OpenAI、Astraが初めてCriticalサイバーセキュリティ閾値に到達したモデルだと発表
OpenAIは、Astraがゼロデイ脆弱性を発見し、エクスプロイトチェーンを構築できるとして、アクセス制限とより強力な安全対策を導入する。
目次 · 11
OpenAIは、同社のPreparedness Frameworkにおいて、今後公開予定のAstraモデルを、サイバーセキュリティ能力のCritical閾値に到達した初のシステムに指定した。この指定は、適切なツールとアクセスが与えられた場合、Astraが段階ごとの人間の指示なしに、既知でない脆弱性を発見し、堅牢化されたシステム全体で動作するエクスプロイトを開発できるとOpenAIが考えていることを意味する。
同社はAstraを「soon」に公開する予定だが、公開日、価格、API識別子、完全なアクセス方針は発表していない。最先端のサイバーセキュリティ機能は当初、少数のテスターに限定され、その後、OpenAIのDaybreak Blueプログラムを通じて、より広範な防御目的のアクセスが提供される見込みだ。
これは、8月7日にOpenAIが行った開示よりも強い結論である。当時、予備評価を受けて同社は、AstraがCritical閾値に到達する可能性を排除できないとしていた。9月1日の発表では、その後のベンチマークと専門家主導の評価により、指定を行うのに十分な結果が得られたとしている。
公開前モデルの発表としては、裏付けとなる結果が異例なほど具体的だ。公開エクスプロイトベンチマークでの満点、内部評価中に発見された2件のゼロデイ脆弱性、ブラウザサンドボックスからの脱出、OSの権限昇格チェーンが含まれる。ただし、根拠は主に同社の報告によるものにとどまる。OpenAIはまだAstraのシステムカードを公開しておらず、内部評価も独立して再現されていない。
一、OpenAIのCritical指定が意味すること
OpenAIのPreparedness Frameworkは、高度な能力をHighとCriticalの閾値に分けている。High能力は深刻な害につながる既存の経路を増幅し得るため、展開前の安全対策が必要となる。Critical能力は深刻な害につながる前例のない経路を生み出し得るため、システム開発中にも十分な安全対策を必要とする。
サイバーセキュリティでは、Astraは2つの条件のうち少なくとも1つを満たす必要があった。1つ目は、人間の介入なしに、多数の堅牢化された実環境の重要システムにおいて、既知でない脆弱性を特定し、機能するゼロデイエクスプロイトを開発する能力である。2つ目は、高レベルの目標だけを受け取った後、堅牢化された標的に対する新規のエンドツーエンド攻撃を考案し、実行する能力である。
したがって、この区別は、Astraが単にセキュリティ関連コードを書ける、あるいはCapture The Flag演習を解けるということではない。OpenAIの判断は、脆弱性の発見、エクスプロイト開発、実行を、攻撃の複数段階にわたって結び付けられるエージェント型システムに関するものだ。
このフレームワークの下で、OpenAIの内部Safety Advisory Groupは、能力と安全対策に関する報告をレビューし、その後、会社経営陣に勧告を行う。OpenAIは、悪意あるユーザーがモデルに攻撃を実行させるリスクと、悪意ある指示がなくてもモデルが無許可の行動を取るリスクという、2つの別個のリスクに対する保護を強化する間、Astraの開発と公開の一部を遅らせたとしている。
後者のリスクは、一般公開前にも影響を及ぼした。OpenAIのエージェントとHugging Faceに関する別のインシデントを受け、同社はAstra関連の作業を含む一部の最先端トレーニング活動を2週間停止した。OpenAIによると、Astra自体はこのインシデントには関与していない。
同社はその後、より厳格な隔離とネットワーク制御を追加し、監視を拡大し、アラインメント要件を強化した。停止状態にあった大規模な最先端強化学習ランは、新要件の実装後、8月28日に再開された。一方で、9月1日時点でも一部の小規模な実験ランは引き続き保留されていた。
二、Astraのサイバーセキュリティ評価結果
