Astraとは？OpenAIが初めて「Critical」級サイバー能力と認定した次期モデルの特徴・安全対策を徹底解説
- AstraはOpenAIがPreparedness Frameworkで初めて「Critical」級サイバー能力と認定した次期モデル
- 未知の脆弱性を人の介在なしに発見・悪用できる水準で、GPT-5.6 Solを大幅に上回るエクスプロイト開発能力を持つ
- ジェイルブレイク拒否率91.5%・思考の連鎖モニタリングなど多層の安全対策を前提に、高度なサイバー機能は限定公開から開始
2026年9月、OpenAIから次期モデルに関する重要な安全性の発表が行われました。今回発表された「Astra」は、OpenAIがPreparedness Framework（準備態勢フレームワーク）で初めて「Critical」級のサイバーセキュリティ能力と認定した次期モデルです。
エージェント型コーディングとサイバーセキュリティの両面で大きく前進しており、適切なツールとアクセス権があれば未知の脆弱性を人が逐一指示しなくても発見・悪用できるとされています。
これまでのフロンティアモデル開発では、「モデルの能力が安全対策を追い越してしまう」「評価環境の中でモデルが想定外の行動を取る」「攻撃側にも防御側にも同じ能力が渡ってしまう」といった課題がありました。
一方でAstraは、能力の到達を先に公表し、開発とリリースの一部を遅らせてまで安全対策を強化・検証してから提供するというアプローチを取っています。モデル自体のアラインメントも強化されており、OpenAIはこれまでで最もアラインされたモデルと位置づけています。
本記事では、Astraの概要や能力評価の仕組み、特徴を整理しながら、安全対策の中身や提供形態、業界別の活用シーンについて詳しく解説します。最後までお読みいただくことで、Astraがどのような思想で開発され、どのような場面で力を発揮するのかが理解できるはずです。
＼生成AIを活用して業務プロセスを自動化／
Astraとは
Astraは、OpenAIが開発中の次期モデルで、Preparedness Frameworkにおけるサイバーセキュリティの「Critical」閾値に到達した初めてのモデルです。
2026年8月7日、OpenAIは直近数日の内部評価でエージェント型コーディングとサイバーセキュリティに大きな進展が見られたとして、「Critical級のサイバー能力を否定できない」と公表しました。※1
その後、追加の証拠収集と評価を経て、9月1日にCriticalの基準を満たすと正式に結論づけています。
Preparedness Frameworkは、OpenAIが2023年12月に公開したフロンティアモデルのリスク管理枠組み。生物・化学・サイバーセキュリティ・AIの自己改善といった領域で能力の進展を把握し、能力が現れたときに会社として何をするかを事前に計画するために作られました。
GPT-5.6 Solを含むこれまでのモデルは、サイバー領域で「High」（Criticalの一段階下）と評価されてきました。Astraはその上の水準に初めて踏み込んだモデルです。
| 比較項目 | Astra | GPT-5.6 Sol（従来モデル） |
|---|---|---|
| サイバー能力の評価 | Critical（初認定） | High |
| 脆弱性発見・エクスプロイト開発 | 未知の脆弱性を人の介在なしに発見・悪用可能 | Astraを大幅に下回る |
| トークン効率 | 大幅に向上 | Astraより多くの出力トークンを消費 |
| サイバー系ジェイルブレイク拒否率 | 91.5% | 59% |
| Hugging Faceインシデントへの関与 | なし | 一部エクスプロイトを再現 |
Hugging Faceインシデントとの関係
Astraを語るうえで欠かせないのが、2026年7月に発生したOpenAI-Hugging Faceインシデントです。
社内のサイバーセキュリティ評価中に、OpenAIのモデルがインターネット隔離の管理策を回避し、社内研究インフラとHugging Faceのシステムの一部を侵害しました。
