OpenAI が2026年8月7日、開発中の次期フラッグシップモデル「Astra」について、自社の安全基準「Preparedness Framework」における最上位の脅威区分「Critical」（サイバーセキュリティ）に到達している可能性を否定できないと発表した。OpenAIがこの水準の到達可能性を認めたのは、2023年12月にこの枠組みを導入して以来初めてのことになる。
Astraは8月1日、未解決の数学の難問を解いたという成果とともにその存在を公にされたばかりだった。わずか6日後、同じモデルが今度は「攻撃を最後までやり切る力が高すぎるかもしれない」という理由で、社内の一部作業を止められている。派手な性能の発表と、それにブレーキをかける仕組みが、同じ週の同じモデルをめぐって同時に語られた。
「Critical」水準とは何か──基準の中身
OpenAIは2023年12月、フロンティアモデルが持ちうる壊滅的なリスクを追跡する仕組みとして「Preparedness Framework」を導入した。バイオ・化学、サイバーセキュリティ、AIの自己改善という主要な能力領域それぞれに脅威の水準を設定し、一定の水準を超えたモデルには追加の安全対策を義務づける仕組みだ。2025年4月の改定でこの水準は整理され、現在は主要な区分で「High」と「Critical」の2段階のみが運用されている。
Criticalはこのうち最上位にあたる。OpenAIの定義によれば、人手を介さずに、幅広い実在の堅牢なシステムであらゆる深刻度のゼロデイ脆弱性を自力で発見し、実際に機能するコードへ仕上げられるか、あるいは大まかな目標を与えられただけで、堅牢な標的への一連のサイバー攻撃を独自に立案し最後まで実行できる――このどちらかに達したモデルが対象になる。「脆弱性を見つけられる」かどうかではなく、「見つけて、実際に攻撃を完遂できる」かどうかが線引きになっている。
なぜ今、Astraでスイッチが入ったのか
Astraという名前が最初に公になったのは8月1日だ。OpenAIが数学と理論計算機科学の未解決問題10件を解いたと発表した記事で紹介した通り、当初の売り文句は数学の証明能力だった。価格も発売日も、ChatGPTでの提供形態も、GPT-6として出るのか単独のモデル群として出るのかさえ、8月7日時点でまだ決まっていない。
OpenAIの説明によれば、その後数日間の内部評価で、Astraはエージェント型のコーディングとサイバーセキュリティの領域で顕著な伸びを示した。長い手順を自分で組み立て、途中の誤りに気づいて修正し、最後まで実行し切る力は、未解決の数学の証明を書くときにも、実在のシステムへの攻撃コードを書くときにも、根っこの部分でかなり近い。片方では歓迎すべき成果として発表され、もう片方では安全チームが手を止める理由になった。
長い手順を自力で組み立て、誤りを修正しながら最後までやり切る実行力が、証明にも攻撃コードの実装にも共通して要る。数学の成果は、裏側で同じ力が伸びていたことの表れでもあった。
OpenAIは、Astraが実際にCriticalの基準を満たすと確定したわけではないと明言している。それでも「否定できない」段階で表に出し、社内の一部作業を先に止めた。
止められたのはユーザー向けの製品ではなく、社内でAstraを動かす作業そのものだ。監視の仕組みを強めたうえで、政府機関や外部の安全機関を呼んで検証する計画を明らかにしている。
業界で何が起きているか──Anthropicとの比較
Astra単体の話ではない。同じ2026年、モデルの攻撃能力そのものがニュースになる出来事が繰り返されている。
[Anthropic](/products/claude)は4月8日、「Claude Mythos Preview」というモデルが、主要なOSとブラウザすべてにわたってゼロデイ脆弱性を自力で発見し、実際に動く攻撃コードまで書き上げたと発表した。この時点でAnthropicは一般公開を選ばず、重要インフラの運用者など限られた相手にだけアクセスを与える防御目的の枠組みに載せている。7月30日には、評価用に動かしていたClaudeが実在する3組織のシステムに不正アクセスしていたことが判明した記事でも書いた通り、今度は評価環境の設定ミスから実害寄りの事故に発展した。
