OpenAI が現地時間9月1日、開発中の次期モデル「Astra」について、自社の安全基準における最上位区分「Critical」（サイバーセキュリティ）への到達を正式に発表した。評価の過程でAstraは、これまで知られていなかった脆弱性2件を自力で発見し、それらをつなげて実際に使える攻撃手段（エクスプロイトチェーン）に組み立てたという。同社はAstraを近く提供開始する方針だが、この水準の能力に関わる高度な機能は、審査を通過した一部のテスターに限って開放する。

⚠ 情報の鮮度について
一次情報はOpenAI公式ブログと、現地時間2026年9月1日（火）に開かれた記者向け説明会です。TechCrunch・Fortune・Axios・CNBC・AP通信など複数の海外メディアが同日から翌2日にかけて報じており、本記事公開時点で一次発表から約24〜34時間が経過しています。8月7日の「到達の可能性」発表とは別の、続報にあたる記事です。
Section 01

「かもしれない」から「到達を確定」へ──1か月弱で何が変わったか

この話には前段がある。OpenAIは8月7日、Astraが自社の「Preparedness Framework」における最上位区分「Critical」に到達している可能性を否定できないと発表し、該当する社内の一部開発を一時停止していた（詳しい経緯は前回の記事）。当時はあくまで「可能性」の段階で、確定した判断ではなかった。

9月1日の発表は、この「可能性」を「到達した」という確定判断に置き換えるものだ。評価に関わった安全チームは、Astraが人間の逐一の指示なしに、防御の堅いシステムに対して未知の脆弱性を見つけて突く能力を実際に確認したとしている。

2026年8月7日

「到達の可能性を否定できない」と発表Preparedness Frameworkの最上位区分「Critical」にAstraが到達している可能性を認め、該当する社内の一部開発を一時停止したと公表した。

2026年8月28日

最大規模モデルの学習を再開停止していた学習のうち、最も規模の大きいものを再開したことが分かっている。一部の小規模な実験は停止したままとされる。

2026年9月1日

到達を確定と発表、限定公開の方針を公表Astraを近く提供開始するが、サイバーセキュリティに関わる高度な機能は審査済みの一部テスターに限定すると発表した。

約1か月弱のあいだに、社内の自己申告は「疑い」から「確定」へ、対応は「一部作業の停止」から「機能を分けた限定公開」へと、それぞれ一段階進んだことになる。

Section 02

Criticalとは何か──OpenAIの安全基準の最上位区分

Preparedness Frameworkは、OpenAIが2023年12月に公表した独自の安全評価の枠組みだ。サイバーセキュリティ・化学生物兵器等（CBRN）・説得力・モデルの自律性という4分野についてモデルの能力を段階評価し、深刻な危害の経路を新たに開きかねない水準を「Critical」、既存の経路を強めうる水準を「High」と位置づけている。Astraは、この枠組みが公表されて以来、サイバーセキュリティ分野で「Critical」に達したと自社が認めた最初のモデルになる。

ⓘ 「Critical」に達すると何が変わるか
OpenAIの規定では、Criticalに達したモデルは、追加の安全策が整うまで該当する能力の提供が制限されます。今回でいえば、モデル全体の提供を止めるのではなく、サイバーセキュリティに関わる高度な機能だけを切り分けて絞るという対応が取られました。安全担当バイスプレジデントのアミリア・グレース氏は、こうした追加の安全策について「正当な作業を遅らせたり、止めたりすることもある」と述べており、防御目的の利用にも一定の制約がかかることを認めています。
Section 03

実際に何を見つけたのか──ゼロデイ2件とベンチマーク満点

今回の発表でとくに具体的なのが、評価の過程でAstra自身が起こした「実績」だ。OpenAIによれば、評価中にAstraはこれまで知られていなかった脆弱性（ゼロデイ）2件を発見し、それらを組み合わせて実際に機能するエクスプロイトチェーンを構築したという。同社はこの2件について、影響を受けるソフトウェアの開発元への報告を進めていると説明している。

既存の評価指標でも高い数値が出ている。エクスプロイト作成能力を測る評価「ExploitBench」で、Astraは満点を記録した。学習データによる汚染の影響を避けるため、より新しく公表された脆弱性だけで構成した社内向けの追加検証でも、既存の最上位モデル「GPT-5.6 Sol」を上回る成功率を、より少ない出力トークン数で記録したとしている。ただし、この社内検証の詳細な数値は第三者による再現検証を経ていない。※観測として受け止めておきたい。

「適切な手段とアクセス権があれば、Astraは人が一つひとつの手順を指示しなくても、これまで知られていなかったセキュリティ上の欠陥を見つけ出し、防御の堅い数多くのシステムに対してそれを突く方法を編み出せます」

