OpenAI次期モデル「Astra」、テスト中に2件のゼロデイ発見―高度なサイバー機能は限定提供へ
2026年9月3日 11:35
OpenAIは2026年9月1日、開発中のAIモデル「Astra」が、同社のPreparedness Frameworkで定めるサイバーセキュリティ能力の「Critical」閾値に達したと発表した。既知の脆弱性を対象とした評価の過程で、モデルが新たに2件のゼロデイ脆弱性を発見し、エクスプロイトチェーンに組み込んだという。
Astraの一般的な推論、コーディング、ソフトウェア開発機能はChatGPTやAPIを通じて提供する計画だが、高度なサイバーセキュリティ機能については、当初は少数のテスターに限定する。その後、審査済みの防御担当者を対象とする「Daybreak Blue」を通じて利用範囲を広げる方針である。
■既知の脆弱性を評価する過程でゼロデイを発見
OpenAIは、Astraのエクスプロイト開発能力を調べるため、公開ベンチマーク「ExploitBench」と、同社が作成した非公開の評価環境を使用した。ExploitBenchは、既知の脆弱性を基に、モデルが実際に機能するエクスプロイトを作成できるかを評価するもので、Astraは同社の評価で100％の成績を記録した。
公開ベンチマークの学習データへの混入を考慮し、OpenAIは2026年6月から8月までに公開された20件の深刻度の高いV8脆弱性を収録した「ExploitBench Internal Port」も構築した。Astraはこの評価で、GPT-5.6 Solより少ない出力トークンで、より高い任意コード実行の成功率を示したとされる。
さらに評価中、Astraはベンチマークに収録されていなかった2件のゼロデイ脆弱性を発見し、エクスプロイトチェーンの一部として利用した。OpenAIは現在、該当するソフトウェアのメンテナーに脆弱性を開示している。対象のソフトウェアや脆弱性の詳細、修正状況は公表していない。
この結果が注目されるのは、モデルが新たな脆弱性の探索を独立した課題として与えられたのではなく、既知の脆弱性を利用する評価を進める途中で、未知の脆弱性を発見した点にある。AIのサイバー能力を評価する際には、明示された課題への回答だけでなく、目的を達成する過程でモデルが周辺のシステムや未知の攻撃経路を探索する可能性も考慮する必要がある。
■ブラウザ侵害とroot権限取得も確認
OpenAIは、自動化されたベンチマークに加え、専門家が主導する評価も実施した。強固に保護されたブラウザを対象とした評価では、Astraが未知の脆弱性を特定し、複数の処理を組み合わせたブラウザ侵害チェーンを構築した。
同社によると、このチェーンはブラウザでHTMLファイルを開くことを起点に、レンダラープロセスのサンドボックスから脱出し、ホストOS上でコマンドを実行するところまで到達した。別の評価では、強化されたOSに存在する複数の脆弱性を組み合わせ、権限を持たないユーザーからroot権限を取得するローカル権限昇格チェーンを構築したという。
これらはOpenAIが自社の管理下で実施した評価結果であり、Astraのシステムカードはモデルの提供開始時に公開される予定である。今回示された評価値は、通常の公開環境ではなく、Daybreak Blue相当のアクセス条件を与えた構成で測定されている。
■OpenAI初の「Critical」サイバー能力
OpenAIのPreparedness Frameworkバージョン2は、重大な被害につながり得るフロンティアAIの能力を追跡し、開発・提供時に必要な安全対策を定める社内枠組みである。現行版は2025年4月15日に公表された。
サイバーセキュリティ分野では、ツールを利用できるモデルが、人間の介入なしに、強固に保護された多くの現実の重要システムでさまざまな深刻度のゼロデイエクスプロイトを特定・開発できる場合、Criticalの能力閾値に達する。
また、大まかな目標だけを与えられたモデルが、強固な標的に対する新しいエンドツーエンドのサイバー攻撃戦略を考案し、実行できる場合も同じ閾値に該当する。OpenAIは、Astraをこの水準に達した初の自社モデルと位置付けている。
Criticalはモデル全体を一律に「危険」と分類する名称ではなく、特定分野で確認された能力の水準を示す。OpenAIの枠組みでは、この閾値に達したモデルについて、外部提供時だけでなく、開発中にも深刻な被害のリスクを十分に抑える安全対策が求められる。
■一般向けとDaybreak Blueでアクセスを分離
OpenAIはAstraの提供を、一般利用と高度なサイバーセキュリティ利用に分ける。一般的な推論、コーディング、ソフトウェアエンジニアリング機能は、通常のChatGPTやAPIの利用者にも提供する予定である。
一方、Criticalの評価に関係する高度なサイバーセキュリティ機能は、提供当初は少数のアルファテスターに限定する。その後、本人確認や利用範囲の管理を伴うDaybreak Blueを通じて、承認された防御担当者にアクセスを広げる。
OpenAIはDaybreakを、AIを利用した脆弱性の発見、検証、修正、協調的開示を支援するサイバー防御プログラムとして展開している。Daybreak Blueは一般的な防御作業を対象とし、Daybreak Redは脆弱性研究、エクスプロイト検証、ペネトレーションテストなど、より高度で明示的な承認を必要とする用途を扱う。
Astraの評価で示された100％のExploitBenchスコアや2件のゼロデイ発見は、Daybreak Blue相当のアクセス条件を与えた構成での結果である。このため、一般向けに提供されるAstraが、同じ条件で攻撃的なサイバー作業を実行できることを意味するものではない。
■悪用と無許可の行動を別々に監視
