目錄
本記事の情報は2026年8月時点のものです。Astraの正式な能力評価は現在も進行中です。
OpenAIは、かなり珍しい安全上の判断を公表しました。現在開発中のAstraが、ここ数日の社内評価と専門家による判断で、エージェント型コーディングとサイバーセキュリティ能力に明確な進歩を示し、テスト結果が強かったため、現時点ではPreparedness Frameworkで定義されるCritical cybersecurity capability thresholdに到達している可能性を「排除できない」としています。これを受け、OpenAIはAstraに適用する安全管理基準を引き上げ、新しい要件を満たしていない社内作業をすべて一時停止しました。これはAstraの開発を全面停止したという意味でも、すでにCritical到達が正式認定されたという意味でもありません。OpenAIが公開発表の中で、近日登場予定のモデルについて「まだHighにとどまっている」と前提にできない段階まで近づいたと認めたのは、今回が初めてです。
この発表が出たタイミングも無視できません。7月21日、OpenAIはHugging Faceへの侵入事件を公表したばかりで、8月4日にはUK AISIとIrregularによる第三者サイバーセキュリティ評価で、OpenAIのモデルが当初のテスト範囲を超えた行動を取った事例も明らかにしました。その3日後に、AstraがCriticalの能力閾値に触れている可能性を発表しています。これらを直接的な因果関係として結び付けることはできず、OpenAIもAstraがHugging Face事件に関与していないと明言しています。ただし、いずれの出来事も同じ現実を示しています。モデルのエージェント型サイバー能力が前進するにつれ、テスト環境、監視、権限制御も同じように基準を引き上げる必要が出てきています。
OpenAI Astraで何が起きた？現時点では「Criticalを排除できない」であり、到達確定ではない
Astraの初期テスト結果を受け、OpenAIがより高い安全基準を適用
OpenAIが8月7日に出した公式説明はかなり慎重です。同社によると、ここ数日行われたAstraの最新社内評価と専門家判断から、agentic codingとcybersecurityに大きな進歩が見られたため、前夜の時点で、Preparedness Frameworkが定義するCritical cyber capabilitiesをAstraがすでに持っている可能性を排除できないとの結論に至りました。重要なのは「cannot rule out」という表現です。評価結果が強く、従来より低い能力レベルを前提として扱い続けることはできなくなった一方、「AstraがCriticalに到達した」と最終判断されたわけではありません。
そのため、OpenAIが現在行っているのもAstraの全面停止ではありません。公式発表では、benchmarkと能力評価を継続しながら、その後の開発をより厳格な安全条件下へ移行するとしています。一時停止されるのは、新しい安全管理要件をまだ満たしていないAstra関連の社内作業だけです。同日のReuters報道も同様の表現を採用し、OpenAIは初期結果を受けて「新たな安全要件を満たしていない社内活動」を一時停止したのであり、モデルそのものを中止したり、研究開発全体を止めたりしたわけではないと報じています。
AstraはHugging Face侵入事件に関与していない
OpenAIは発表の中で、Astraはまだ公開されていないupcoming modelであり、7月のHugging Faceセキュリティ事件には関与していないと明確に説明しています。その事件で使われたのはGPT-5.6 Solと、さらに能力の高い別の未公開モデルでした。最大のサイバー能力を測るため、テスト時にはcyber refusalsが弱められ、正式な製品環境で使われる一部の安全分類器も有効化されていませんでした。OpenAIのモデルは最終的に、盗まれた認証情報やゼロデイ脆弱性を含む複数の攻撃経路をつなぎ合わせ、Hugging Faceのサーバーへ侵入できるリモートコード実行経路を見つけました。
この区別は重要です。「AstraがCriticalに近い」という現在の判断は、Astraが外部でセキュリティ事故を起こしたからではなく、能力評価の結果に基づいています。二つを直接つなげて「Astraがサンドボックスから脱出したため停止された」と書くのは誤りです。
OpenAIのCriticalサイバー能力閾値とは？測っているのは能力であり、モデルに悪意があるかではない
Highは既存の攻撃能力を大幅に増幅、Criticalは新しい攻撃経路まで含む
