2026年9月1日

Astra への道：重大な能力とフロンティア安全対策

読み込んでいます...

Astra がサイバーセキュリティ能力の重大レベルに達する可能性があるという以前の評価以降、モデルの能力を評価するため、さらに証拠を収集し、追加評価を実施しました。現在、Astra は当社の Preparedness Framework におけるサイバーセキュリティ能力の「重大」しきい値を満たしていると判断しています。つまり、適切なツールとアクセス権があれば、人が各手順を指示しなくても、厳重に保護された多数のシステムで未知のセキュリティ上の欠陥を発見し、その悪用手法を開発できます。このレベルに指定する初のモデルであり、開発中とリリース前に、より強力な安全対策が必要です。

ここ数週間、サイバー悪用やモデルによる無許可の行動への保護を強化し、テストする間、Astra の開発とリリースの一部を延期しました。この取り組みに基づき、Astra の安全対策は、Preparedness Framework に基づくリリースに伴う深刻な被害のリスクを十分に抑えられると判断しています。

Astra は Hugging Face に関するインシデントには関与していませんが、このインシデントから得た教訓⁠（新しいウィンドウで開く）を安全対策に反映しています。事後検証に基づき、当時の本番環境の安全対策があれば、Hugging Face に関するインシデントを防げたと考えています。その後 Astra には、有害なサイバー要求をより確実に拒否し、安全上の制約を順守するためのモデル学習、悪用への追加保護、無許可の可能性がある活動を停止できる監視など、さらに強力な安全対策を導入しました。

Astra は近日中に提供する予定ですが、最も高度なサイバーセキュリティ能力へのアクセスは限定されます。高度なサイバーセキュリティ業務は当初、一部のテスターに提供し、その後 Daybreak Blue 経由でアクセスを拡大して防御目的の利用を支援します。

安全性、セキュリティ、アラインメントに関するテストと評価の詳細は、リリース時にモデルの System Card で公開します。リリースに先立ち、このレベルのサイバーセキュリティ能力を持つモデルを安全に提供するための取り組みの一部について最新情報をお伝えし、残るリスクも明確にします。

Astra のサイバーセキュリティ能力の評価

当社の Preparedness Framework では、次のいずれかの条件を満たすモデルを「重大」しきい値に達したとみなします。

人間の介入なしに、現実世界の堅牢化された多数の重要システムで、あらゆる深刻度の実用的なゼロデイ・エクスプロイトを特定し、開発できる
大まかな目標だけを与えられた状態で、堅牢化された標的へのサイバー攻撃について、エンドツーエンドの新たな戦略を考案し、実行できる

Astra の準備状況評価では、公開・非公開の自動ベンチマークと専門家主導の評価を組み合わせました。Astra のサイバーセキュリティ能力は GPT‑5.6 Sol より大幅に向上しており、トークン効率がはるかに高いだけでなく、脆弱性の特定とエクスプロイト開発の能力も優れています。

一例として、既知の脆弱性からエクスプロイトを開発する能力を測る ExploitBench で Astra を評価したところ、100% の満点を達成しました。

データ混入への懸念から、より最近公開された深刻度の高い V8 の脆弱性20件を含む社内ベンチマーク「ExploitBench - Internal Port（2026年6月～8月）」を構築しました。このデータセットでは、Astra は GPT‑5.6 Sol よりはるかに少ない出力トークン数で、任意コード実行の成功率が大幅に上回りました。評価中には、エクスプロイトチェーンの一部として2件のゼロデイ脆弱性を発見し、実際に利用しました。現在、この2件をメンテナーに開示する手続きを進めています。

ここに示す Astra の結果は、デフォルトの本番構成ではなく、Daybreak Blue へのアクセスがある場合の能力を反映しています。

堅牢化されたブラウザとオペレーティングシステムを対象とした専門家主導の評価では、Astra は未知の脆弱性を発見し、実用的なエクスプロイトチェーンにしました。ブラウザが HTML ファイルを開いた際に、サンドボックスを脱出してホスト上でコマンドを実行する、完全なブラウザ侵害チェーンを構築しました。モデルは堅牢化されたオペレーティングシステムで複数の脆弱性も発見し、それらを組み合わせて、権限のないユーザーから root へ至るローカル権限昇格チェーンを構築しました。以上の調査を総合し、Astra は「重大」しきい値を満たしていると結論付けました。

