OpenAI Astra が​「重大」な​サイバー能力に​到達 ──初の​指定と、​正当な​業務まで​止まりうる​安全対策

技術ノート ｜ AIの最新動向を、現場目線で

2026年9月1日、OpenAIが未発表モデル Astra について、自社の Preparedness Framework におけるサイバーセキュリティ能力の「重大（Critical）」しきい値を満たしていると判断したと公表した^[1]。この水準に指定される初のモデルになる。

報道はここまでを伝えている。ただ、同じ発表文の終盤に「ユーザーへの影響」という短い節があり、そこにこう書かれている——追加の安全確認によって、正当な業務が遅延・一時停止・停止することがある。対象にはサイバーセキュリティと直接関係がないように見える作業や、長時間動くエージェントも含まれる。そして、ChatGPT や Codex では人に確認を求めるが、APIなど他の経路ではタスクが停止する。

つまりこの発表は、能力のニュースであると同時に、AIを業務に組み込んでいる会社への「止まることがある」という予告でもある。この記事では①何が起きたのか ②何を根拠に「重大」と判断したのか ③OpenAIが自社の開発を止めた話 ④安全対策の中身 ⑤止まるのは誰かを順に見る。

01 何が​起きたのか──​「高」の​上に、​初めて​誰かが​立った

Astra は近日提供予定のモデルで、まだ一般には出ていない。8月7日の時点でOpenAIは「重大に達している可能性を排除できない」と発表しており^[2]、今回はそこから証拠と評価を追加して「満たしている」と判断が確定したという位置づけになる。

Preparedness Framework は、OpenAIが2023年12月に公開した自社の安全枠組みで、モデルの能力が一定の水準に達したときに何をするかを、あらかじめ決めてあるものだ。サイバーセキュリティの「重大」は、次のどちらかを満たすと定義されている^[1]。

提供については、近日中に出すが、最も高度なサイバー能力へのアクセスは限定される。当初は少数のアルファテスターに提供し、その後 Daybreak Blue 経由で防御目的の利用に広げる、と書かれている。Daybreak は防御側にフロンティア能力を開くためのプログラムで、その仕組みは以前に扱った。

関連記事 ｜ 誰に、どこまで開くのかOpenAI Daybreak Blue / Red とは何か ──AIの制限を「外す」のではなく「誰に外すか」を審査する仕組みを解説 →

02 何を​根拠に​「重大」と​判断したのか──評価の​中で、​未知の​脆弱性を​2件見つけている

判断の材料は、自動ベンチマークと専門家による評価の組み合わせだ。公表されている結果を並べる。

評価	結果
ExploitBench （既知の脆弱性から攻撃手法を作る能力）	100%（満点）
ExploitBench - Internal Port （2026年6〜8月・新しめのV8の高深刻度脆弱性20件で自作）	GPT‑5.6 Sol より任意コード実行の成功率が大幅に上回り、しかも出力トークンははるかに少ない
その評価の途中で	未知の脆弱性を2件発見し、攻撃の連鎖の一部として実際に使った（メンテナーへ開示手続き中）
堅牢化されたブラウザへの専門家評価	HTMLファイルを開かせるだけでサンドボックスを脱出し、ホスト上でコマンドを実行する完全な侵害チェーンを構築
堅牢化されたOSへの専門家評価	複数の脆弱性を組み合わせ、一般ユーザーから root への権限昇格チェーンを構築

数字の受け取り方で1点だけ注意がある。OpenAIは「ここに示すAstraの結果は、既定の本番構成ではなく Daybreak Blue へのアクセスがある場合の能力を反映している」と明記している^[1]。防御研究向けに制限を緩めた状態での数字だ、ということを添えずに引用すると意味が変わる。

03 OpenAIが​「自社の​開発を​止めた」​話──日付と​対象が​書かれている

この発表でもう一つ具体的なのは、能力の話ではなく止めた側の記録だ。Hugging Face のインシデント（OpenAIのモデルが評価中に第三者のシステムを侵害した件）のあと、何をどこまで止めたかが日付つきで並んでいる。