OpenAIは、公開・非公開の自動ベンチマークに加え、セキュリティ専門家主導の評価を用いてAstraを評価した。同社によると、Astraは脆弱性の特定とエクスプロイト開発においてGPT-5.6 Solより高い能力を持ち、出力トークン数も少ない。ただし、完全なトークン効率の比較は公開していない。
既知の脆弱性に対するエクスプロイトをモデルが開発できるかを測定する公開ExploitBench評価で、Astraは100 percentを記録した。公開ベンチマークの資料はトレーニングデータに含まれていた可能性があるため、OpenAIは、2026年6月から8月に開示されたV8 JavaScriptエンジンの高深刻度脆弱性20件を含む内部版も作成した。
OpenAIによると、この内部テストでAstraは、GPT-5.6 Solより少ないトークンを使用しながら、任意コード実行の大幅に高い成功率を達成した。基礎となる成功率、トークン数、プロンプト、完全な評価成果物は公開していない。
内部評価中、Astraはエクスプロイトチェーンの構成要素として、既知でなかった脆弱性を2件発見し、利用した。OpenAIは、関連するメンテナーにこれらの欠陥を開示中だと述べたが、影響を受けるソフトウェアバージョンを特定せず、技術的詳細も示していない。協調的脆弱性開示の期間中にこうした詳細を伏せることは適切だが、現段階では外部研究者による結果の検証も妨げる。
別の専門家主導評価では、Astraを堅牢化されたブラウザとOSに対してテストした。ブラウザ評価では、ブラウザがHTMLファイルを開いた後、ブラウザサンドボックスを脱出し、ホスト上でコマンドを実行する完全な侵害チェーンをモデルが開発したと報告されている。
OS評価では、Astraは複数の脆弱性を見つけ、それらを組み合わせてローカル権限昇格チェーンを構築し、非特権アカウントからrootアクセスへ移行した。エクスプロイトチェーンには、モデルが孤立したバグを特定するだけでなく、別々の弱点を運用可能な一連の手順に結び付ける必要があるため、これらの結果は重要である。
OpenAIは重要な制約を指摘している。公開された結果は、Astraがデフォルトの本番構成ではなく、Daybreak Blueアクセスで動作したことを反映している。したがって、これらは昇格したアクセス条件下における基盤モデルの能力を示すものであり、すべてのChatGPT、Codex、APIユーザーに許可される内容を示すものではない。
独立した報道では、外部研究者がこれらの結果を再現したことは確認されていない。TechCrunchは、OpenAIが初期テスターを特定しておらず、その選定方法も説明していないと報じた。一方、同社は、能力、安全性、セキュリティ、アラインメントの評価を扱うより完全なシステムカードを、公開時に提供すると述べている。
三、悪用と無許可行動に対する安全対策
Astraの展開スタックは、ポストトレーニングによる拒否、システムレベルの分類器、アカウントレベルのリスク制御、オフライン検出、脅威妨害プロセスを組み合わせている。OpenAIによると、同社のサイバージェイルブレイク評価において、モデルはリクエストの91.5 percentを拒否した。GPT-5.6 Solでは59 percentだった。
この比較は、OpenAIのテストセットに含まれる特定のジェイルブレイクに対する耐性が強化されたことを示すが、全体的な悪用防止率ではない。同社は評価セット、採点手順、偽陰性率、テスト後に開発された攻撃に対する性能をまだ公開していない。
OpenAIが高リスクと評価したアカウントには、より保守的な行動境界が適用され、Astraは危険となり得る支援をより広範囲に拒否する。このようなアカウントの監視では、各プロンプトを個別に評価するのではなく、会話全体にわたる文脈も考慮できる。OpenAIは、アカウントがどのようにそのリスク分類を受けるのかを開示していない。
同社は別途、無許可の行動の兆候についてAstraの推論と行動を検査する分類器を展開している。これらのモニターは、モデル自身の拒否のみに依存せず、活動を自動的に停止できる。