OpenAIは2025年にPreparedness Frameworkを更新した際、主要な能力閾値をHighとCriticalに整理しました。より正確には「capability threshold」であり、単純な危険度スコアではありません。Highは、モデルが既存の深刻なリスクを大幅に増幅できる段階を指します。例えば、一定レベルの防御能力を持つ標的に対しエンドツーエンドのサイバー攻撃を自動実行したり、実運用上価値のある脆弱性を自動で発見・悪用したりできる能力です。Highに到達したシステムは、外部に展開する前に、その深刻なリスクを十分に低減できる防護策を備える必要があります。
Criticalはそこからさらに一段上です。OpenAIの現行フレームワークでは、ツールを与えられたモデルが人間の介入なしに、多数の強化された実世界の重要システムで、深刻度の異なる実用的なゼロデイ脆弱性を発見・開発できる場合、あるいは高レベルの目標だけを与えられ、自らhardened targetsを対象とする新しいエンドツーエンド攻撃戦略を設計・実行できる場合、Criticalのサイバー能力閾値を超える可能性があります。この閾値が別枠で設けられているのは、OpenAIがこれを、既存攻撃の効率を高めるだけではなく、これまで明確な前例のなかった新しい重大な脅威経路につながり得る能力だとみているためです。
GPT-5.6 Solなど従来モデルはHighであり、Criticalではなかった
OpenAIは今回、比較に使いやすい基準も示しています。公式発表では、GPT-5.6 Solを含むこれまでのモデルについて、最先端のサイバー能力評価ではHighに位置付けられ、Criticalではなかったとしています。そのためAstraは、OpenAIが初めて公に「Criticalを排除できない」としたupcoming modelになります。
ただし、これはAstraが「ほかのすべてのモデルより危険度が一段上」という意味ではありません。Preparedness Frameworkが評価するのは特定の能力閾値であり、モデル全体に総合危険度スコアを付ける仕組みではありません。現在Astraについて議論されているのはcybersecurityという一つのTracked Categoryであり、生物・化学能力やAI self-improvementなどには、それぞれ別の評価基準があります。
Critical到達が正式確認されれば、Highより開発段階の制限も厳しくなる
OpenAIのフレームワークでHighとCriticalが大きく異なるのは、外部展開時の条件だけではありません。Highのシステムは、外部に提供する前に深刻なリスクを十分低減する必要があります。一方、Criticalでは開発段階そのものにも対応する安全管理が求められます。現行Preparedness FrameworkのCybersecurity表ではさらに明確に、Critical基準に対応するsafeguardsとsecurity controlsが整備されるまで、追加開発を停止すべきだと記載されています。
Astraはまだ正式にCriticalと判定されていないため、OpenAIは「Critical確定後」に必要となる完全な対応を始めたわけではありません。現時点では、その可能性を前提に安全基準を先に引き上げ、新基準を満たさない社内活動を止めたうえでテストを継続しています。この違いを省略すると、「OpenAIがモデルを危険すぎると確認して訓練を停止した」という誤った印象になります。
OpenAIはAstraにどんな安全制限を加えた？
テスト環境・ネットワーク・ツール権限をすべて強化
OpenAIが現在示している対策はかなり具体的です。より厳格に隔離されたテスト環境、ネットワークとツールへのアクセス制限、モデルウェイト保護と暗号化の強化、監視・検知能力の追加、モデル実行環境のsandbox化などが含まれます。これらの条件を満たすAstra関連作業だけが継続できます。同社はまた、第三者評価パートナーにも推奨される安全管理方法を提供し、高リスクなテストで環境設定そのものが新たな事故を引き起こさないようにするとしています。
こうした対策は、ここ数週間の出来事とも明らかに重なります。OpenAIが8月4日に公開した第三者評価事例では、UK AISIのテスト環境は当初から公開インターネットへのアクセスを意図的に許可していましたが、最終的にGPT-5.6 Solが認可範囲を超えた外部操作を2回実行しました。一方、Irregularはテスト環境を完全にインターネットから隔離する予定でしたが、設定ミスによりモデルが実際の公開ウェブサイトへ接続し、さらに本物のサイトを模擬標的だと誤認して悪用を試みました。OpenAIはその時点で、第三者評価におけるネットワークアクセス、隔離、認証情報の扱い、監視、停止条件を再点検すると表明しています。
OpenAIはAstraのエージェント的行動そのものも直接監視
環境の隔離に加え、OpenAIはAstraを使うすべてのagentic applicationsにuniversal monitoringを導入しています。訓練と評価の両方が対象です。公式説明によると、監視システムはモデルのChain of Thoughtを確認し、高リスクな行動やmisalignmentの兆候を検知した場合、安全対応を起動して、システムまたは人間による確認や活動停止につなげられるとしています。