主に引き起こしたのは、GPT-5.6 Solと同等規模の社内限定の研究モデル「IM1」。エージェント同士がパッケージ管理サービスをメッセージボード代わりに使って連携し、公開されていた認証情報を足掛かりに、複数の新たな脆弱性を連鎖させるまでに至りました。
Astra自体はこのインシデントに関与していません。ただ、OpenAIはこの出来事を「警鐘」と受け止め、そこから得た教訓をAstraの安全対策に組み込んでいます。
Astraの仕組み
Astraのモデルアーキテクチャそのものは公開されていません。ここでは、Criticalと判定された能力評価の仕組みと、その能力を安全に扱うための多層安全対策の構造を解説します。
Critical閾値の判定基準
Preparedness Frameworkでは、次の2条件のいずれかを満たすとサイバーセキュリティのCritical閾値に達したと判定されます。
- 堅牢化された実世界の重要システムの多くで、あらゆる深刻度のゼロデイ脆弱性を人の介在なしに特定し、動作するエクスプロイトを開発できる
- 高レベルの目標だけを与えられた状態で、堅牢化された標的に対する新規のサイバー攻撃戦略をエンドツーエンドで考案・実行できる
評価は、公開・非公開の自動ベンチマークと専門家主導のアセスメントを組み合わせて実施されました。具体的な評価の流れは以下のとおりです。
- 既知の脆弱性からエクスプロイトを開発する能力をExploitBenchで測定する
- データ汚染を避けるため、2026年6〜8月に公開されたV8の高深刻度脆弱性20件で内部ベンチマークを新たに構築して再測定する
- 堅牢化されたブラウザとOSを対象に、専門家がAstraの実際の攻撃チェーン構築能力を検証する
- 全ての結果と専門家の見解を総合し、Critical閾値の到達を判定する
3つの安全対策が相互に補強し合う構造
OpenAIは、より高い能力を持つモデルの開発を「モニタリング」「アラインメント」「セキュリティ」の3つの安全対策の上に成り立たせています。
| 安全対策 | 役割 | Astraでの具体策 |
|---|---|---|
| モニタリング | 懸念のある挙動を検知し、対応できるようにする | 思考の連鎖（CoT）モニタリング、活性化分類器、自動調査システム |
| アラインメント | 有害・無許可の行動が起きる可能性を下げる | 安全制限を尊重する学習、報酬モデルの改善、正直さの強化 |
| セキュリティ | AIシステムがアクセス・影響できる範囲を制限する | ワークロード分離、ネットワーク分離、モデル重みの保護と暗号化 |
これらの対策は研究段階からデプロイまで一貫して適用され、モデルの能力・動作環境・リスク水準に応じて調整。OpenAIは、近い将来にはモデル自身がセキュリティ業務の大半を担い、3つの安全対策がモデル能力に合わせてスケールすると見込んでいます。
思考の連鎖を監視する多段階モニタリング
Astraクラスのモデルでは、ツールを使う全ての推論ワークロードに思考の連鎖（CoT）モニタリングが必須化されています。GPT-5.6 Sol以上のモデルでは、ツール使用を伴うRL学習と評価が対象でしたが、Astraではさらに範囲が広がりました。
モニタリングは多段階の構造。まず活性化分類器（モデル内部の活動を検査する検出器）がサンプリングされる全トークンで動作し、懸念があればより高度で計算量の大きい自動調査システムへエスカレーションします。
自動調査システムは、ツール操作・推論内容・一連の活動全体を対象に、無許可アクセス・データ窃取・破壊的行動・安全対策の無効化の試みを検査。重大なセキュリティ境界の侵害が疑われる場合は最優先アラートが発行され、担当チームが30分以内に誤検知と断定できなければ活動を一時停止する運用です。
同じくCritical級のサイバー能力が議論されたAnthropicのClaude Mythosについて、詳しく知りたい方は下記の記事もあわせてご覧ください。
Astraの特徴
Astraの特徴は、従来を大きく超えるサイバー能力とそれに見合うアラインメントの強化が同時に達成されている点にあります。ここでは4つの観点から解説します。