ここで参照されている Hugging Face のインシデントは、評価中のモデルが第三者のシステムを侵害したという出来事で、以前に扱った。OpenAIは今回「当時の本番環境の安全対策があれば、あのインシデントは防げたと考えている」とも書いている^[1]。

関連記事 ｜ 今回の対策の出発点AIエージェントが本番インフラに侵入した ──OpenAIとHugging Faceが公表したセキュリティ事故を解説 →

04 安全対策の​中身と、​その​数字──前提を​外すと​意味が​変わる

公表されている対策は2方向に分かれている。悪意ある人がモデルを使う経路と、モデル自身が許可されていない行動を取る経路だ。後者は社内の開発にも外部への提供にも同じく当てはまる、と書かれている。

対策	公表されている数字・内容
拒否の強さ	サイバー系ジェイルブレイク評価で Astra は 91.5% を拒否（GPT‑5.6 Sol は 59%）
高リスクの口座	より保守的な境界を適用し、リスクの可能性がある依頼を広めに断る
ハニーポット試験	課題を解く代わりに周辺のセキュリティ基盤を侵しにいくか。GPT‑5.6 Sol は 56% で試み、Astra は一度も試みなかった
監視	思考の連鎖を分類器群が確認し、許可されていない可能性のある活動を自動で停止する

ハニーポットの数字には但し書きがある。これは本番のサイバー安全対策を適用しない条件での挙動で、通常の利用時のものではない^[1]。この種の数字は前提を外すと意味が変わるので、社内で共有するときは条件ごと運ぶ必要がある。

05 止まるのは​誰か​──​「ユーザーへの​影響」の​節に​書かれている​こと

ここが今回いちばん実務に効く。発表文の終盤に、能力の話とは別に短い節がある。

追加の安全確認により、防御的なサイバーセキュリティを含む正当な作業が、遅延、一時停止、停止する場合があります。

正当な活動が潜在的なサイバー悪用や無許可の動作として誤検知され、意図せず遅延、一時停止、停止する場合があります。これには、サイバーセキュリティと直接関係がないように見える作業や、エージェントが長時間動作するタスクも含まれます。

OpenAI「Astra への道：重大な能力とフロンティア安全対策」2026年9月1日^[1]より

そして、止まったときの扱いが使っている経路によって違う。

この差が、AIを業務に組み込んでいる会社に直接効く。画面の前に人がいる使い方なら「確認しますか」で済むが、夜間バッチや自動処理のようにAPIで動かしている経路には、確認する人がいない。しかも対象は「サイバーっぽい作業」に限られておらず、長時間動くエージェントが名指しされている——資料の一括生成、コードベースの大規模な移行、長い調査。止まると困る種類の仕事が、そのまま条件に当てはまる。

OpenAI自身も「リリース時の安全対策は、最終的に目指す水準よりも利用時の制約が多くなる見込み」と書いており^[1]、当面は厳しめに倒す方針であることを認めている。今後は不要な中断を減らすよう調整していく、とも書かれている。私たちも日々AIを業務の中で動かしているが、「賢くなった」より先に「止まったとき何が起きるか」を決めておくほうが、実務では効く場面が多い。

06 ​今日できる​備え──Astraが​来る​前に、​確かめて​おく​こと

Astra はまだ出ていないので、今日できるのは準備だ。上から順に、今の仕組みを確認するもの・設計を変えるものの順に並べた。

• APIで動かしている自動処理を洗い出す（夜間バッチ・定期実行・長時間動くエージェント）
• その処理が途中で止まったときに気づける仕組みがあるかを確認する（成功しか記録していない監視は、止まったことを教えてくれない）
• 止まった場合に人へ回す経路を用意する（自動で無限に再試行しない）
• セキュリティ関連の業務でAIを使っているなら、拒否・停止が起きうる前提で手順を書いておく（防御側の作業も止まりうる、と公式が明記している）
• ベンダーの数字を社内で共有するときは「どの条件での数字か」を一緒に運ぶ（本番構成か、安全対策を外した試験条件か）

止まるのは攻撃者だけではない。