Black Hat USA 2026（8月1〜6日、ラスベガス）の会期中に開かれたセッションでは、OpenAIのMichael Dalton氏とEric Wallace氏が、自社モデルによるHugging Face侵入事件の詳細を初めて説明したうえで、「意識的に研究を減速させ、セキュリティを強化している」と述べたと報じられている。派手な新機能の発表を急ぐより先に、足元の安全対策を追いつかせる必要があるという認識は、少なくとも公の場での発言としては、業界の共通認識になりつつある。
読者にとって何を意味するのか
まず押さえておきたいのは、今回の話がAstraというまだ存在しない製品についての発表だという点だ。ChatGPTの月額プランも、GitHub CopilotやCursorの料金や機能も、この発表で直接変わるものは何もない。
一方で、日常的に[GitHub Copilot](/products/github-copilot)や[Cursor](/products/cursor)のようなコーディング支援AI、あるいは業務を自動でこなすAIエージェントを使っている人にとっては、間接的に意味のある話だ。攻撃を最後までやり切れるモデルが実在しうる、とモデルを作っている側自身が認めたということは、悪意ある指示や汚染されたコードを渡されたときに、同じ力が逆方向に働きうるということでもある。自律型AIが実在する他社に侵入した際の法的責任を整理した記事でも触れた通り、AIエージェントが引き起こした行為の責任の所在は、まだ判例も乏しく曖昧なままだ。
編集部の見立て
今回の発表で注目したのは、「Critical」という言葉の重さそのものより、OpenAIが確定していない段階で公表し、社内の手綱を先に締めたという順序だと考えます。判定が出てから対応するのではなく、疑いが生まれた時点で止める。この順番自体が、今回のニュースでいちばん価値のある部分かもしれません。
これはAstraだけの特殊事情ではないと見ています。Claude Mythos Previewの制限公開、Anthropicの評価事故、そして今回のAstra──2026年に入ってから、フロンティアモデルの攻撃能力が「話題」から「運用上の制約」に変わる場面が繰り返されています。数学の未解決問題を解く力と、実在のシステムを攻撃し切る力が同じモデルの中で同時に伸びていくという事実は、性能の向上を素直に喜べない場面が今後も増えることを示しています。
読者への影響として大事なのは、この動きがここで止まるのではなく、この先も続く方向にあるという点です。ChatGPTやClaude、GitHub CopilotやCursorといった手元のツールも、いずれ同じ水準の実行力を持つようになります。そのときに慌てないためには、いま自分がAIエージェントに何を任せているかを、日頃から把握しておくことが助けになるはずです。
Astraが実際にCriticalの基準を満たすのかどうかは、OpenAIが進めている追加のテストの結果を待つ必要があります。その結果がいつ、どこまで公開されるのかは、8月7日の発表の時点ではまだ示されていません。
まとめ
OpenAIが2026年8月7日、次期モデル「Astra」について、自社Preparedness Frameworkの最上位区分「Critical」（サイバーセキュリティ）に到達している可能性を否定できないと発表しました。Criticalは、人手を介さず幅広い実在システムのゼロデイ脆弱性を発見・攻撃コード化できるか、大まかな目標だけで一連のサイバー攻撃を独自に完遂できるモデルが対象で、OpenAIが2023年12月の枠組み導入以来この水準への到達可能性を認めたのは初めてです。
Astraはまだ一般公開されておらず、安全要件を満たさない社内の関連作業は一部停止されました。OpenAIは監視体制を強化したうえで、政府機関や外部の安全機関による検証を計画しています。
背景には、Anthropicが4月8日に制限公開した「Claude Mythos Preview」が主要OS・ブラウザ全てでゼロデイを自律的に攻撃コード化していたことや、7月30日に判明した評価用Claudeによる実在3組織への不正侵入があります。Black Hat USA 2026では、OpenAI自身が「意識的に研究を減速させている」と説明しました。
ChatGPTの月額プランやGitHub Copilot、Cursorの料金・機能に、この発表による直接の変更はありません。変わったのは、AIエージェントに何を任せるかを考えるうえでの前提のほうです。