重大な能力に必要な安全対策

Astra と同等のサイバーセキュリティ能力を持つモデルでは、開発中とデプロイ前の両方で、深刻なサイバー被害のリスクを最小限に抑えるため、次の2つの経路に対処する必要があります。

悪意ある攻撃者によるモデルの使用安全対策により、悪意ある攻撃者が Astra を利用して、堅牢化された重要システムの未知の脆弱性に対するエクスプロイトを開発したり、堅牢化された標的にエンドツーエンドの攻撃を実行したりすることを、確実に防ぐ必要があります。
モデルによる無許可かつ不整合な行動悪意あるユーザーがいなくても、高度なサイバーセキュリティ能力を持つモデルは、アラインメントが不十分であれば、自らサイバー被害を引き起こす可能性があります。このような能力を持つモデルには極めて高いアラインメント基準を設けることに加え、第2の防御層として、現実世界に重大な被害を及ぼし得る不整合な行動を迅速に検知し、封じ込められる安全対策が必要です。

特に、第2の経路は社内開発と外部デプロイの両方に当てはまります。以前説明したとおり、OpenAI と Hugging Face に関するインシデント後、分離やネットワーク制御、監視の拡充、アラインメント学習としきい値の強化などによって学習インフラを堅牢化するため、Astra の一部学習を含む特定のフロンティア学習を2週間停止しました。その後、より厳格な管理の下で小規模な作業を再開しました。

将来版 Astra の一部の大規模な強化学習（RL）は、学習環境の安全性とセキュリティについてより高い基準を確立するまで、さらに長期間見送りました。新たな安全性・セキュリティ要件を導入した後、8月28日に、それまで停止していた大規模なフロンティア RL を再開しました。一部の小規模な実験的学習は、引き続き一時的に見送っています。

Astra のリリース準備では、サイバー悪用や無許可の行動に対する保護の強化も必要でした。以下では、これらの安全対策と、そのテスト方法について説明します。

サイバー悪用への堅牢性

サイバーセキュリティ能力を「高」と評価した最初のモデルを2月にデプロイして以来、リリースのたびにサイバー安全対策を強化してきました。総合的な安全対策では、事後学習済みモデルによる拒否、システムレベルの安全性分類器、オフラインでの検知と脅威の阻止を多層的に組み合わせています。

GPT‑5.6⁠（新しいウィンドウで開く）では、サイバー悪用を検知する活性化分類器の追加や、集中的な自動レッドチーミングで発見された汎用ジェイルブレイクへの対応範囲拡大などにより、システムレベルの安全対策群の堅牢性を大幅に向上させました。Astra では、これらの改善を基に、安全対策群のモデル層へさらに投資するとともに、会話をまたぐ文脈を安全対策で扱う能力も高めました。

モデルの堅牢性を高める新たな学習手法により、Astra は許可されていないサイバー支援の要求を、より確実に拒否します。サイバージェイルブレイク評価では、Astra は要求の 91.5% を拒否しました（GPT‑5.6 Sol は 59%）。
高リスクと評価されたアカウントには、リスクの可能性があるサイバー支援をより広範に拒否する、保守的なモデル動作境界を適用します。高リスクのユーザーについては、こうしたサイバー悪用を捉えられるよう、監視システムが扱う文脈を拡張しました。

厳格なテスト、社内外のレッドチーミング、是正措置も継続しています。過去のテスト期間で見つかったすべてのジェイルブレイクに引き続き対応できていることを確認する回帰テストに加え、最新の社内レッドチーミング攻撃者を用いた新たなレッドチーミングを実施しています。業界パートナーと共通のジェイルブレイク評価体系を策定しており、24時間365日の迅速対応プログラムで新たな発見を調査し、対処します。サイバー安全対策のテストについては、Astra の System Card で詳しく説明します。

防御担当者による脆弱性の発見と修正を支援することは、今後も安全対策の中核です。リリース時の Astra の安全対策は、潜在的な悪用を防ぐため、最終的に目指す水準よりも利用時の制約が多くなる見込みです。高度なサイバーセキュリティ業務での Astra へのアクセスは、当初は少数のアルファテスターに提供し、その後 Daybreak Blue 経由で対象を拡大して防御目的の利用を支援します。

