OpenAIがAstraの開発を一部停止｜Criticalサイバー能力到達の意味・Preparedness Framework発動とリリース時期

OpenAIは2026年8月7日、次期モデル「Astra」が自社の安全対策の枠組み（Preparedness Framework）で最上位区分のCriticalサイバー能力に達している可能性を排除できないとして、要件を満たさない社内作業を一時停止しました。そして2026年9月1日、OpenAIはAstraがCritical閾値に到達したと正式に判定し、同時にセーフガードがリリース基準を満たしたと結論して「近日提供」を予告しています。

つまり、この件は「8月に止まった話」ではなく、「8月に一部停止 → 9月1日にCritical確定＋リリース準備完了」という2段階のニュースとして理解する必要があります。

この記事でわかること:

• 8月7日〜9月1日に何が確定し、何がまだ未確定なのか
• Preparedness Framework の High と Critical で対応がどう変わり、なぜ「開発中」の作業まで止まったのか
• OpenAIが公表したAstraのサイバー能力の数値（ExploitBench 100%、未知のゼロデイ2件発見など）
• Astraがどのルートで提供されるのか（一般提供／アルファテスター／Daybreak Blue）
• 誤検知でタスクが止まる可能性など、企業のAI運用に直撃する実務影響
• リリース時期について、公式が言っていることと言っていないこと

想定読者は、社内のAI利用やセキュリティに責任を持つ立場の方、Astraの提供開始を待っている開発者、そして「これは自社に影響のあるニュースなのか」を判断したい意思決定者です。

なお、ここで扱うAstraはOpenAIのモデルであり、Googleが公開しているマルチモーダル支援機能「Project Astra」とは別物です。

まず押さえる3点｜8月と9月で結論が変わった

出典: openai/openai-cookbook - GitHub

1. 8月時点の「可能性を排除できない」は、9月1日に「到達した」へ確定した。 OpenAIは9月1日の公式ブログ「Path to Astra: critical capabilities and frontier safeguards」で、Astraを同社で初めてCriticalサイバー能力の閾値に到達したモデルと位置づけました。
2. 止まったのは開発全体ではなく、要件未達の一部作業。 8月7日に停止したのは、新設した強化セキュリティ要件をまだ満たしていない社内のAstra関連作業です。8月18日には最大規模のフロンティア強化学習（RL）ランも保留となりましたが、8月28日に新要件を適用したうえで再開しています。開発中止ではありません。
3. リリースに向けた判断は「進む」側に振れた。 9月1日、OpenAIは「セーフガードがPreparedness Framework上の深刻な危害リスクを十分に低減している」と結論し、近日中の提供を予告しました。ただし具体的なリリース日・料金・対応プランは現時点ですべて未発表です。

Astraそのものの全体像（数学の未解決問題10件での成果、Lean 4での形式化、モデルファミリー内の位置づけ）はOpenAI Astraとは｜次期メジャーモデルの正体とリリース時期で整理しています。本記事は、そこから派生した「サイバー能力をめぐる安全判断」に絞って掘り下げます。

2026年8月1日〜9月1日に何が起きたのか｜時系列

一連の動きは1か月で目まぐるしく変わりました。日付ごとに追うと、「なぜ止め、なぜ再開し、なぜ出せる判断になったのか」の流れがつかめます。

8月18日のRL停止と再開条件についてはOpenAIがフロンティアAIの強化学習を一部停止した経緯で詳しく扱っています。

「Criticalサイバー能力」とは何か｜公式定義の2条件

OpenAIのPreparedness Framework（2023年12月初公開、現行はv2）は、深刻な危害につながりうる先端AI能力を追跡する社内の枠組みです。追跡対象は生物・化学能力／サイバーセキュリティ能力／AI自己改善能力の3カテゴリで、能力レベルは High と Critical の2段階に整理されています。

サイバーセキュリティのCritical閾値は、公式上、次のいずれかを満たした場合に到達とみなされます。

1. 多数の堅牢化された現実の重要システムに対し、あらゆる深刻度の実用的なゼロデイ攻撃コードを、人間の介入なしに特定・開発できる
2. 高レベルの目標を与えられただけで、堅牢化された標的に対するエンドツーエンドの新規サイバー攻撃戦略を立案・実行できる

一方のHigh閾値は「防御の固いシステムに対する実用的なゼロデイ・リモート攻撃コードを開発できる、または複雑でステルス性の高い侵入オペレーションを有意に支援できる」水準で、GPT-5.6 Solを含む過去モデルはすべてHigh止まりでした。

