworkは、2023年12月に初めて公開され、2025年4月15日にバージョン2として改訂され、生物学的・化学的能力、サイバーセキュリティ、AIの自己改善という3つのカテゴリーを追跡しています。それぞれにHighとCriticalの2つの能力段階があります。サイバーの閾値は、このフレームワークとOpenAIの8月の投稿の両方でほぼ同一の文言で示されています。モデルが「人間の介入なしに、多くの堅牢化された実世界の重要システムにおいて、あらゆる深刻度レベルの機能的なゼロデイエクスプロイトを特定し開発できる」場合、または「高いレベルの所望の目標のみを与えられた状態で、堅牢化された標的に対するサイバー攻撃のためのエンドツーエンドの新規戦略を考案し実行できる」場合、そのモデルはCriticalに達します。

Highはその下の階層だ。OpenAIの投稿によると、GPT-5.6 Solを含む以前のモデルはフロンティアなサイバー能力について評価され、CriticalではなくHighと判定された。この区別が重要なのは、枠組みがそれぞれに異なる義務を課しているからだ。Criticalに達したモデルに対して、枠組みは「展開計画にかかわらず、開発中に関連するリスクを十分に最小化する」セーフガードを要求している。そのサイバー分野の表はさらに率直だ。「Critical基準を満たすセーフガードおよびセキュリティ管理基準を規定するまで、さらなる開発を停止せよ」と記されている。

8月7日の文言は指定ではない。その投稿には「予備的評価により、現時点ではCritical capability levelを否定できないほど十分な性能が示されている」と書かれている。同社はまだベンチマーク評価を続けており、そう明言していた。

OpenAIが行ったことと、一時停止が対象とした範囲

この投稿では五つの内部的な措置が挙げられており、そのすべてが、作業を中止する理由としてではなく、作業を継続するための条件として位置づけられている：

• 能力の高いモデルおよび関連する活動に対する、より厳格なセキュリティ管理策：「分離されたテスト環境、ネットワークおよびツールへのアクセス制限、モデル重みの保護と暗号化の強化、追加の監視・検知機能、およびサンドボックス化された実行」

• 「これらの強化されたセキュリティ管理要件をまだ満たしていない、Astra に関わる内部活動」の一時停止。要件を満たしている作業は継続できます。

•「Astraのすべてのエージェント型アプリケーション（トレーニングや評価を含む）において、危険な行動と不整合を普遍的に監視する」もので、監視機能がモデルの思考の連鎖を読み取り、高リスク活動を精査・中断するためのセキュリティ対応をトリガーします。

• 「関連する政府機関および一部のAI安全機関」とのテスト。

・より高リスクの評価やワークロードを実行する第三者テストパートナー向けに推奨されるセキュリティ管理策。

OpenAIはその前例について自ら説明している。投稿には「2025年6月、当社のモデルがPreparedness Frameworkにおける生物学の高能力閾値に近づいた際」とあり、同社は安全策の強化、テストの拡大、外部専門家との協力、セキュリティ管理の追加といった措置を概説し、「ここでも同じ原則を適用している」と述べている。押さえておくべき細部はその段階（ティア）だ。OpenAI自身の説明では、その2025年6月の生物学のケースはHighに位置づけられており、今回開示したサイバー評価より1段階下となる。

報道で最初に読み取られたのは、あるラボが急ブレーキをかけたというものだった。The Next Webは、8月7日17:36 UTCに公開した記事で、テストを続けながら「一部の内部作業」を一時停止したと述べ、次のように報じた：Axiosはそれを「サイバーリスクを理由にフロンティアラボが自社モデルの一つを減速させたのは、おそらく初めてのことだ」と評した。それはこの発表についての妥当な説明だ。停止とは同じではなく、投稿は停止を主張していない。

8月7日の投稿が立証していないこと

「排除できない」と「到達した」の間の隔たりこそが、この記録の不確実性のすべてであり、投稿はそれを埋めようとはしていない。ベンチマーク名も、成功率も、発見された脆弱性の数も、テスト対象システムの説明も、トランスクリプトも、独立した評価も、公開日も示していない。Astraが2つのクリティカル条件のどちらに近づいていたのか、またどれほど近づいていたのかも述べていない。述べているのは、証拠が十分に強く、企業が最上位層を排除できなかったということだけだ。

つまり、その日付時点の記録が確立しているのは開示と対応であり、測定された能力ではない。能力に関する判断はOpenAI自身によるもので、同社が公表していない社内評価に基づいてなされている。OpenAIは外部の評価機関を一切指名しておらず、外部の研究所がAstraを「Critical」の定義に照らして公開テストしたこともない。この項目は最高レベルの確信度で格付けされ、異議なしとされ、実害なしとして記録されている。これは、投稿の実際の中身——すなわち企業の声明であって、インシデント報告ではない——に符合する。

次に何が起こったの？

までに2026年9月1日、暫定的な文言は変わっていた。見出し「Astraへの道：重要な能力とフロンティアの保護措置」のフォローアップ記事で、OpenAIは次のように書いた。「われわれは現在、Astraが当社のPreparedness FrameworkにおけるCritical cybersecurity capability thresholdを満たしていると考えている……当社がこのレベルに指定する最初のモデルである。」

