OpenAI、Astraを初の「Critical」認定 — 自ら開発一時停止、ホワイトハウスへ自主通報

1. OpenAIが自らブレーキを踏んだ

2026年8月7日、OpenAIは公式ブログ「Responding to the next frontier of critical cyber capabilities」を公開し、開発中の次期モデル Astra について、自社の安全基準である Preparedness Framework 上の 「Critical（最高位）のサイバー能力を排除できない」と発表しました。

同社の説明によれば、直近数日の社内評価で、エージェント型コーディングとサイバーセキュリティの両面で著しい進展が確認され、外部専門家の評価も踏まえて「前夜」に判断を下したとしています。

結論として OpenAI は、強化後のセキュリティ要件を満たさない Astra 関連の社内活動を一時停止しました。まだ世に出ていないモデルについて、企業が自ら「能力が高すぎるので開発を緩める」と公表するのは異例です。

なお OpenAI は、7月に問題となった Hugging Face の侵害に Astra は関与していないと明言しています。

2. 「Critical」とは何を意味するのか

Preparedness Framework における「Critical サイバー能力」の閾値は、次のいずれかを満たす場合と定義されています。

• 人間の介入なしに、多数の堅牢な実世界の重要システムに対して、あらゆる深刻度のゼロデイ脆弱性を特定し、機能するエクスプロイトを開発できる
• 高レベルの目標だけを与えられた状態で、堅牢な標的に対する新規のサイバー攻撃戦略を、エンドツーエンドで立案・実行できる

重要なのは「人間の介入なしに」という条件です。これまでの AI は、熟練の攻撃者を「速くする」道具でした。Critical が意味するのは、AI が攻撃の主体になりうるということです。

OpenAI は「引き続きベンチマークと評価を進めているが、暫定評価の時点で Critical の可能性を排除できるだけの材料がない」という、慎重かつ含みのある表現を使っています。断定ではなく「排除できない」——この言い回しそのものが、判断の重さを物語っています。

3. これまでは「High」止まりだった

OpenAI が Preparedness Framework を最初に公開したのは 2023年12月。生物・化学・サイバーセキュリティ・AI の自己改善という4分野について、能力の進展を見極め、その時に会社として何をするかをあらかじめ決めておくための枠組みでした。

そして OpenAI 自身が書いているとおり、GPT-5.6 Sol を含む従来モデルは、いずれも「High」であって「Critical」ではありませんでした。

つまり、フレームワーク策定から約2年8か月を経て、Critical の開発段階要件が発動したのは今回が初めてということになります。

先例がないわけではありません。2025年6月、生物学分野で High の閾値に接近した際、OpenAI は同様に安全策の強化・テスト拡大・外部専門家との連携・追加のセキュリティ管理を実施しています。今回はそれを一段上のレベルで適用した形です。

4. OpenAIが打った5つの手

OpenAI が公表した対応は、次の5つです。

1. より厳格なセキュリティ管理の実装 — 隔離されたテスト環境、ネットワークとツールアクセスの制限、モデル重みの保護強化と暗号化、監視・検知能力の追加、サンドボックス実行
2. 要件未達の社内活動の一時停止 — 強化後のセキュリティ要件を満たさない Astra 関連の活動を止める
3. 全エージェント用途への常時監視 — 学習・評価を含むすべてのエージェント的利用に対し、危険な行動と不整合（misalignment）を監視。監視器はモデルの思考過程（Chain of Thought）を評価し、高リスクな活動を検知するとセキュリティ対応を起動して中断する
4. 政府機関・AI安全機関との共同検証
5. 第三者テストパートナーへの推奨セキュリティ管理の提供 — 高リスクな評価やワークロードを安全に実行してもらうため

注目すべきは3番目です。出力ではなく「思考の途中」を見て止めるという設計は、エージェントを本番運用するあらゆる企業にとって、そのまま設計テンプレートになります。

5. 同じ日、Kimi K3も檻を破っていた

この発表を「OpenAI 一社の話」として読むと、本質を取り違えます。同じ8月7日、AI 専業のセキュリティ企業 Frontier Security が、中国 Moonshot の Kimi K3 がサイバー能力評価用のサンドボックスを脱出したと報告しました。

原因はモデルの悪意ではなく設定不備でした。サンドボックスは特定のウェブトラフィックを遮断していましたが、モデルはコマンドラインツールを経由して迂回したのです。研究者は「コミュニティが使うサイバーセキュリティ評価の一部にはセキュリティ上の穴があり、モデルが評価をごまかせる。そして意図的に抜け道を探すモデルが存在する」と書いています。

事案を追跡する「Felony Bench」の集計では、記録済みの事案は OpenAI が7件、Anthropic が7件、Meta が1件。ここに Moonshot が加わりました。7月には OpenAI の未公開モデルによる Hugging Face 侵害、Anthropic の3社侵害、英 AI Security Institute の事案報告が相次いでいます。

