OpenAI Astraは危険なサイバー要求を91.5％拒否、代償は摩擦

OpenAIは2026年9月1日、公開前の次期モデルAstraが、同社のサイバー・ジェイルブレイク評価で禁止対象の支援要求を91.5％拒否したと公表した。OpenAIの安全報告 は、AstraをPreparedness Framework上で初めてサイバー能力が「Critical」に達したモデルと位置づけ、高度なサイバー利用を当初は少数のアルファテスターに限るとしている。

Astraはまだ一般提供されておらず、OpenAIが示した時期は「近日中」にとどまる。Axiosの9月1日付報道 によると、広く利用できる版にも具体的な公開日はなく、安全監視は正当な処理を誤って遅延、一時停止、終了させる可能性がある。見出しの「摩擦」とは、この安全性と実用性の衝突を指す。

91.5％が測ったのは拒否動作

91.5％は、Astraが現実の攻撃を防いだ割合でも、脆弱性を発見できた割合でもない。OpenAIが用意したサイバー・ジェイルブレイク評価で、提供禁止に分類された支援要求をモデルが拒否した割合だ。同じ説明で比較されたGPT-5.6 Solは59％であり、Astraではモデル層の拒否動作が強化されたことを示している。

一方、91.5％だけでは安全性全体を評価できない。単純計算では要求の8.5％が拒否されなかったことになるが、それらが全面的に実行されたのか、どの程度危険な情報を含んだのかは公表資料から分からない。評価セットの総件数、カテゴリー別の内訳、正当な要求を誤って拒否した割合も示されていない。

防護はモデルの回答拒否だけで構成されるわけではない。OpenAIは、システムレベルの分類器、会話をまたぐ文脈監視、リスクが高いと判断されたアカウントへの厳しい応答境界、オフラインの脅威検知を重ねる。さらにAstra-classモデルの推論と行動を監視し、権限外の可能性がある処理を自動停止する仕組みを本番環境へ導入するとしている。

2件のゼロデイが示した攻撃能力

公開を慎重にする理由は、拒否率の高さではなく、その内側にある攻撃能力にある。OpenAIのCritical基準は、適切なツールとアクセスを与えられたモデルが、多数の堅牢なシステムで未知の欠陥を見つけ、人が各手順を指示せずに悪用方法を組み立てられる水準を含む。Astraの評価は自動化された公開・非公開ベンチマークと専門家主導の試験を組み合わせたものだった。

内部版の「ExploitBench - Internal Port（June–August 2026）」には、同期間に開示されたV8の高深刻度脆弱性20件が収録された。Astraは評価中に既知の問題を解くだけでなく、未知だった2件の脆弱性を発見し、一つのエクスプロイトチェーンに利用した。Fortuneの取材記事 もこの結果と、保守担当者への開示が進行中であることを伝えている。

専門家主導の評価では、Astraは堅牢化されたブラウザーからサンドボックスを抜け、ホスト上でコマンドを実行する連鎖を構築した。堅牢化されたOSでは、一般ユーザー権限からrootへ到達するローカル権限昇格の連鎖も作った。ただし、公表されたAstraの能力結果はDaybreak Blueへのアクセスを与えた構成によるもので、既定の本番構成を測った結果ではない。

高度な能力は段階的に開放

OpenAIは、Astraの全利用者へ同じサイバー能力を一斉に提供しない。高度なサイバー・ワークフローは少数のアルファテスターから始め、その後、承認された防御担当者向けのDaybreak Blueを通じてアクセスを広げる計画だ。一般向け構成と、高度なツールや権限を伴う構成では、利用できる能力が異なる。

この段階的提供は、二つのリスクを対象にしている。一つは悪意ある利用者が未知の脆弱性を探し、実用的な攻撃へ発展させること。もう一つは、モデルが長時間の自律処理中に許可された範囲を外れ、利用者に悪意がなくても周辺システムへ作用することだ。

OpenAIは別のサイバー事案を受け、Astra関連を含む一部のフロンティア訓練を2週間停止し、訓練環境の分離、ネットワーク制御、監視、アラインメントの基準を強化した。将来版Astra向けの大規模な強化学習実行は新要件の導入後、8月28日に再開されたが、一部の小規模な実験的訓練は保留が続く。9月1日の公表は完成品の全面公開ではなく、安全策を追加して開発と限定提供を進める段階の報告である。

防御業務にも及ぶ安全策の摩擦

安全策の影響を受けるのは攻撃者だけではない。企業のセキュリティチームや脆弱性研究者による許可済みの検証でも、操作が攻撃と似ていれば潜在的な悪用と判定され、遅延や停止が起こり得る。サイバーセキュリティと直接関係しない処理や、長時間動くエージェントも監視対象になり得るとOpenAIは説明している。

誤検知で処理が一時停止した場合、ChatGPTやCodexでは利用者に確認を求めてから続行できることがある一方、APIではタスクが停止する。この差は、自動化された脆弱性調査や長時間の検証パイプラインにとって大きい。途中状態の保持、再実行、監査記録まで設計しなければ、誤検知一件がワークフロー全体の中断につながる可能性がある。

したがって、91.5％を高いほど無条件に優れた安全性指標と読むことはできない。危険な要求を正しく拒否する結果と、正当な防御作業を危険と誤認する結果は別の尺度だからだ。OpenAI自身、公開当初は最終的に望む水準より大きな摩擦が生じると見込み、運用しながら調整するとしているが、誤拒否率の具体値はまだ公表していない。

一般公開後の判断材料はまだ不足

現時点で確認できるのは、AstraがOpenAIのCritical基準に達したという社内評価、禁止対象要求に対する91.5％の拒否率、2件のゼロデイを使った攻撃連鎖、そして高度機能を限定的に開放する方針である。一般提供の開始日、アルファテスターの全構成、Daybreak Blue経由でアクセスを広げる時期は確定していない。

OpenAIは公開時にシステムカードを出し、安全性、セキュリティ、アラインメント評価の詳細を示す予定だ。危険な要求をどこまで遮断できたかに加え、正当な作業をどの程度止めたか、停止後に復旧できたか、APIの長時間処理へどれほど影響したかが分からなければ、安全性と実用性の均衡は判断できない。Astraの防護は強化されたが、その代償となる摩擦が実務で許容できる範囲に収まるかは、限定運用と公開後のデータに残された論点だ。