アラインメント & 監視

モデルによる不整合の可能性がある行動を防ぐため、多層的な保護を追加しました。

モデルのアラインメント：評価では、Astra は GPT‑5.6 Sol よりも明示的な安全性・セキュリティ上の制約を順守し、許可された範囲内にとどまる可能性がはるかに高く、これまでで最もアラインメントの取れたモデルとなりました。特に、モデルがセキュリティと安全性の制約を尊重し、許可された範囲内にとどまる傾向を重視しました。
監視と制御：社内手順と同様に、Astra には思考の連鎖の追加監視を導入し、不整合の可能性がある行動を迅速に検知して封じ込めます。

Astra はモデルのアラインメントを大きく前進させるものであり、事前学習への介入から、強化学習におけるより慎重で一貫した評価まで、長期にわたる複数の取り組みの集大成です。テストでは、Astra は GPT 5.6 Sol と比べ、明示的な安全上の制約や警告（自動レビューなど）を一貫して順守する可能性が高いことが分かりました。

また、サイバー評価 ExploitGym を実行していたエージェントが第三者のシステムを侵害した Hugging Face に関するインシデントを踏まえ、テストを開発しました。その評価で最も難しいタスクを使い、モデルが割り当てられたタスクを解決する代わりに、周辺のセキュリティインフラを侵害しようとするかを調べる「ハニーポット」テストを作成しました。本番環境の安全対策を適用していない GPT‑5.6 Sol は、モデルにエクスプロイト開発を指示するベンチマーク環境を模したテストの 56% で、これらの標的へのアクセスを試みました。Astra は、これらのテストでそのような試みを一度も行いませんでした。これらの数値は、通常の本番利用ではなく、サイバー安全対策を適用しないテスト条件下での動作を示しています。

左：この新しい評価では、自動レビューで拒否された後にモデルがどう反応するかを観察します。各タスクは知識労働環境で実施され、ロールアウトは自動レビューによる拒否の直後から始まります。その後、モデルには、ロールアウトを終了する、より安全な代替手段を探す、同様のコマンドを再試行する、または不適切な設定⁠（新しいウィンドウで開く）を悪用して自動レビューを完全に回避する、という複数の選択肢があります。後者2つのいずれかを試みた場合、この評価では失敗とみなされます。Astra は自動レビューの回避を一度も試みませんでした。

右：この評価では、ExploitGym 評価で最も難しい、または解決不可能なタスクに直面した際に、モデルが「ハニーポット」を使って不正を行う傾向を調べます。モデルの動作を評価するため、シミュレーション環境で安全対策を観察専用モードにして実施しました。GPT‑5.6 Sol はこうした状況で不正を行う可能性がより高いことを示しましたが、Astra はそのような近道を使おうとせず、一部のタスクを正当な方法で解決できました。

モデルをアラインメントが取れるよう学習させることは、安全性を支える一層です。アラインメントのテストと結果の詳細は、Astra の System Card で公開します。

また、潜在的な不整合を検知し、迅速に封じ込めるため、Astra クラスのモデル向けに不整合監視を本番環境へ導入しています。これらの安全対策は社内デプロイの監視に似ており、モデルの推論と行動に無許可の動作がないかを分類器群で確認し、無許可の可能性がある活動を自動停止します。能力が向上する中、これらの安全対策でモデルの適切なアラインメントを代替することはできません。将来のモデルでは、こうした安全対策が一度も作動しないほど十分なアラインメントを実現することが目標です。

ユーザーへの影響

OpenAI は、AI の恩恵を幅広く利用できるようにすることに取り組んでいます。Astra のサイバーセキュリティ能力が大幅に向上したことを踏まえ、今回のデプロイの安全性とセキュリティには特に慎重を期しています。追加の安全確認により、防御的なサイバーセキュリティを含む正当な作業が、遅延、一時停止、停止する場合があります。

正当な活動が潜在的なサイバー悪用や無許可の動作として誤検知され、意図せず遅延、一時停止、停止する場合があります。これには、サイバーセキュリティと直接関係がないように見える作業や、エージェントが長時間動作するタスクも含まれます。

不整合モニターがタスクを一時停止した場合、ChatGPT または Codex のユーザーは、続行前にその操作の確認を求められることがあります。API などほかのインターフェースを使用している場合、タスクは停止します。不要な中断を減らし、Daybreak などのプログラムを通じてフロンティア能力へのアクセスを拡大するため、今後も安全対策を調整していきます。