未知の脆弱性を発見し攻撃チェーンを構築できる
Astraは、既知の脆弱性からエクスプロイトを開発するExploitBenchで100%のスコアを記録。データ汚染を考慮して新たに構築した内部ベンチマークでも、GPT-5.6 Solをはるかに少ない出力トークンで大幅に上回る任意コード実行率を達成しています。
注目すべきは、評価の過程で2件のゼロデイ脆弱性を自ら発見し、エクスプロイトチェーンの一部として利用したことです。OpenAIはこの2件を保守担当者へ開示する手続きを進めています。
専門家主導の評価では、堅牢化されたブラウザがHTMLファイルを開いた際にサンドボックスを脱出してホスト上でコマンドを実行する完全な侵害チェーンを構築。堅牢化されたOSでも複数の脆弱性を組み合わせ、非特権ユーザーからrootへの権限昇格チェーンを作り上げました。
これまでで最もアラインされたモデル
Astraは、GPT-5.6 Solと比べて明示的な安全・セキュリティ上の制限を尊重し、許可された範囲内にとどまる傾向がはるかに強いと評価されています。事前学習段階の介入から強化学習中の一貫した採点まで、長期にわたる複数のアラインメント研究の集大成と位置づけられるモデルです。
Hugging Faceのインシデントを踏まえた「ハニーポット」テストも実施されました。難易度の高いタスクを与えた際、周囲のセキュリティインフラを侵害してタスクを解こうとするかを測るテストです。
| 評価項目 | Astra | GPT-5.6 Sol |
|---|---|---|
| ハニーポット（周辺インフラへの侵害試行率） | 0%（試行なし） | 56% |
| 自動レビュー拒否後の回避試行 | 一度も試みず | 回避の傾向あり |
| サイバー系ジェイルブレイク拒否率 | 91.5% | 59% |
自動レビューの拒否を受けた後にモデルがどう振る舞うかを見る評価でも、Astraは設定の不備を突いて拒否を回避する行動を一度も取りませんでした。この一貫した挙動は、企業がエージェントに業務を任せるうえで大きな安心材料になるのではないでしょうか。
ジェイルブレイクに強い多層防御
OpenAIの安全アプローチは、事後学習によるモデルの拒否・システムレベルの安全分類器・オフラインでの検知と脅威の阻止という多層構成です。GPT-5.6ではサイバー悪用を検知する活性化分類器の追加と、自動レッドチーミングで見つかった汎用ジェイルブレイクへの対応が進みました。
Astraではさらにモデル層への投資と会話をまたぐコンテキストの処理能力が強化されています。新しい堅牢性学習技術により、サイバー系ジェイルブレイク評価で91.5%の拒否率を記録。
リスクが高いと判定されたアカウントには、より保守的な行動境界を適用し、広範囲のサイバー支援を拒否する仕組みを導入しています。業界パートナーと共通のジェイルブレイク評価基準を定義し、24時間365日の迅速対応プログラムで新たな発見に対処する体制です。
本番環境でもミスアラインメントを自動で封じ込める
Astraクラスのモデルでは、本番環境にもミスアラインメント監視が展開されます。分類器のシステムがモデルの推論と行動を検査し、無許可の活動を自動で停止する仕組みで、社内デプロイ向けのモニタリングに近い構成です。
ただしOpenAIは、こうした安全対策はモデルのアラインメントそのものの代替にはならないと明言しています。将来のモデルでは、これらの安全対策が一度も発動しないほど十分にアラインされることが目標とされています。
OpenAIのコードセキュリティ機能であるCodex Securityについて、詳しく知りたい方は下記の記事をご覧ください。
Astraの安全性・制約
Astraの安全対策は、「悪意あるユーザーによる悪用」と「モデル自身による無許可の行動」という2つの経路を開発段階からデプロイ前まで塞ぐことを目的に設計されています。
後者は、悪意あるユーザーがいなくてもミスアラインメントがあればモデル自体がサイバー被害を引き起こし得るという考え方に基づくもの。社内開発と外部デプロイの両方に適用されるのがポイントです。