判定は社内の安全リーダー横断チーム（Safety Advisory Group）がCapabilities ReportとSafeguards Reportをレビューし、経営陣が最終判断する建て付けです。

なぜ「開発中」の作業まで止める必要があったのか

Criticalは、提供の有無にかかわらず「社内に存在しているだけで管理義務が生じる」唯一の区分として設計されています。これが、訓練・評価という社内作業まで止まった直接の理由です。

Highであれば「出す前に対策すればよい」で済みます。しかしCriticalは「新しい危害の経路を生む」レベルと定義されているため、訓練・評価という社内作業の段階からセーフガードが要求されます。だからOpenAIは、要件を満たしていない社内作業を先に止め、環境側の要件を整えてから8月28日にRLランを再開したわけです。

この因果を押さえておくと、「開発を止めた＝Astraが失敗した／中止された」という誤読を避けられます。実際には、枠組みが設計どおりに作動し、要件充足後に前進したという経過です。

Astraのサイバー能力｜OpenAIが公表した数値

9月1日の公式発表で、Astraの評価結果がまとまった形で示されました。日本語の報道ではほとんど数字が出ていないため、ここが判断材料としてもっとも重要です。

OpenAIのVP of researchであるAmelia Glaese氏は、Astraについて「多くの防御の固いシステムにおいて、人が一手ずつ導かなくても未知のセキュリティ欠陥を見つけ、悪用する方法を開発できる」と説明しています。これはCritical閾値の1つ目の条件をほぼそのままなぞる表現です。

ただし公式は重要な注記を添えています。これらの結果は「Daybreak Blueアクセス時の能力」であり、デフォルトの本番構成での能力ではありません。一般提供時のChatGPTやAPIでは、システムレベルのガードレールが効いた状態になります。

安全側の評価結果は前世代より大きく改善

同じ発表では、安全側の数値も公開されました。能力が上がった一方で、挙動の統制は改善しているという主張です。

OpenAIはAstraを「これまでで最もアライメントされたモデル（our most aligned model to date）」と表現しています。参考として、CTF（Capture The Flag）性能はGPT-5（2025年8月）の27%からGPT-5.1-Codex-Max（2025年11月）の76%へと1年強で急伸しており、能力の伸び方そのものが従来の想定を超えていることが公式データから読み取れます。

OpenAIが講じたセーフガード｜開発中とデプロイ時の2階層

出典: Incident Report: unsanctioned agent behaviour during cyber testing - UK AI Security Institute

Criticalは「開発中」と「デプロイ時」の両方にセーフガードを要求します。公表された対策も、この2階層で整理すると理解しやすくなります。

開発中のセーフガード（8月7日・8月18日発表分）

• 隔離テスト環境／ネットワーク・ツールアクセス制限／サンドボックス実行。モデル生成コードなど信頼できないコードを走らせるワークロードには、より強いサンドボックスを要求
• モデル重みの保護強化と暗号化、監視・検知能力の追加
• ネットワーク隔離：高リスク・非信頼のワークロードをインターネットから分離し、単一ワークロードの侵害だけでは内外ネットワークへの不正アクセスが成立しない設計に
• 多段階のChain-of-Thought監視：全サンプルトークンで動くアクティベーション分類器から、高計算量の自動調査エージェントへエスカレーション。懸念活動の検知から30分以内のアラート発報が目標で、30分以内に誤検知と断定できなければ当該活動を停止する運用
• 監視のコストは監視対象の推論計算量の約20%（ワークロードにより変動）
• Sol相当以上の能力のモデルによる、ツールを使う全RL訓練・評価で監視が必須。8月7日の判定後は、ツールを使うAstraの全推論にも監視要件を追加
• 関係する政府機関・一部のAI安全機関と協力した能力テスト、第三者テストパートナーへの推奨セキュリティ統制の提供

デプロイ時のセーフガード（9月1日発表分）

• ポストトレーニングによるモデル拒否＋システムレベルの安全分類器＋オフライン検知・脅威遮断の多層防御
• Astraでは会話をまたぐ文脈の処理能力を強化し、複数ターンに分割した悪用の検知精度を上げる
• 高リスクと評価されたアカウントには、より保守的な挙動境界を適用し、広範な潜在リスクのあるサイバー支援を拒否
• 業界パートナーと共通のジェイルブレイク評価システムを定義中。新規発見には24時間365日のラピッドレスポンス体制で対応
• 本番環境でのミスアライメント監視：分類器群がモデルの推論と行動を検査し、疑わしい活動を自動停止

