OpenAIは初の「Critical」サイバーモデルを出した。同時に、中身は見えにくくなった

9月3日、OpenAIは自社で最も高性能と位置づけるモデルAstraの提供を開始した。そのなかには、AI業界がこの2年間「逆方向に進むはずだ」と言い続けてきた2つのものが同時に入っていた。攻撃的なサイバー能力の大幅な向上と、モデルの推論を人間が読み取りにくくするアーキテクチャである。

OpenAIが自ら「Critical」と評価した最初のモデル

Astraは、OpenAI自身のPreparedness Frameworkにおけるサイバーセキュリティの「Critical」しきい値を超えた初のモデルだ。これは外部の評価ではない。同社の説明によれば、Astraは堅牢化された実世界のシステムに対して、人間の介入なしに機能するゼロデイ・エクスプロイトを特定・開発でき、エンドツーエンドの新規攻撃戦略を立案できる。

OpenAIが公開した評価値は率直だ。既知の脆弱性からのエクスプロイト開発を測るExploitBenchでAstraは100%を記録した。2026年6月から8月にかけて実施された同ベンチマークの社内版では、GPT‑5.6 Solより少ない出力トークンで、より高い任意コード実行率に達し、テストの過程で実在のゼロデイ脆弱性を2件発見している。

提供の仕方にもそれが表れている。アクセスはまず少数のアルファテスターとサイバーセキュリティプログラムDaybreakの利用者から始まり、約1週間でPro、Plus、Enterprise、Business、APIの顧客へ拡大した。OpenAIはこの拡大を防御的用途の支援と説明している。OpenAI社長のグレッグ・ブロックマンは、Astraを「最も知的で、そして非常に重要なことに、これまでで最もアラインされたモデル」と呼んだ。

OpenAIが示す安全性の数値

OpenAIの主張は、能力と制御は同時に向上したというものであり、提示できる測定値がある。

これらに加えて、事後学習による拒否、システムレベルの安全分類器、オフライン検知、高リスクアカウントに対するより厳しい挙動の境界、24時間体制のレッドチーム体制が挙げられている。

その条件のもとで見れば、これは小さな改善ではない。ハニーポットの半数超で試験環境からの脱出を試みていたモデルが、一度も試みないモデルに置き換わったのなら、それは実際の挙動の変化だ。

本当の論点はアーキテクチャにある

争点はこれらの数値ではない。その下でAstraが何をしているかだ。

Astraは「recurrent depth（再帰的深度）」を用いる。1回の線形パスを走らせるのではなく、トークンを単一のブロックに繰り返し通すことで、推論の一部が読めるテキストとして表に出てこない。自然言語で届くのは最終的な答えだけで、途中の作業は潜在空間に留まる。モデルがなぜそう動いたのかを監査するために研究者が使う思考連鎖（chain-of-thought）モニタリングは、そのテキストを読む手法だ。テキストがない場所には、読むものがない。

だからこそ安全性研究者の反応は鋭く、しかもローンチ前から始まっていた。

「私が最も懸念しているのは、ここから自然に進むと、モデルが完全に、あるいはほぼ完全に潜在空間で推論するところまで不透明な推論が拡大されることです」 — ライアン・グリーンブラット、Redwood Research主任研究員

現在はGuidelight AI Standardsに所属し、以前はOpenAIの安全性研究者だったスティーブン・アドラーは、報道が正確であれば、OpenAIは「AI業界に存在する数少ないレッドラインの一つを破っているように見える」と述べた。AI Policy Networkのピーター・ワイルドフォードは、このアプローチを無謀になりかねないと呼び、7月のHugging Faceの事案では読めるかたちの思考連鎖があったからこそ調査者が何が起きたのかを再構成できた、と指摘した。Redwoodのバック・シュレゲリスは、監視可能性が失われるところまで再帰を拡大することを止めるものは何もないと警告している。AI Futures Projectのダニエル・ココタイロは業界レベルの論点を挙げた。OpenAIがここで自制しても、他社はそうしないかもしれない——それは企業方針ではなく共通基準が必要だという議論だ。

OpenAIの主任研究者ヤクブ・パホツキは、同社は「最初の推論モデルの時から思考連鎖モニタリングを維持し活用するよう取り組んできた」と述べ、この不透明さをモデルの進化から自然に生じたものと説明し、Astraにおけるこの技術の使用は限定的であると強調している。

両方が同時に正しいことはありうる

やっかいなのは、OpenAIの証拠と批判者の懸念が実際には衝突していない点だ。OpenAIが測っているのは挙動である——何千もの評価を通じてモデルが何をしたか。研究者が語っているのは検証可能性だ——なぜそうしたのかを誰がどう確認するのか、そしてその確認手段が次の規模でも機能するのか。

挙動の評価は、そのモデルを作った当の研究所が、自分たちが思いついた挙動について実施する。思考連鎖モニタリングに価値があったのは、まさにそれが別種の証拠だったからだ——出力に付けられた点数ではなく、過程を覗く窓だった。その窓の一部を効率と引き換えにするのは、擁護しうるエンジニアリング上の判断である。同時にそれは、フロンティア研究所が出荷済みモデルでそれを行った初めての事例であり、しかも自社のサイバー能力「Critical」しきい値を超えたのと同じリリースでのことだ。

見るべき3点

どんな声明よりも早くこの論争に決着をつけるのは次の3点だ。OpenAIが次のモデルで再帰を拡大するのか、現状に留めるのか。AnthropicやGoogle DeepMindがこの技術を採用するのか——採用されれば、外れ値は業界の方向性に変わる。そしてAstraが関わる最初の深刻な悪用事案が、事後に再構成できるのかどうか。ベンチマークではなく、それこそが思考連鎖モニタリングの存在理由だったからだ。

---

出典: OpenAI — The path to Astra · TechCrunch — OpenAI launches Astra · TechCrunch — new reasoning technique alarms AI safety experts · Fortune — experts worry Astra is a dangerous step toward opaque reasoning · CNBC — OpenAI begins rolling out Astra · TechCrunch — GPT‑5.6 family