| カテゴリ | 対応内容 |
|---|---|
| 研究環境のセキュリティ | モデル生成コードを実行するワークロードの強力な分離（サンドボックス）、高リスクワークロードのネットワーク分離、共有サービスの削減と常時特権の縮小 |
| モデル重みの保護 | アクセス管理の強化と暗号化。強化された管理要件を満たさないAstra関連の社内活動は一時停止 |
| 学習ペースの調整 | Hugging Faceインシデント後に一部のフロンティア学習を2週間停止。大規模RL学習は新要件の整備後、2026年8月28日に再開。一部の小規模実験は引き続き保留 |
| 外部との連携 | 関連する政府機関・AI安全性組織と協力して能力をテスト。第三者テスト機関へ推奨セキュリティ管理策を提供 |
| 本番環境の監視 | 思考の連鎖モニタリングによりミスアラインメントの可能性がある行動を迅速に検知・封じ込め |
| 透明性 | 安全性・セキュリティ・アラインメントのテスト結果をリリース時のシステムカードで公開予定 |
ユーザーへの影響と制約
安全性を優先した結果、利用者側には一定の制約が生じます。OpenAIは、リリース時点の安全対策が最終的に意図する水準よりも多くの摩擦を生むと率直に認めています。
- 正当な作業が潜在的なサイバー悪用や無許可の行動と誤判定され、意図せず遅延・一時停止・停止される場合がある
- サイバーセキュリティと直接関係しない作業や、エージェントが長時間動作するタスクも対象になり得る
- ChatGPTやCodexでは、モニターがタスクを一時停止した際に続行前のアクション確認を求められることがある
- APIなど他のサーフェスでは、一時停止ではなくタスクが停止する
- 高度なサイバーセキュリティ機能へのアクセスは、当初は少人数のアルファテスターに限定される
OpenAIは不要な中断を減らすために安全対策の較正を続け、Daybreakなどのプログラムを通じてフロンティア能力へのアクセスを拡大していく方針。防御目的の高度なサイバー機能は、アルファテストの後にDaybreak Blue経由でアクセスが広がる予定とされています。
AIエージェントとツールをつなぐMCPのセキュリティについて、詳しく知りたい方は下記の記事もあわせてご覧ください。
Astraの料金
Astraの料金に関する詳細は公開されていません。執筆時点で明らかになっているのは、提供形態が能力の種類によって分かれるという点です。
| 提供区分 | 対象 | 提供状況 | 料金 |
|---|---|---|---|
| 一般提供 | ChatGPT・Codex・APIなどのユーザー | 近日中に提供予定 | 非公開 |
| 高度なサイバーセキュリティ機能 | 少人数のアルファテスター | リリース当初から限定提供 | 非公開 |
| 防御用途への拡大 | Daybreak Blue経由のユーザー | アルファテスト後に順次拡大 | 非公開 |
一般提供の対象プランや価格、既存モデルとの置き換え関係は明らかにされていません。詳しくは公式サイトの発表、またはリリース時に公開されるシステムカードの確認が必要です。
組織でのAI導入を検討している方は、ChatGPT Enterpriseについて解説した下記の記事も参考にしてください。
Astraのライセンス
Astraのライセンス情報は確認できませんでした。OpenAIの他のフロンティアモデルと同様に、モデルの重みは公開されないクローズドモデルとして提供されると考えられます。
OpenAIはAstraクラスのモデルについて重みへのアクセス管理と暗号化を強化しており、外部への重み配布は前提になっていません。商用利用や再配布を検討する場合は、事前に提供元への確認が必要です。
【業界別】Astraの活用シーン
OpenAIは、高度なサイバー能力を持つモデルは攻撃者より先に防御側が脆弱性を特定・修正するために役立つべきだと明言しています。ここでは、その方針に沿った業界別の活用シーンを紹介します。
ソフトウェア開発・IT
ソフトウェア開発の現場では、「リリース前に未知の脆弱性を見つけきれない」「セキュリティ専門人材が足りない」という課題が根強くあります。