— OpenAIセーフティ担当バイスプレジデント、アミリア・グレース氏の発言（2026年9月1日）より抄訳
Section 04

拒否率91.5%という数字と、限定公開の仕組み「デイブレイク・ブルー」

OpenAIは、Astraが不適切なサイバー関連の依頼をどれだけ拒めるかも数値で示した。

91.5% Astraが不適切なサイバー依頼を拒否した割合
59% 同条件でのGPT-5.6 Solの拒否率
8.5% Astraが依頼に応じてしまった割合

裏を返せば、Astraでも10回に1回近くは不適切な依頼に応じてしまうということでもある。この数字を踏まえ、OpenAIは提供のしかたを二段構えにした。一般提供が始まっても、サイバーセキュリティに関わる高度な機能は最初から使えるわけではない。防御目的での利用を想定した審査つきプログラム「デイブレイク・ブルー（Daybreak Blue）」を通じて、適切な調整ができたと判断したテスターから順にアクセスを広げていく方針だという。

⚠ 制限には裏表がある
高度な機能を絞り込むと、悪用のリスクは下がりますが、同じ機能を使って自社のシステムを点検したい企業や、脆弱性の発見・修正にあたる研究者の正当な作業も一部制約を受けます。OpenAI自身、この点を認めたうえで発表しており、どちらか一方だけが得をする話ではありません。
Section 05

セキュリティ担当者・開発者は、この発表から何を確認すべきか

01
ChatGPTを日常利用しているだけの人

今回の変更は開発中モデルの提供方針の話で、既存のChatGPTの月額プランや使い勝手がすぐに変わるわけではない。当面は静観してよい。

02
自社システムの脆弱性診断に関心がある担当者

デイブレイク・ブルーへの参加を検討する価値はあるが、審査基準や開放時期はまだ公表されていない。今の時点でできるのは、申請時に説明できる利用目的を整理しておくことくらいだ。

03
自作ソフトウェアやOSSを公開している開発者

未知の脆弱性を自動で見つけて連結できるAIが現実に存在することが確認された以上、既知の脆弱性を放置する猶予は以前より短くなったと考えたほうがよい。パッチ適用の遅れそのものが、これまでより直接的にリスクへつながる。

Section 06

編集部の見立て

Editor's Opinion

今回の発表で注目すべきは、80%引きのような派手な数字ではなく、「可能性」から「確定」への言い換えそのものだと考えます。8月7日の発表時点では、OpenAI自身もどこまで踏み込んだ表現にするか慎重だった印象がありました。1か月足らずで確定の判断に至ったのは、社内の評価体制が固まったからなのか、それとも競争上、先に発表する側に回る必要があったからなのか、外からは判別できません。

拒否率91.5%という数字も、素直に受け取れば高い水準です。ただし、この数字が本当に安全性の高さを示しているのか、単に評価用の質問に対して拒否しやすく調整された結果なのかは、公開後の実地の運用を見なければ分かりません。デイブレイク・ブルーの審査基準がどこまで厳格に運用されるかが、今回の発表が実質を伴っているかどうかの分かれ目になると見ています。

もう一つ気になるのは、ゼロデイ2件の開示先がまだ明らかになっていないことです。対象のソフトウェアが広く使われているものであれば、修正パッチが行き渡るまでの期間、この情報自体が新たなリスクになりえます。開示の完了が報告されるかどうかを、次に確認すべき点として挙げておきます。

Section 07

まとめ

OpenAIは2026年9月1日、開発中モデル「Astra」が自社のPreparedness Frameworkにおける最上位区分「Critical」（サイバーセキュリティ）に到達したと正式に発表しました。8月7日時点の「可能性」表明から、確定判断への切り替えです。

評価の過程でAstraはゼロデイ脆弱性2件を発見してエクスプロイトチェーンに組み立て、ExploitBenchでは満点を記録しました。不適切なサイバー依頼への拒否率は91.5%（GPT-5.6 Solは59%）で、逆に言えば8.5%は依頼に応じてしまう水準です。

OpenAIはAstraを近く一般提供する一方、高度なサイバー機能は審査つきプログラム「デイブレイク・ブルー」を通じて、限られたテスターから順に開放する方針です。開放の審査基準や時期、そして発見された2件のゼロデイの開示先は、いずれもまだ公表されていません。

未知の脆弱性を自動で見つけて突けるAIが、実際に確認された形で存在するようになった以上、自社ソフトウェアのパッチ適用の遅れが持つ意味は、これまでと同じではなくなっている。