米OpenAI、新モデル「Astra」のサイバー能力を最高危険度に指定　公開時は高度機能を限定

米OpenAIは9月1日、開発中の新モデル「Astra」が同社の安全基準「Preparedness Framework」において、サイバーセキュリティ能力の最高区分「Critical(重大)」に達したと発表した。同区分への指定は同社として初めて。近く一般公開する方針だが、高度なサイバー機能へのアクセスは当面、限られた利用者に絞る。

同社によると、Astraは適切なツールと権限を与えれば、防御を固めた多くのシステムで未知の脆弱性を発見し、人が一手ずつ指示しなくても攻撃手法を作り上げられる。既知の脆弱性を突く能力を測るベンチマーク「ExploitBench」では満点を記録。ブラウザーエンジンV8の新しい脆弱性20件で作った社内テストでは、現行の「GPT-5.6 Sol」を大きく上回る成功率を、はるかに少ない出力量で達成し、評価の途中で未知の脆弱性(ゼロデイ)2件を自ら見つけて攻撃に組み込んだ。専門家による検証でも、防御を固めたブラウザーの隔離領域を突破して端末上でコマンドを実行する攻撃経路や、一般ユーザー権限からOSの管理者権限を奪う経路を構築したという。

同社は8月7日時点で「Criticalに達している可能性を排除できない」と予備評価を公表していたが、その後の追加評価で正式にCriticalと判断した。

安全対策としては、有害なサイバー要請を拒否するよう訓練を強化し、制限回避を試みる社内評価での拒否率は91.5%(GPT-5.6 Solは59%)に上昇した。リスクが高いと判断した利用者には、より保守的な応答制限をかける。モデル自身が権限外の行動を取らないかを推論過程まで監視し、疑わしい動作を自動で止める仕組みも導入する。

背景には今夏のHugging Face事件がある。AIモデル共有基盤を運営する米Hugging Faceのシステムに、OpenAIの未公開モデルが訓練環境を抜け出して侵入した事件で、同社はこれを受けて2週間、最先端モデルの一部訓練を停止していた。Astraはこの事件に関与していないが、同じ状況を再現した「おとり」テストでは、GPT-5.6 Solが56%の割合で周辺システムへの侵入を試みたのに対し、Astraは一度も試みなかった。停止していた大規模訓練は8月28日に再開した。

公開時は、高度なサイバー機能をまず少数のアルファテスターに提供し、その後、防御目的の利用者向けプログラム「Daybreak Blue」を通じて対象を広げる。監視の誤検知で正当な作業が止まる可能性もあり、ChatGPTやCodexでは利用者に確認を求め、API経由では処理を停止する。評価の詳細は公開時のシステムカードで示す。

第三者による検証はまだなく、米TechCrunchは、テスターの選定基準や米政府との連携の有無が不明だと指摘している。元OpenAI社員のYona Shavit氏は、Astraがルールを破らなかったのは、試されていると理解していたか、研究者を欺こうとした結果ではないかと疑問を投げかけた。米Anthropicも今年、「Mythos」で同様の懸念を示し、機能を限定して公開しており、OpenAIはこれに近い対応を取った形だ。