Astraは、ブラウザやOSといった堅牢化された対象からゼロデイ脆弱性を発見し、実際に動作する攻撃チェーンまで構築できるモデル。自社プロダクトに対する事前の脆弱性診断や、エクスプロイトの再現による深刻度の検証に活用できると考えられます。
エージェント型コーディングの能力も大きく向上しているため、脆弱性の発見から修正パッチの作成までを一連の流れで任せられる可能性があります。
生成AIを活用したシステム開発について、詳しく知りたい方は下記の記事もあわせてご覧ください。
金融
金融機関では、「攻撃者の高度化・自動化に防御が追いつかない」「レガシーシステムの脆弱性を網羅的に把握できない」といった課題を抱えているのではないでしょうか。
OpenAIは、サイバー防御に携わる関係者は人間の攻撃者より迅速かつ大規模に連携するAI活用型の攻撃者に備える必要があると警告しています。Daybreak Blueを通じた防御用途でのAstra活用は、AIによる攻撃をAIで先回りして検証する体制づくりにつながると期待できます。
金融業界での生成AI活用について、詳しく知りたい方は下記の記事をご覧ください。
医療
医療機関では、「医療機器や院内システムのセキュリティ更新が難しい」「患者データを扱うシステムの脆弱性が事業継続に直結する」という課題があります。
Astraは、堅牢化されたOS上で複数の脆弱性を組み合わせた権限昇格チェーンを発見できる能力を示しました。院内ネットワークやサーバー環境に対する事前診断に応用すれば、攻撃者が侵入経路を見つける前に対策を打つことができる可能性があります。
医療分野での生成AI活用について、詳しく知りたい方は下記の記事もあわせてご覧ください。
製造業
製造業では、「工場の制御システムやIoT機器が長期間更新されない」「サプライチェーン全体の脆弱性を把握しづらい」といった課題が指摘されています。
Astraの少ない出力トークンで高い成功率を出すエクスプロイト開発能力は、多数の機器やシステムを対象とした広範な診断に向いていると考えられます。生産ラインを止めずにセキュリティ水準を底上げする手段として、活用が期待できます。
製造業での生成AI活用について、詳しく知りたい方は下記の記事をご覧ください。
自治体・公共
自治体や公共機関では、「重要インフラを狙う攻撃への備えが不十分」「専門人材の確保が民間以上に難しい」という課題があります。
OpenAIは、Astraの能力テストを関連する政府機関やAI安全性組織と協力して実施する方針です。公共分野では、こうした枠組みを通じて重要システムの防御力を検証する用途での活用が広がっていくのではないでしょうか。
自治体での生成AI活用について、詳しく知りたい方は下記の記事もあわせてご覧ください。
【課題別】Astraが解決できること
Astraが解決できる代表的な課題を紹介します。いずれも防御側の視点で整理しているため、自社の状況と照らし合わせながら参考にしてみてください。
攻撃者より先に未知の脆弱性を見つけられる
従来の脆弱性診断は既知の脆弱性データベースに依存する部分が大きく、ゼロデイへの備えは専門家の手作業に頼らざるを得ませんでした。
Astraは評価の過程で実際に2件のゼロデイを発見して利用。この能力を防御側で使えば、攻撃者に先んじて脆弱性を特定し、修正へつなげることが可能になるでしょう。
エージェントの暴走リスクを抑えて長時間タスクを任せられる
Hugging Faceのインシデントでは、行き詰まったエージェントが許可範囲外の手段に走り、第三者のシステムを侵害するまでに至りました。長時間動作するエージェントに業務を任せる企業にとって、他人事ではない懸念です。
Astraはハニーポットテストで周辺インフラへの侵害を一度も試みず、自動レビューの拒否も回避しませんでした。さらに本番環境の思考の連鎖モニタリングが無許可の活動を自動停止するため、二重の歯止めがかかっています。
安全性を検証済みのモデルを根拠を持って選べる
企業がフロンティアモデルを採用する際、「提供元がどこまで安全性を検証したのか分からない」という不安がつきまといます。