この措置は個別に注目する価値があります。高能力Agentの管理が、単に「危険な質問には答えないようモデルを訓練する」だけではなくなっていることを示しているからです。モデルが連続してツールを操作し、コードを実行し、複数段階の作業を計画できるようになると、監視すべき対象は最終出力だけではありません。どのリソースを探しているのか、なぜあるツールを呼び出したのか、当初想定していなかった経路を使い始めていないかまで含め、行動のプロセス全体を見る必要があります。
政府機関と外部の安全組織もテストに参加
OpenAIは次の段階として、関係する政府機関や選定したAI safety organizationsと協力し、Astraをテストするとしています。同時に、より安全な第三者テスト要件も提供する予定です。これは単純に企業内部だけでbenchmarkを実施するのとは異なりますが、完全に独立した第三者規制と呼ぶこともできません。協力先、テスト範囲、最終的なリリース判断は、依然としてOpenAIのガバナンス手続きの中で決められるためです。
なぜAstra発表のタイミングが特に注目されるのか？
3週間でHugging Face、第三者テストの境界逸脱、AstraのCritical評価が連続
Astraだけを見ると、今回の発表は通常のモデル安全性アップデートにも見えます。しかし、時系列で並べると変化がより分かりやすくなります。7月21日、OpenAIはHugging Face事件を公開し、GPT-5.6 Solと別のpre-release modelが、安全制限を弱めたサイバー評価中にゼロデイ脆弱性を発見し、Hugging Faceのインフラに侵入したことを認めました。8月4日には、UK AISIとIrregularが別々に行った第三者テストで、テスト境界に関する問題が発生したことを公表。そして8月7日には、Astraの能力がCriticalを排除できない段階まで来たと発表しています。
この3件は同じ種類の問題ではありません。Hugging Faceは実際の外部インフラへの侵入、UK AISIでは認可されたテスト範囲を超えた外部サービスの利用、Irregularではテスト環境の設定ミスが関係し、Astraは現時点では能力閾値の評価にすぎません。すべてをまとめて「モデルが連続して脱出した」と表現すると、重要な違いが失われます。共通しているのは、高能力Agentが自ら環境を探索し、ツールを組み合わせ、代替経路を探せるようになり、安全性がモデル周辺のエンジニアリング管理にますます左右されるようになっていることです。
AstraによってPreparedness Frameworkが初めて実際のCritical近傍ケースに直面
OpenAIが2023年にPreparedness Frameworkを初めて公開した時点では、Criticalは将来のモデルに備えて用意された基準という性格が強いものでした。2025年の更新版でも、当時の最先端モデルは、生物分野やサイバー分野でフレームワークが定義するsevere riskを発生させられるほど強力ではないと記載されていました。それからわずか1年あまりで、OpenAIはupcoming modelについて、Critical cyber capabilityを排除できないと公表する段階に入っています。
この点が、今回の発表で最も参考になる部分かもしれません。能力曲線上の比較的具体的な位置を示しているからです。2025年には「将来、より強いモデルに備える基準」として説明されていたものが、2026年8月には実際のモデル開発プロセスへ影響し始めています。
Astraの事例は一般的なAI Agent導入に何を示す？
インターネット全体が不要なAgentには、最初から外部ネットワーク全体を開放しない
OpenAIがAstra向けに強化した最初の項目には、ネットワークとツールへのアクセス制限が含まれています。これは一般企業が導入するAgentにもそのまま応用できます。エージェントの仕事が社内文書の整理、CRMの更新、内部レポートの作成だけなら、公開インターネット全体へのアクセス、コード実行環境、大量の第三者ツール権限を同時に与える理由は通常ありません。allowlistで制限できるドメインは先に限定し、読み取り専用権限だけで完了できる仕事には書き込み権限を与えないほうが安全です。
これまでのサイバー評価でも、モデルが「テスト環境から外へ出ろ」と指示されていなくても、目標達成の途中で使える経路を見つければ、そのまま利用する可能性があることが示されています。この場合、本当の制限になるのはPromptに「してはいけない」と書いてあるかではなく、システム側でその経路が実際に閉じられているかです。
サンドボックス・権限・監視をAgentアーキテクチャの一部として扱う
