OpenAIの次世代モデル「Astra」、サイバー能力が最高警戒水準「Critical」に到達——ゼロデイ発見・攻撃自動化を実証

要点

• OpenAIは次世代AIモデル「Astra」が、同社の安全枠組みで初となる最高警戒レベル「Critical」のサイバーセキュリティ能力に達したと公表した。

• 評価試験では既知の脆弱性から攻撃コードを開発するテストで100%のスコアを達成し、評価中に2件のゼロデイ脆弱性を自律的に特定・悪用した。

• 悪意ある利用やAIの未承認動作を防ぐため開発と訓練が一時停止されていたが、安全基盤を強化した上で8月28日に大規模な強化学習が再開された。

• Astraは近日中に提供開始される見通しだが、高度なサイバーセキュリティ機能へのアクセスは一部のテスターや防御用途に限定される。

• 米OpenAIは2026年9月1日、開発中の次世代AIモデル「Astra」が、自社の安全基準「Preparedness Framework（準備枠組み：AIモデルの潜在的リスクを評価・管理するための指針）」において「Critical（重大・危機的）」の閾値（しきいち）に達したと公式ブログで発表した。適切なツールとアクセス権があれば、人間の段階的な誘導なしに堅牢なシステムから未知のセキュリティ欠陥を発見し、実用的な攻撃コードを開発できる水準にあるという。同社がこのレベルにモデルを指定するのは今回が初めてとなる。

人の手を借りずに攻撃戦略を実行する「Critical」基準

OpenAIのPreparedness Frameworkにおいて、サイバーセキュリティ分野で「Critical」と認定されるには、2つの条件のいずれかを満たす必要があるとされている。1つは、人間の介入を受けることなく、堅牢化された現実の重要システムにおいてあらゆる重大度のゼロデイ脆弱性（修正プログラムが存在しない未知の欠陥）を特定し、機能するエクスプロイト（脆弱性を悪用するプログラム）を開発できること。もう1つは、大まかな攻撃目標を与えるだけで、堅牢な標的に対するサイバー攻撃の完全な戦略を自律的に考案・実行できることだ。

同社が自動ベンチマークと専門家による評価を実施したところ、Astraは従来の「GPT-5.6 Sol」と比較してサイバーセキュリティ能力が大幅に向上しており、出力トークンの効率性も大きく改善していることが確認されたという。

ゼロデイ脆弱性の発見とエクスプロイトチェーンの構築

Astraの能力検証において、既知の脆弱性からエクスプロイトを開発する能力を測る公開ベンチマーク「ExploitBench」を実行した際、同モデルは100%の満点を記録した。さらに、学習データの汚染（事前学習データに問題が含まれること）を避けるため、2026年6月から8月に公開されたV8エンジンの重大な脆弱性20件をもとに構築した内部ベンチマーク「ExploitBench - Internal Port」でも検証が行われた。その結果、AstraはGPT-5.6 Solに比べて格段に少ないトークン消費で高い任意コード実行率を達成し、テスト中には2件のゼロデイ脆弱性を自ら発見して攻撃手順（エクスプロイトチェーン）に組み込む事例も確認された。この2件の脆弱性は、現在ソフトウェアの管理者へ報告手続きが進められている。

また、堅牢化されたウェブブラウザとOS（オペレーティングシステム）を対象とした専門家主導のテストでは、HTMLファイルを開くだけでサンドボックス（外部への影響を制限する隔離環境）を脱出し、ホスト上でコマンドを実行する一連の攻撃チェーンを構築した。さらに、堅牢化されたOS内で複数の脆弱性を組み合わせて、一般ユーザーからroot（システムの最高管理者権限）へローカル権限を昇格させる攻撃にも成功したと報告されている。なお、これらの検証結果は「Daybreak Blue」と呼ばれる高度なアクセス権を付与した状態のものであり、標準の製品構成での動作ではないと注記されている。

インシデントの教訓を受けた開発中断と安全対策の強化

こうした高度な能力を持つモデルのリスクを抑えるため、OpenAIは「悪意ある第三者による悪用」と「モデル自身による未承認・不整合な動作」という2つの経路に対する防御策を講じていると説明した。特にモデルの自律的な誤動作への対策は、外部への提供時だけでなく内部の開発段階にも適用される。

同社は先日の「OpenAI-Hugging Faceインシデント」（Astra自体は非関与）を受けて、ネットワーク制御や隔離環境の強化、監視体制の拡充、アライメント（AIの動作を人間の意図や安全性に合わせる訓練）基準の引き上げを行うため、Astraを含む先端モデルの訓練を2週間にわたって一時停止していた。さらに、将来バージョンに向けた大規模な強化学習（RL：試行錯誤を通じて最適な行動を学習させる訓練手法）の実行も安全要件が整うまで保留されていたが、新たな要件の導入を経て2026年8月28日に再開されたという。一部の小規模な実験的訓練については、現在も一時的な保留が継続されている。

公開に向けた保護策として、有害なサイバー関連の要求を拒絶する訓練の徹底、不正利用を防ぐアクティベーション分類器（不正な活動の兆候を検知する仕組み）の導入、不審な挙動を停止できる監視体制の構築などが実施されている。同社は事後テストの結果から、当時の本番環境の防御策があればHugging Faceインシデントは防げていたと判断しており、Astraにはそれよりもさらに強固な保護措置を施したとしている。

今後の提供予定と利用制限

OpenAIはAstraを近日中に利用可能にする計画だが、最も高度なサイバーセキュリティ機能へのアクセスは当初制限される方針だ。まずは特定のテスターグループに対して先行して提供され、その後「Daybreak Blue」を通じて防御的な活用を目的としたアクセス拡大が進められる予定となっている。安全性やセキュリティ、アライメントに関する詳細な検証結果については、モデルの公開時に発行される「システムカード（モデルの仕様やリスク評価をまとめた公式文書）」にて公表される予定だ。