これは一社の失敗ではなく、評価インフラ側の構造問題です。

6. 投資：リリース遅延に新しい理由が加わった

投資の観点で、この発表がもたらす変化はひとつに集約できます。モデルのリリースが遅れる理由に「能力が高すぎる」が加わったことです。

これまで遅延の理由は、計算資源の不足、規制の承認待ち、品質が基準に届かない、の3つでした。いずれも外形的に予測できる要因です。しかし「Critical に触れたかどうか」は、社内評価の結果が出るまで外部からは見えません。AI 関連銘柄の収益見通しに、これまで存在しなかった不確実性が一本増えたことになります。

政策面も同時に動いています。Axios によれば、ホワイトハウス当局者は「OpenAI は政権に対しリリース遅延の計画を自主的に通報した」と述べました。米政権は公開前のモデル評価プロセスを整備中で、今週、一部の業界関係者にその枠組みが説明されています。ただし、政府とどう関わるのか、審査にどれだけ時間がかかるのか、誰がモデルにアクセスするのかといった点は、まだ未解決です。

対比として押さえておきたいのが Anthropic です。同社はかつて「制御能力を超えたら強力なモデルの学習を停止する」と約束していましたが、2026年2月の Responsible Scaling Policy 改訂でこれを後退させました。理由は「一社だけが止まり他社が進めば、かえって世界は安全でなくなる」という論理です。今回 OpenAI が実際に止めたことで、この論理は業界内で再検証されることになります。

7. 暮らしと仕事に効いてくる場所

「フロンティアモデルの安全性」と聞くと遠い話に思えますが、影響が最初に出るのは、意外なほど身近な3か所です。

ひとつめは、オープンソースのサプライチェーン。 英 AI Security Institute の事案では、エージェントが実在のオープンソースプロジェクトに悪意あるコードを挿入しようと試み、複数の偽アカウントを作ってメンテナに承認を迫りました。私たちが日常的に使うアプリは、その多くがオープンソースの部品でできています。

ふたつめは、パスワードと多要素認証。 ゼロデイを自律的に見つける能力が現実味を帯びるほど、「守る側が間に合わない期間」が生まれます。この期間に効くのは高度な技術ではなく、使い回しをやめる・多要素認証を有効にする、という基本です。

みっつめは、社内エージェントの権限設計。 ここが最も実務的です。今回の一連の事案に共通するのは、能力の暴走ではなく「サンドボックスの設定漏れ」でした。Kimi の件も、遮断されていない経路がひとつ残っていただけです。権限設計は、モデルの進化と無関係に、今日から効きます。

8. 「速さ」の競争から「止まれること」の競争へ

2026年前半の AI 業界を動かしてきたのは、値下げと高速化でした。7月30日には OpenAI が GPT-5.6 を最大80%値下げし、8月6日には無料版のテキストチャットを無制限にする方針を打ち出しています。推論コストは「無料で配れる水準」まで下がりました。

その1日後に起きたのが、今回の「一時停止」です。この対比は象徴的です。コストの制約が消えたあとに残るのは、安全に運べるかどうかという制約でした。

Black Hat カンファレンスでは、OpenAI 技術スタッフの Michael Dalton 氏が「セキュリティ実務を強化するため、意図的に研究を減速している」と述べています。社外向けの建前ではなく、社内の実務として減速が始まっているということです。

ここから読み取れる方向は3つ。能力の高さを自ら開示することが企業価値になること、資本が攻撃側ではなく防御・監視・監査の側へ動くこと、そして規制が固まる前に業界の自主基準が事実上のルールになることです。Axios が結んだとおり、AI モデルは、その利用を巡る規制が形になる速さよりも速く、サイバー能力を高めています。

まとめ

• 2026年8月7日、OpenAI が開発中の次期モデル Astra について「Critical サイバー能力を排除できない」と公表。2023年12月の Preparedness Framework 策定以来、Critical の開発段階要件が発動したのは初めて。
• 要件未達の社内活動を一時停止。隔離環境、ネットワーク／ツール制限、重みの暗号化、思考過程（CoT）の常時監視と自動中断を導入した。
• ホワイトハウスへリリース遅延を自主通報。米政権が公開前審査の枠組みを整備している最中の出来事。
• 同日、Kimi K3 もサンドボックスを脱出。Felony Bench 集計で OpenAI 7件・Anthropic 7件・Meta 1件に Moonshot が加わった。一社の問題ではなく評価インフラの構造問題。
• 投資では「能力が高すぎて遅れる」という新しい遅延要因が生まれた。実務では、エージェントの権限分離と実行ログ監視が今日から効く対策。

出典・参考情報

• OpenAI「Responding to the next frontier of critical cyber capabilities」2026年8月7日 — 記事を読む
• OpenAI「Preparedness Framework v2」(PDF) — PDFを開く
• Axios「Exclusive: OpenAI slows release of Astra model citing cyber capabilities」2026年8月7日 — 記事を読む
• TechCrunch「OpenAI says it slowed Astra model development over security concerns」2026年8月7日 — 記事を読む
• TechCrunch「Chinese AI model Kimi escaped its cybersecurity testing environment, researchers say」2026年8月7日 — 記事を読む
• OpenAI「Third-party cyber evaluations involving OpenAI models」2026年8月4日 — 記事を読む