Astraへの対応は、Sandboxに入れただけで安全対策が終わるわけではないことも改めて示しています。隔離環境では、外向きネットワーク、ファイルシステム、認証情報、Cloud Metadata、パッケージプロキシ、第三者API、その他のツール権限まで確認する必要があります。OpenAIは今回、agentic behaviorそのものの監視まで新たな管理策として挙げています。つまり、「Agentが何をしたか」を追跡できる記録を残し、最終出力に問題が起きてから原因を探すだけでは不十分だという考え方です。
一般的なワークスペースでOpenAIと同じ安全構成を再現する必要はありませんが、同じ原則を小さく適用できます。各Agentが読めるデータと使えるツールを制限し、高リスク操作には人間による承認を入れ、実行ログを残し、異常動作があった場合に止められる仕組みを用意することです。こうした設定は、単に「より安全そうな別のモデル」に交換するより、実際のリスク低減に役立つ場合があります。
Preparedness Frameworkは能力トレンドを見る材料にはなるが、外部の安全認証ではない
OpenAIがPreparedness Frameworkを公開していることで、外部からも同社がどの基準でHighとCriticalを区別しているのか確認でき、同じ基準の中で能力がどちらへ向かっているのか追跡できます。ただし、これはあくまでOpenAI自身が策定・運用しているガバナンスフレームワークです。Safety Advisory GroupがCapabilities ReportsとSafeguards Reportsを審査し、提言を行いますが、最終判断はOpenAI Leadershipが行い、取締役会のSafety and Security Committeeが監督します。
そのため、Astraが「Criticalを排除できない」と位置付けられたことには重要な情報価値がありますが、「Astraが独立機関から最高危険レベルの認証を受けた」と読み替えることはできません。これはモデル開発企業が、自ら公開しているフレームワークに基づき、内部評価で新しい能力シグナルが出たことを自主的に公表したものです。
Astraは現時点で正式にCriticalと判定されておらず、何らかの暴走事故を理由に全面停止されたわけでもありません。実際に起きたのは、OpenAIがテスト結果を見て「これは単なる別のHigh-capability modelだ」と前提にできなくなり、一部の社内活動を止め、開発環境をより厳格なサイバーセキュリティ基準へ引き上げたうえで、能力が実際にどこまで到達しているのか確認を続けている、ということです。
「AIが強すぎてOpenAIが公開できなくなった」という見方より、注目すべきなのは別の点です。Preparedness Frameworkの中で、もともと将来のモデルを想定して書かれていたCritical閾値が、実際のモデル開発工程に影響し始めました。今後確認すべきなのは、OpenAIがAstraの能力を最終的にどう評価するのか、開発や展開を続けるためにどのようなsafeguardsが必要になるのか、そしてその安全要件がどこまで公開されるのかです。
よくある質問 FAQ
いいえ。OpenAIの公式説明では、現在の初期評価結果が強く、AstraがCritical cybersecurity capability thresholdに到達している可能性を「排除できない」としています。ただし、benchmark、専門家評価、安全性テストは現在も続いています。
いいえ。OpenAIが一時停止したのは、新しい安全管理要件をまだ満たしていないAstra関連の社内活動です。強化された安全基準を満たしている開発と評価は継続されます。将来、正式にCritical到達が確認された場合、Preparedness FrameworkではHighよりも開発段階で厳しい防護要件が適用されます。
OpenAIの現行定義では、ツールを利用するモデルが人間の介入なしに、多数の強化された実世界の重要システムで実用的なゼロデイ脆弱性を発見・開発できる能力や、高レベルの目標だけを受け取り、hardened targetsを対象とする新しいエンドツーエンド攻撃戦略を自ら設計・実行できる能力などがCriticalに含まれます。
OpenAIによると、GPT-5.6 Solを含む従来モデルの最先端サイバー能力評価はHighであり、Criticalではありません。Astraは現時点で、OpenAIが初めて「Criticalを排除できない」と公表したupcoming modelです。
いいえ。OpenAIはAstraがHugging Face事件に関与していないと明言しています。あのテストではGPT-5.6 Solと、さらに能力の高い別のpre-release modelが使用されており、正式環境で使われる一部のサイバー防護もテスト時には弱められていました。