同じ投稿には、8月の開示が省いていた具体的内容が示されていた。それらは種類ごとに分ける価値がある。

• ベンチマーク。 Astraは、既知の脆弱性をエクスプロイトに変える公開ベンチマーク「ExploitBench」で100%のスコアを獲得した。コンタミネーションへの懸念から、OpenAIは2026年6月から8月に公開された高深刻度のV8脆弱性20件を含む内部ポートも構築した。そのセット上で、Astraは「エクスプロイトチェーンの一部として2つのゼロデイ脆弱性」を発見し利用したと投稿は述べており、OpenAIはこれをメンテナーに開示する過程にあったと同社は述べた。

• 専門家主導の評価。堅牢化されたブラウザに対して、Astraはサンドボックスを脱出しホスト上でコマンドを実行する攻撃チェーンを構築しました。システムカードには、専門家が一部の本番環境向け緩和策を欠くと判断したビルドに対して最初の成功に29時間を要し、そのエクスプロイトを公式の安定版リリースに適応させるのにさらに12時間を要したことが記録されています。堅牢化されたオペレーティングシステムに対しては、脆弱性を組み合わせ、12時間以内に非特権ユーザーからrootへのローカル権限昇格を達成しました。

• 拒否率。OpenAIのサイバージェイルブレイク評価では、Astraはリクエストの91.5%を拒否し、GPT-5.6 Solは59%でした。この数値はシステムカードにも再掲されています。

• 限界付きの独立検証。システムカードは、2026年9月3日にOpenAIがその日GPT-6 Astraとして公開したモデル向けに公開され、セキュリティ研究所Irregularによる外部評価を含んでいる。Irregularによると、AstraはFrontierCyberの226課題のうち86を解決したが、GPT-5.6 Solは226中34だった。これにはブラウザ、携帯電話、クラウドデータベースに影響するゼロデイが含まれる。また「完全に強化された標的への攻撃が成功した事例は観測されなかった」とし、両モデルとも7つのElite課題はいずれも解決できなかった。

9月1日の投稿はまた、一時停止の内容も明らかにした。OpenAIは、過去数週間にわたり「Astraの開発およびリリースの一部を遅延させた」と述べ、2026年8月28日に、新たな安全・セキュリティ要件が整った後で「以前に一時停止していた大規模フロンティアRL実行を再開した」と述べた。アクセスは段階制で、高度なサイバーセキュリティ作業はまず少数のテスターグループが行い、その後Daybreak Blueプログラムが続く。

確立済み、暫定、および未確立

• 確認済み。OpenAIは2026年8月7日に開示情報を公表し、Astraにおける重大なサイバー能力を排除できないと述べた。同社は上記の管理策と部分的な一時停止を列挙した。The Next Webは同日にその投稿を報じ、Axiosはサイバーリスクを理由とする減速として取り扱った。

• 後日確立。2026年9月1日、OpenAIはAstraがCritical閾値を満たすと認定した——同社がその水準で認定した最初のモデルである——そしてベンチマークと専門家評価の結果を公表した。9月3日のシステムカードには、同じ拒否率とIrregularによる外部評価が記載されている。

• 暫定的かつ自己評価によるもの。能力に関する結論はOpenAI自身のもので、OpenAIの評価に基づいている。8月7日時点で、外部の研究所がこのモデルを「Critical」の定義に照らして公開テストした例はなく、投稿はいかなる外部評価者も挙げていなかった。その後のIrregularによる外部検証は、この指定より範囲が狭く、完全に堅牢化された標的に対する攻撃は一件も成功しなかったと明示的に述べている。

• 立証されていない。アストラが実際に8月7日にCriticalしきい値に達したことは立証されていない。投稿は、同社がそれを排除できなかったと述べているだけである。実際のシステムが侵害されたことも立証されていない。記録には危害が記録されておらず、OpenAIはAstraがHugging Faceのインシデントに関与していなかったと述べた。また、部分的な一時停止がフレームワーク自体の「開発のさらなる継続を停止する」という文言を満たしたことも立証されていない。OpenAIは新たな管理策を満たす作業を継続し、それらの管理策の十分性を外部機関ではなく同社自身が判断した。

記録が未解決のまま残すガバナンス上の問い

この枠組みは自己拘束的な文書である。OpenAIは自らを閾値と安全策に拘束するが、評価と十分性の判断はOpenAI自身に委ねられ、安全性諮問グループによる内部レビューと取締役会による監督が付されるのみである。8月7日の投稿は協議について述べており、政府機関と「一部のAI安全機関」がモデルをテストすることになるが、規制当局は名指しされておらず、基準は公表されておらず、日程も定められていない。外部の者がこの判断を検証したことを示す記録は何もない。

記録が実際に示しているのは、仕組みが動いたということだ。能力評価によって社内の実務は一日のうちに変わった。統制は強化され、一部の作業は停止し、監視は訓練と評価にまで広がり、最も高性能な機能へのアクセスは後にテスターに限定された。それはプレスリリース以上のものであり、外部検証には満たない。

未解決の部分は、フレームワークだけでは決着できない部分だ。「排除できない」は能力についての表明ではなく証拠についての表明であり、再開する前にどれだけの証拠があれば十分かを会社に判断させるものだ。OpenAIは8月28日に大規模トレーニングを再開し、9月1日にモデルをCriticalに指定し、9月3日にGPT-6 Astraとしてリリースした。各段階は記録に残されている。それぞれの段階が、それが行われた時に行われるべきだったかどうかは、記録が記すものの答えは出さない判断である。