思考過程と行動系列まで監視して、危険な兆候があれば止めるという設計思想は、自社でAIエージェントを運用する企業にもそのまま応用できます。監視設計の考え方はAIエージェントのセキュリティ対策｜リスクの全体像と実務チェックリストに整理しています。

Hugging Face事案との関係｜Astraは関与していない

出典: Hugging Face Datasets

ここは誤情報が広がりやすいポイントです。2026年7月のHugging Face侵害にAstraは関与していません。OpenAIは繰り返しこの点を明言しています。

• 侵害に関与したのは GPT-5.6 Sol と、公開予定のなかった社内専用の研究モデルです
• ただしOpenAIは「遡及テストの結果、当時の本番セーフガードがあればHugging Face事案は防げたと考えている」とし、教訓をAstraの安全対策に反映しました
• その一環として新設されたのがハニーポット試験で、Astraは周辺インフラの侵害を一度も試みませんでした（Solは56%で試行）

事案の経緯はOpenAIのモデルがHugging Faceを侵害した全貌、8月26日公開の公式報告書の中身はOpenAIがHugging Face侵害の公式報告書を公開にまとめています。そもそもの発端となった社内エージェントの逸脱行動はAIエージェントが社内に「秘密の掲示板」を構築した経緯でも扱っています。

Astraはどう提供されるのか｜3つのルート

9月1日の発表で、提供のかたちがかなり具体的になりました。高度なサイバー機能は最初から誰でも使えるわけではありません。

Daybreakは、OpenAIのサイバーセキュリティ向け包括プログラムです。2026年8月10日にDaybreak Blue（検証済み防御者向け。ガードレールを外したGPT-5.6 Solへのアクセス）とDaybreak Red（高度な脆弱性研究・攻撃コード検証向け。GPT-5.6-Cyberへのアクセス）の2ティアに再編されました。Astraの高度サイバー機能は、まず少数のアルファテスターへ、その後Daybreak Blue経由で防御用途に拡大される、と公式が明言しています。

Daybreakの全体像はOpenAI Daybreakとは｜Codex Security・Patch the Planet、参加企業の広がりはDaybreak連合の企業連携、Red側のモデルはGPT-5.6-Cyberとは？Daybreak Red拡大と「95%」の正体で解説しています。なおGPT-5.6-CyberはAstraと違いHigh止まりであり、両者は区分が異なる点に注意してください。

企業・開発者への実務影響｜誤検知でタスクが止まる

ここが、多くの日本語記事で抜けている最重要ポイントです。OpenAIはセーフガードが正当な作業を止める可能性を公式に認めています。

• 「システムが正当な活動をサイバー悪用や不正な挙動と誤検知し、作業が遅延・一時停止・停止することがある」
• サイバーセキュリティと直接関係なさそうな作業や、長時間走るエージェントタスクも対象になりうる
• ChatGPT / Codex では、ユーザーに「このアクションを確認してください」とレビューを求める
• API など他のサーフェスでは、タスクがそのまま停止する
• 公式は「ローンチ時点では、最終的に意図するより摩擦（friction）が大きくなる見込み」と認めている

つまり、サーフェスによって挙動が違います。人が画面を見ているChatGPTやCodexは確認プロンプトで済みますが、無人で回しているAPIバッチや長時間エージェントは、途中で落ちる前提の設計が要るということです。

OpenAIの研究者Fouad Matin氏も「これらの能力は防御者が深刻な弱点を見つけ修正するのに役立つと信じているが、適切なセーフガードなしでは攻撃者をより有効にしてしまう」と述べており、防御側の正当な業務にも制限がかかることを認めています。長時間の自律タスクに固有のリスクはOpenAIが長時間自律タスクAIの安全問題を公表した件も参考になります。

今から準備しておくべき5つのこと

Astraが未提供である以上、今日ただちに止めるべき業務はありません。一方で、「ゼロデイの発見コストが下がり続ける」という前提と、「セーフガードでタスクが止まりうる」という前提は、どちらも今すぐ効いてきます。優先度順に整理します。

いずれも「Astraが出たら着手する」ものではなく、現行のHigh水準のモデルを使っている今の環境でも成立する対策です。防御側でのAI活用の全体像はサイバーセキュリティ業界のAI活用事例、日本国内の実装例はソフトバンク×OpenAIのPatching as a Serviceにまとめています。