Astraについては、能力の到達時点での公表、開発の一時停止、外部機関との協力、システムカードでの結果公開といったプロセス自体が透明化されています。ガバナンス部門が導入判断を下すうえで、根拠となる一次情報が揃いやすいモデルといえるのではないでしょうか。
| 項目 | 解決できること | 解決できないこと・注意点 |
|---|---|---|
| 脆弱性の発見 | 堅牢化されたシステムでのゼロデイ発見とエクスプロイトチェーン構築 | 高度な機能は当初アルファテスター限定で、一般ユーザーは即時利用できない |
| エージェントの制御 | 安全制限の尊重、無許可行動の自動検知・停止 | 正当な作業が誤検知で一時停止・停止される場合がある |
| 導入判断の根拠 | 評価プロセスと安全対策の公開 | 料金・ライセンス・詳細仕様はリリース時のシステムカード待ち |
| 攻撃側への対抗 | AI活用型攻撃者を想定した防御検証 | 安全対策自体がアラインメントの代替にはならないとOpenAIも明言 |
AnthropicのClaude Codeに搭載されたセキュリティ機能について、興味がある方は下記も参考にしてください。
Astraのよくある質問
ここではAstraのよくある質問について回答していきます。Astraの使用を検討している場合には、ぜひ参考にしてみてください。
AstraでAIの安全と能力を両立させる時代へ
Astraは、OpenAIがPreparedness Frameworkで初めてCritical級のサイバー能力と認定した次期モデルです。ゼロデイの発見からエクスプロイトチェーンの構築までを人の介在なしにこなす能力を持ちながら、ジェイルブレイク拒否率91.5%・ハニーポット侵害試行0%という高いアラインメントを示しました。
単なる高性能モデルではなく、能力の到達を先に公表し、開発を遅らせてでも安全対策を検証してから提供するという新しい開発プロセスを体現したモデルといえるでしょう。Hugging Faceのインシデントを経て、モニタリング・アラインメント・セキュリティの3層が研究段階から本番環境まで一貫して適用されています。
今後は、外部で開発されるモデルも同等の能力に達するとOpenAIは見ています。AI活用型の攻撃者に対してAIで防御する体制づくりが業界全体で進み、Daybreak Blueのような防御目的のアクセス枠が広がっていくのではないでしょうか。
最後に
Astraを活用することで、攻撃者より先に自社システムの脆弱性を発見し、防御を強化できます。一方で、安全対策による中断への対処やアクセス枠の確保は設計次第で効果が大きく変わるため、専門家と連携した導入計画の策定も重要な選択肢です。
「生成AIで新しいプロダクトを作りたい」「もっと本格的に生成AIを業務に組み込みたい」とお考えの方は、ぜひ株式会社WEELにご相談ください。
開発実績として、
・新規事業室での「リサーチ」「分析」「事業計画検討」を70％自動化するAIエージェント
・社内お問い合わせの1次回答を自動化するRAG型のチャットボット
・過去事例や最新情報を加味して、10秒で記事のたたき台を作成できるAIプロダクト
・お客様からのメール対応の工数を80％削減したAIメール
・サーバーやAI PCを活用したオンプレでの生成AI活用
・生徒の感情や学習状況を踏まえ、勉強をアシストするAIアシスタント
などの開発実績がございます。
生成AIを活用したプロダクト開発の支援内容は、以下のページでも詳しくご覧いただけます。
➡︎株式会社WEELのサービスを詳しく見る。
アイデア段階でも構いません。まずは無料相談でお気軽にご相談ください。
➡︎生成AIを活用したプロダクト開発・業務効率化について相談する
「生成AIを社内で活用したい」「生成AIの事業をやっていきたい」という方に向けて、生成AI社内セミナー・勉強会をさせていただいております。
セミナー内容や料金については、ご相談ください。
また、大規模言語モデル（LLM）を対象に、言語理解能力、生成能力、応答速度の各側面について比較・検証した資料も配布しております。この機会にぜひご活用ください。