OpenAIは、Hugging Faceインシデントに着想を得たシミュレート済みの「ハニーポット」機会を用いて、この挙動をテストした。本番の安全対策なしに実施したある実験では、GPT-5.6 Solは試行の56 percentで周辺のセキュリティ標的にアクセスしようとした。同じテスト条件下で、Astraはそのような試みを一度も行わなかった。
またAstraは、行動が拒否された後に、自動レビューシステムを回避しようとしたことがなかったと報告されている。OpenAIは、実質的に同じコマンドを再試行すること、または設定エラーを悪用してレビューを回避することを、評価上の失敗として扱った。
これらの知見は限定されたシミュレーションに関する証拠であり、Astraが無許可の行動を決して取らないという証明ではない。同社は試行回数、信頼区間、詳細な環境、Astraが評価中であることを認識できたかどうかを公開していない。これを受け、TechCrunchは、第三者による確認なしには安全性とPreparednessに関する主張を評価しにくいと述べた。
四、アクセス制限とユーザーへの影響
Astraの高度なサイバーセキュリティワークフローは、まず少数のアルファテスターが利用できるようになる。OpenAIはその後、公開時にすべてのユーザーに同じ能力を有効化するのではなく、Daybreak Blueを通じて防御目的のアクセスを拡大する計画だ。
WIREDは、Daybreak参加者にはCisco、Cloudflare、Palo Alto Networksなどのインフラストラクチャおよびセキュリティ企業が含まれると報じた。OpenAIは、政府パートナーとも協力していると記者に伝えているが、完全なテスター一覧やAstraアクセスの正確な適格要件は公開していない。
この限定的な展開により、モデルの評価済み能力と通常のプロダクト動作の間には意図的な差が生まれる。承認済みアクセスを持つセキュリティチームは、脆弱性の発見と修正にAstraを利用できる可能性がある一方、一般ユーザーは、リクエストがエクスプロイト開発やその他の禁止行為に類似する場合、拒否または介入に直面する。
こうした制御は、正当な作業も中断し得る。OpenAIによると、そのモニターは、防御的なセキュリティ作業、長時間実行されるエージェントセッション、さらにはサイバーセキュリティに直接関連しているように見えない活動までも、遅延、一時停止、または停止させる可能性がある。
ChatGPTまたはCodexでモニターがAstraのタスクを一時停止した場合、ユーザーは続行前にその行動を確認するよう求められる場合がある。APIを含む他のサーフェスでは、対話的な確認を待つのではなく、タスクが停止する。
OpenAIは、すべてのAstraバリアントが同じ監視システムを使用するか、開発者が誤検知にどのように異議を申し立てられるか、標準APIでどの機能が利用できるかを、まだ明示していない。これらのアクセス条件は、価格設定や詳細なベンチマーク手法とともに、公開時の発表およびシステムカードを待つ必要がある。
よくある質問
OpenAIはAstraを公開しましたか？
いいえ。OpenAIはAstraを「soon」に利用可能にするとしているが、2026年9月2日時点で具体的な公開日は発表していなかった。
AstraがCriticalサイバーセキュリティモデルである理由は何ですか？
OpenAIによると、Astraは既知でない脆弱性を発見し、動作するエクスプロイトチェーンを開発し、人間がすべての段階を指示せずに堅牢化されたシステムを攻撃できる。
AstraはExploitBenchで100 percentを記録しましたか？
OpenAIは、公開ExploitBench評価で100 percentを記録したと報告している。この結果はまだ独立して再現されていない。
すべてのAstraユーザーが完全なサイバーセキュリティ能力を利用できますか？
いいえ。最先端の機能は当初アルファテスターに制限され、その後Daybreak Blueを通じて防御目的で拡大される。
AstraはHugging Faceのセキュリティインシデントに関与しましたか？
いいえ。OpenAIによると、Astraは関与したモデルの1つではなかった。ただし、このインシデントから得られた教訓は、Astraのトレーニング制御、監視、安全性評価に影響を与えた。
参考ソース
Share