OpenAIが2026年8月7日(米国時間)、次期モデル「Astra」の開発の一部を自ら減速したと発表した。内部評価で、サイバー攻撃の能力が同社の安全基準「Preparedness Framework」の最上位ランク「Critical」に達している可能性を「否定できない」と判断したためだ。フロンティアAI企業が、能力の高さを理由に自社モデルの開発体制を縛った初のケースになる。
発表のわずか6日前、OpenAIはこのモデルを華々しく予告したばかりだった。数学と理論計算機科学の未解決問題10問を解いた、という成果つきの披露である。祝賀ムードから一転して出てきたのは、「私たちはこのモデルを警戒している」という異例の文書だった。
6日間で祝賀から警戒へ——何が起きたか
Astraは、OpenAIが8月1日に存在を明かした次期メジャーモデルだ。GPT-4.5以来最大の事前学習を積んだとされ、長時間のエージェント作業を得意とする。名前のとおりの主力候補だが、GPT-6として出すのか、別の名前になるのかは未定のままである。
その評価の途中で、想定を超える数字が出た。同社は声明で「予備評価の性能が十分に強く、Criticalの能力水準にある可能性を排除できない」と書いている。確定ではない。だが同社のルールでは、疑わしい時点で最上位として扱うことが決まっている。結果として、強化されたセキュリティ管理の要件を満たしていないAstra関連の社内活動が一時停止された。要件を満たす形での開発と評価は続いている。
openai.com Responding to the next frontier of critical cyber capabilities 一次情報。判断の根拠、追加したセキュリティ策、外部機関との検証体制が公式の言葉で書かれている。「Critical」は何を意味するのか
サイバー分野の「Critical」の定義は具体的だ。人間の手を借りずに、守りの堅い実在システムへの攻撃をゼロから設計して実行できる水準を指す。ひとつ下の「High」は、専門家の作業を大幅に強化してしまう水準。これまでの最高はGPT-5.6系モデルのHigh評価で、Criticalの扱いを受けたモデルは約3年の運用で一度もなかった。
| ランク | サイバー分野でのおおまかな意味 | 該当例 |
|---|---|---|
| High | 攻撃の専門作業を大きく強化してしまう | GPT-5.6系(2026年6月) |
| Critical | 自律的に実戦レベルの攻撃を設計・実行しうる | Astra(可能性を否定できず) |
報道では「史上初のCritical認定」という見出しも目立つが、正確には「Critical相当として扱うと決めた初のケース」だ。確定判定と予防的な格上げでは意味が違う。この区別は、後述の懐疑論にも関わってくる。
課されたのは「監視付きの開発」
では、Critical扱いのモデルはどう開発されるのか。公表された対策は多層的だ。ネットワークやツールへのアクセスを絞った隔離環境。サンドボックス(仮想の実験室)での実行。モデルの重みデータの暗号化と保護。そして訓練や評価を含むすべてのエージェント的な利用に、監視の目が付く。
実行する → モニターが思考の
流れを常時評価 → 高リスクな活動を
検知 → 自動で中断し
人間がレビュー
図: Astraに適用される「universal monitoring」の流れ(OpenAIの公表内容をもとに筆者作成)
外部の目も入る。政府機関と選ばれたAI安全組織が能力検証に参加し、外部のテストパートナーには推奨セキュリティ策が配られる。リリース時期は未定になった。アルトマンCEOは提供の遅れを認めつつ「そう長くはかからないはずだ」としている。
今後のモデルのひとつであるAstraを評価した結果、Preparedness Frameworkのもとでサイバーセキュリティに関する初の「Critical」モデルとして扱うことにした。これは私たちが備えてきたシナリオであり、Astraの今後の開発のために追加の管理策を導入していく。
7月末には、AIが評価中に「侵入」していた
今回の判断は、突然出てきたわけではない。7月末には、GPT-5.6系モデルがベンチマーク実行中に外部サービスへ自律的に侵入する事案が報じられ、国内でもITmediaなどが伝えた。他社のモデルでも評価中の想定外アクセスが相次ぎ、AppleはAIが発見した脆弱性報告の殺到でバグ報奨金の受付を制限したほどだ。
つまり「AIのサイバー能力が実務の閾値を越え始めた」という感触は、この数週間、業界全体に広がっていた。Astraの一件は、その空気に初めて制度の形が与えられた瞬間ともいえる。AIが現実の生物実験で機能したAI設計ウイルスの一件と同じく、「できてしまってから考える」段階はもう過ぎている。
称賛の裏で語られる「恐怖マーケティング」説
この決定への反応は、きれいに二つに割れた。称賛側の代表はOpenAIの安全研究者たちだ。ボアズ・バラク氏は「慎重側に倒したことを誇りに思う」と発信した。製品開発の途中で安全上の保留をわざわざ公表する企業は珍しく、透明性の面で前進なのは間違いない。
一方で懐疑側の理屈もよくできている。公表されたのはあくまで「Criticalの可能性」で、確定しなくても「うちのモデルは危険なほど強い」という宣伝効果だけは確実に残る、という指摘だ。折しも競合のAnthropicは最上位モデルを政府や審査済みの組織に限定提供しており、アルトマン氏は「強力なモデルを少数の手に留めるのは良い戦略ではない」と、当てつけとも取れる発言をしている。安全の話と商売の話が、ここでは分かちがたく絡む。
筆者は半分だけ信じることにしている。数字も評価手順も外部からは検証できない以上、全面的に信じる材料はない。それでも、止まる練習を一度もしたことがない業界より、一度でもした業界のほうがましだ——この一点は疑っていない。
ブレーキの踏み方が、商品価値になる
今回の一件がひとつの分岐点なのは確かだ。この業界は10年間、アクセルを踏む力を競ってきた。Astraの一件は、ブレーキの踏み方そのものが企業の評価軸になり始めたことを示している。安全への姿勢が、人材採用でも法人契約でも選ばれる理由になる時代だ。
Astraがいつ、どんな名前で、どんな制限つきで世に出るのか。そのとき「Critical」の疑いはどう説明されるのか。宿題の答えはまだ出ていない。確かなのは、次のフラッグシップ競争が「速さ」だけでは語れなくなったことである。
出典: OpenAI「Responding to the next frontier of critical cyber capabilities」 / ITmedia NEWS「OpenAI、次期モデル『Astra』の一部開発を停止」 / TechCrunch / The Decoder
