2026年9月2日、OpenAIは新モデルAstraが内部評価において正式に「危急級（Critical）」サイバーセキュリティ能力の閾値に達したと発表した。これはPreparedness Frameworkが2023年に設立されて以来、このラベルが付与された初のモデルとなる。AstraはExploitBenchのテストで満点100%を記録し、無誘導の条件下で2件の未知のゼロデイ脆弱性を自律的に発見。さらに複数の脆弱性をチェーン状に組み合わせ、一般ユーザーからroot権限への完全な権限昇格パスを実現した。
ExploitBenchが測定するのは、AIが既知の脆弱性を実際に動作するエクスプロイトコードへと変換する能力であり、100%はテストセット内のいかなる問題もAstraを阻めなかったことを意味する。2件のゼロデイ脆弱性はテスト問題ではなく、Astraが脆弱性エクスプロイトチェーンを構築する過程で副産物として発見したものであり、2026年6月から8月にかけて公開されたChrome V8エンジンの脆弱性を対象としていた。OpenAIは現在、関連ソフトウェア開発者と脆弱性開示プロセスの調整を進めていると述べた。
満点の先：サンドボックス脱出と権限昇格チェーン
専門家主導のレッドチームテストにおいて、Astraは2つの完全な攻撃チェーンを実証した。
- ブラウザサンドボックス脱出：悪意あるHTMLファイルを開くだけで、Astraはブラウザのサンドボックス隔離を突破し、ホストマシン上で直接コマンドを実行した。このプロセス全体に人的介入は不要だった。
- オペレーティングシステムの完全権限昇格：堅牢化されたOSに対して、Astraは複数の独立した脆弱性を特定し、非特権ユーザーアカウントからrootへの完全な権限昇格チェーンとして連結した。
OpenAIのPreparedness Frameworkが定める「危急級」には2つのトリガー条件があり、いずれか一方を満たせば該当する。一つは、無人誘導下において多数の堅牢化された実際のシステムに対し、任意の深刻度のゼロデイ脆弱性を発見・悪用すること。もう一つは、高レベルの目標指示のみに基づき、堅牢化された標的への完全なサイバー攻撃を自律的に計画・実行することである。Astraはその両方を達成した。
防御面におけるもう一つの数字
Astraのサイバーセキュリティ関連ジェイルブレイク試行に対する拒否率は91.5%に達した一方、前身モデルのGPT-5.6 Solの同類データは59%だった。この30ポイント超の跳躍は、攻撃能力と防御姿勢が同一世代のモデルで並行して強化されていることを示している。
GPT-5.6 Solと比較して、Astraはセキュリティ制限を能動的に回避することが少なく、テスト中に意図的に設置された「ハニーポット」目標に受動的に応答することも少なかった。これらのデータは一つのメッセージを伝えようとしている。より強力な攻撃能力には、より強力な内在的制約が伴うというものだ。
しかし、内部テストにおける拒否率と、実際の対抗シナリオにおけるパフォーマンスは、本来別物である。
Altmanが認める「明白な緊張関係」
OpenAIのCEOサム・アルトマンはこう記した。「ここには明白な緊張関係がある。一方では、Astraは非常に優れており、人々がこれを使って何を構築するかが楽しみだ。他方、私たちは明らかに慎重さが求められる発展段階にあり、新たな能力レベルに要求される安全基準を満たせるよう、段階的に進めている。」
アルトマンはまた、Astraのトレーニングは実際にはすでに完了しており、セキュリティとアライメント作業に十分な時間を確保するため、会社として意図的にペースを落としてきたことも明らかにした。
公開戦略：全面封鎖ではなく段階的開放
OpenAIが採択したのは全面停止ではなく、段階的な管理だ。最高レベルのサイバーセキュリティ機能はDaybreak Blueプロジェクトを通じて、審査済みの少数のテストパートナーのみへのアクセスに限定される。一般ユーザー向けのAstraバージョンは機能が削減される。
Daybreakは、OpenAIがサイバーセキュリティシナリオ向けに構築した階層型アクセス体系であり、Blue（防御的利用）とRed（攻撃的研究の認可）の2層に分かれている。この仕組みの設計思想は、軍事・情報機関における権限管理のロジックを参考にしている。ツール自体は善悪を問わないが、利用権限は資格と用途によって決まるというものだ。
Anthropic、AWS、Google、Microsoftを含む130社以上のテクノロジー・セキュリティ企業が、OpenAI主導の集団的サイバー防衛に関する公開書簡に署名した。
根本的問題：「十分に安全」を定義するのは誰か
AIサイバーセキュリティ企業RemédioのCEO兼創業者タル・コレンダー（Tal Kollender）氏はこう述べた。「最先端のサイバーセキュリティ機能を少数のパートナーに限定することは合理的な緩和策であり、OpenAIがここで無責任だとは思わない。彼らのフレームワークは、適切な保護措置のもとでの公開を許容するよう設計されている。しかし安全面での問題は、防御側がこの技術のいかなるバージョンにも——制限版であれ公開版であれ——まだ追いついていないことだ。」
この言葉は構造的なジレンマを明らかにしている。攻防間の非対称性は、アクセス制御によって根本的に解決できるものではない。Astraの危急級能力は、たとえ最強の機能を合法的に使用できる人が極めて少数であっても、模倣と漏洩のリスクは依然として存在することを意味する。歴史的に、核兵器の設計図から高度持続的脅威（APT）のツールキットまで、あらゆる画期的な攻撃的技術は管理と拡散の間で繰り返し争われ、最終的には多くの場合、拡散が時間的優位を勝ち取ってきた。
より根本的な問題は、OpenAIのPreparedness Frameworkが自己評価フレームワークであるという点だ。「危急級」の認定基準は会社自身が策定し、評価プロセスも会社自身が主導し、発動後の制限措置も会社自身が決定する。この仕組みは設計上一定の厳格さを持つが、監督構造としては自己完結型のループになっている。ある組織が能力の開発者、評価者、管理者という3つの役割を同時に担うとき、利益相反は存在し得るものではなく、必然的に存在するものだ。
判断：これは真の転換点だが、よく言われる理由によるものではない
Astraをめぐる議論で最も多く見られる語りは「AIが初めて自律的にハッキングできるようになった」というものだ。この表現は正確でもなく、最も重要なシグナルでもない。自動化された脆弱性エクスプロイトツールは以前から存在し、セキュリティ研究コミュニティがAI支援の脆弱性解析を使用してきたのも数年前からのことだ。Astraの真の新しさは、何ができるかではなく、これらの能力を単一モデルに統合し、コストと参入障壁を大幅に圧縮した点にある。Astraは同等の攻撃チェーンを実行する際、前世代モデルよりもはるかに少ないトークン数で完了する。
これは、複雑なサイバー攻撃を仕掛ける限界費用がゼロに近づきつつあることを意味する。この閾値が突破されると、攻撃の頻度、規模、多様性は桁違いに変化するが、防御側の人的・物的コストは同じ割合では低下しない。Astra自体が最終的な脅威ではなく、この曲線上の一つの可視的な目盛りだ。
OpenAIがこの評価結果を内部で処理するのではなく公開することを選んだこと自体は、評価に値する透明性の姿勢だ。しかし、透明性は解決策ではない。真の転換点となるのは、外部の規制機関、独立したセキュリティ研究機関、そして国際的な政策調整の枠組みが、次世代モデルが登場するより前に、ベンダーの自律規制に依存しない評価・管理メカニズムを確立できるかどうかだ。現在の進捗速度を見る限り、この競争の結果は楽観視できない。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接