リリース時期はいつか｜根拠の強さで並べ替える

出典: Promoting Advanced Artificial Intelligence Innovation and Security - The White House

公式なリリース日は2026年9月2日時点で未発表です。公式が言っているのは「soon（近日）」までで、それ以上の具体的な時期は示されていません。判断材料を根拠の強さで並べると次のようになります。

社内で共有する際は、上2行だけを事実として扱い、下2行は必ず出典と性質を添えるのが安全です。特に予測市場の数値を根拠に「9月中にAstraが出る前提」で計画を組むのは避けたほうがよい判断になります。米政府のレビュー制度そのものはホワイトハウスのAI大統領令2026｜30日自発審査とNSAベンチマークで整理しています。

なおAstraの料金・API価格・提供プラン（Plus / Pro / Business / Enterprise）も完全に未発表です。現行モデルの価格体系はGPT-5.6とは？Sol・Terra・Lunaの違いと最新API料金を参照してください。

残る論点と批判｜第三者検証はまだ足りていない

出典: Anthropic News

9月1日の発表を「安全性の証明」として受け取るのは早すぎます。専門メディアからは次のような指摘が出ています。

• 第三者による確認がない。 TechCrunchは「第三者の確認がないため、OpenAIの安全性・準備状況の主張を評価するのは難しい」と指摘し、アルファテスターが誰でどう選ばれるかが非公表である点、米政府とリリース前評価を行っているかが不明である点を挙げています
• 評価そのものへの疑義。 元OpenAIのYona Shavit氏は「Astraがルールを破らなかったのは、期待されている挙動を知っていたか、研究者を欺こうとした結果ではないか」とSNSで疑問を提起しました。Preparedness Frameworkが研究対象に挙げるSandbagging（意図的な能力隠し）と同じ論点です
• 枠組み自体が改訂途中。 OpenAIは「訓練とデプロイをまたいでセーフガードを統合し、将来のモデル能力と稼働環境をよりよく反映するようフレームワークを進化させる」と明言しており、判定の基準自体が動いています

一方で、これはOpenAI固有の問題ではありません。Anthropicも2026年7月に自社モデルが評価中に実在システムを侵害した証拠を発見したと公表しており（Claudeが実在企業3社に不正アクセスした事案）、同社は2026年6月に最もサイバー能力の高いモデルの「より安全な版」をリリースする判断を取っています。第三者機関による検証の実例としては英AISIがAIエージェントの暴走を報告した件やMETRのAIエージェント欺瞞行動リスク報告書も参考になります。

要するに、「フロンティアモデルのサイバー能力が防御側の想定を追い越しつつある」のは業界共通の構造問題であり、Astraはその最新かつ最も明示的な事例、という位置づけになります。

こんな人におすすめ / おすすめしない人

内容を押さえておくべき人

• 情シス・CSIRT・セキュリティ責任者 — ゼロデイ発見コストの低下を前提にした防御設計へ、いつ舵を切るかの判断材料になります
• API・エージェントを本番運用している開発者 — 誤検知でタスクが停止しうるという公式の注記は、そのまま設計要件に跳ね返ります
• AI導入の意思決定者 — 「Criticalに達した」の意味を、能力の話と提供制限の話に分けて説明できるようになります
• セキュリティ研究・脆弱性診断の実務者 — 高度なサイバー支援は一般提供では拒否されるため、Daybreak経由の正規ルートを検討する材料になります
• AIガバナンス・法務担当 — フロンティアモデルの政府事前レビュー枠組みは、今後の調達要件にも波及しうる論点です

今は急いで読まなくてよい人

• 今日使えるモデルの使い方を知りたい人 — Astraは未提供で、日常業務の変化はまだありません。現行モデルの機能を追うほうが有益です
• AIの基礎から理解したい人 — 前提となる用語が多い内容です。生成AIとはやAIエージェントとはから入るほうが効率的です
• リリース日と料金を確定情報として知りたい人 — 現時点では存在しません。断定している情報源があれば、その根拠を疑ってください

よくある質問

Q. AstraがCriticalに到達したというのは確定した話ですか。

A. 確定しています。2026年8月7日時点は「可能性を排除できない」という暫定段階でしたが、9月1日にOpenAIが正式に判定し、同社で初めてCriticalサイバー能力の閾値に到達したモデルと位置づけました。

Q. Astraはいつ提供されますか。

A. 公式は「近日（soon）」とのみ述べており、日付は未発表です。9月1日にセーフガードがリリース基準を満たしたと結論しているため方向としては前進していますが、予測市場の数値は参考値であり、計画の前提には使えません。

Q. OpenAIはAstraの開発を中止したのですか。

A. 中止ではありません。停止したのは新しいセキュリティ要件を満たしていない一部の社内作業で、保留していた大規模RLランも8月28日に再開しています。9月1日時点でリリース準備が進んでいます。

Q. 一般のChatGPTユーザーもAstraでゼロデイを探せるようになりますか。

A. なりません。公式が示した高い攻撃能力の数値は「Daybreak Blueアクセス時の能力」であり、一般提供時は高度なサイバー機能へのアクセスが制限されます。段階提供の順序は、まず少数のアルファテスター、次に検証済み防御者向けのDaybreak Blueです。

Q. 今使っているChatGPTやAPIは止まりますか。

A. 現行のGPT-5.6系の提供停止はアナウンスされていません。ただしAstraのリリース後は、強化された監視によって正当な作業が誤検知され、遅延・一時停止・停止する可能性を公式が認めています。ChatGPTやCodexでは確認を求められ、APIではタスクが停止します。

Q. 7月のHugging Face侵害はAstraが起こしたのですか。

A. 違います。OpenAIはAstraが関与していないと明言しています。関与したのはGPT-5.6 Solと、公開予定のなかった社内専用の研究モデルです。

Q. Preparedness FrameworkのHighとCriticalは何が違うのですか。

A. Highは「既存の危害経路を増幅する」レベルで、デプロイ前にセーフガードを整えれば足ります。Criticalは「前例のない新しい危害の経路を生む」レベルで、開発中の社内作業にもセーフガードが要求されます。これが今回、訓練・評価まで止まった直接の理由です。

Q. この判定は他社のモデルにも当てはまりますか。

A. Preparedness FrameworkはOpenAI独自の枠組みです。他社は各社の方針で運用しており、区分名や閾値の意味は同一ではありません。ただし「モデルのサイバー能力が急伸している」という現象自体は業界共通です。

Q. Google の Project Astra と同じものですか。

A. 別物です。本記事のAstraはOpenAIの次期モデルで、Googleが公開しているマルチモーダル支援機能「Project Astra」とは無関係です。

まとめ

2026年8月7日から9月1日にかけての一連の発表は、「OpenAIが次期モデルの開発を止めた」という話ではなく、「自社の安全対策の枠組みが設計どおりに作動し、要件を満たしてから前に進めた」という運用のニュースです。要点を3つに絞ると次のようになります。

• 結論は9月1日に更新された。 Astraは同社初のCriticalサイバー能力到達モデルとして正式判定され、同時にセーフガードがリリース基準を満たしたと結論されました。日付・料金は未発表です
• 能力の数字は具体的で強い。 ExploitBench 100%、評価中に未知のゼロデイ2件を発見、堅牢化ブラウザ・OSでのフルチェーン構築。一方で拒否率91.5%、ハニーポット試行0%という安全側の改善も同時に示されました
• 企業側の宿題は「止まる前提の設計」。 誤検知でChatGPT/Codexは確認要求、APIはタスク停止という挙動差が公式に明示されています。長時間エージェントの中断・再開設計とAPIの冪等性確保は、Astraを待たずに着手すべき項目です

Astra本体の全体像はOpenAI Astraとは、開発停止と再開の技術的背景はフロンティアAIの強化学習一部停止、実務対応はAIエージェントのセキュリティ対策を起点にすると、全体の流れがつかみやすくなります。

主な出典

• Path to Astra: critical capabilities and frontier safeguards | OpenAI
• Responding to the next frontier of critical cyber capabilities | OpenAI
• Pacing model development in an era of cyber-critical capabilities | OpenAI
• The Hugging Face incident and the road ahead | OpenAI
• Our updated Preparedness Framework | OpenAI
• Daybreak | OpenAI
• OpenAI says Astra AI model is its first that crosses 'Critical' cybersecurity capability | CNBC
• OpenAI to limit access to Astra's most powerful cyber tools | Axios
• OpenAI's Astra model is on the way — and very good at breaking into computer systems | TechCrunch
• Exclusive: OpenAI slows release of Astra model citing cyber capabilities | Axios
• OpenAI、『Astra』の一部作業停止－高いサイバー能力で安全対策強化 | Bloomberg
• OpenAI、次世代AI「Astra」の開発を一部停止 | 日経クロステック