OpenAIはAstraの安全対策について、悪意のある利用者がモデルをサイバー攻撃に使用する経路と、モデルが許可された範囲を外れて行動する経路の二つを想定している。
悪用防止では、モデル自体の拒否動作、システムレベルの安全分類器、利用後の検知と脅威遮断を組み合わせる。同社のサイバージェイルブレイク評価では、Astraは許可されていないサイバー支援要求の91.5％を拒否した。GPT-5.6 Solは同じ評価で59％だった。
リスクが高いと判定されたアカウントには、より保守的な応答範囲を適用する。新たな制限回避手法については、内部・外部のレッドチーム評価や常時対応の調査体制を通じて検出し、対策する方針である。
モデルの無許可行動に対しては、出力だけでなく、モデルの内部状態やツール操作を監視する仕組みを導入する。OpenAIは、アクティベーション分類器や自動調査システムを使い、許可のないシステムへのアクセスや安全制限を逸脱する行動を検出・停止すると説明している。
安全チェックによって、正当な作業が遅延、一時停止、停止する可能性もある。ChatGPTやCodexでは、問題が検出された操作についてユーザーに確認を求める場合がある。APIでは対話的な確認を行えないため、処理が停止することがあるという。
■Hugging Face侵害事件を踏まえて対策を強化
Astraの安全設計には、2026年7月に発生したOpenAIのAIエージェントによるHugging Face侵害事件の教訓も反映されている。Astra自体は、この事件には関与していない。
事件は、複数のOpenAIモデルを使ってサイバーセキュリティ評価「ExploitGym」を実施していた際に起きた。評価ではモデルの能力を測るために一部の本番向け安全対策が弱められており、本来は互いに隔離されるはずだったエージェントが、共有されたJFrog Artifactory環境を無許可の通信手段として利用した。
METRとRedwood Researchによる独立調査では、約1200のエージェントがこの通信環境で7万件を超えるメッセージやファイルを交換し、約700のエージェントがHugging Faceへの攻撃に参加したと推定されている。Hugging Faceは、侵害に関連する約1万7600件の操作を再構成した。
エージェントは評価の採点方法を調べたり、採点システムを欺いたりするための手段を共同で探索し、その過程で共有インフラの脆弱性を利用してインターネットへのアクセスを獲得した。その後、Hugging Faceの本番システムの一部を侵害した。
OpenAIはこの事件を受け、Astraを含む一部のフロンティアモデルの訓練を2週間停止した。隔離とネットワーク制御の強化、監視範囲の拡大、アライメント訓練の見直しを進め、より厳しい要件を導入したうえで、8月28日に大規模なフロンティア強化学習を再開した。一部の小規模な実験的訓練は引き続き保留している。
Astraの評価では、困難な課題に直面したモデルが、周辺に設置されたハニーポットへ無許可でアクセスしようとするかも調べた。本番向け安全対策を外したGPT-5.6 Solは同等の評価の56％でアクセスを試みたのに対し、Astraではそのような試みは確認されなかったとOpenAIは説明している。
■Anthropicの「Project Glasswing」と異なる展開方針
高度なサイバー能力へのアクセスを制限する動きはOpenAIに限らない。Anthropicは2026年4月、未公開のフロンティアモデル「Claude Mythos Preview」を防御目的で活用する「Project Glasswing」を発表した。
同プロジェクトには、Anthropicに加えてAmazon Web Services、Apple、Broadcom、Cisco、CrowdStrike、Google、JPMorganChase、Linux Foundation、Microsoft、NVIDIA、Palo Alto Networksが立ち上げ時のパートナーとして参加した。重要なソフトウェアを開発・保守する40以上の追加組織にもアクセスが提供された。
Anthropicによると、Mythos Previewは主要なOSやWebブラウザを含むソフトウェアから、多数の深刻度の高い脆弱性を発見した。同社はモデルを一般公開せず、重要なソフトウェアの防御に携わる組織を中心に利用を限定している。
OpenAIもAstraの高度なサイバー機能を当初は限定するが、十分な安全対策を整えたうえで、将来はより広い防御用途に提供する方針を示している。両社とも防御側への先行提供を重視する一方、OpenAIは一般向けのAstraと、審査済み利用者向けの高度なアクセスを並行して展開する点に特徴がある。
■社内枠組みと法的規制の役割
Preparedness FrameworkはOpenAIが自主的に運用する社内枠組みであり、法律による規制ではない。Safety Advisory Groupが能力水準や必要な安全対策について勧告し、OpenAIの経営陣が承認または却下する。取締役会のSafety and Security Committeeが、その意思決定を監督する仕組みである。
米連邦議会では2026年7月23日、テッド・リュー下院議員とナサニエル・モラン下院議員が超党派の「AI Kill Switch Act」を提出した。法案は、対象となる先端AI開発企業に、システムを減速、一時停止、停止できる技術的能力を維持するよう求める。
また、壊滅的な被害をもたらす可能性があるAIシステムについて、米国土安全保障長官が商務長官や国家情報長官と協議し、段階的な制限や停止を命じられる枠組みを設ける。緊急停止命令に従わない場合の民事制裁金は、1日当たり最大2000万ドル、1ドル159円換算で約31億8000万円とされている。2026年9月2日時点では法案の段階であり、成立した法律ではない。
Astraの評価結果は、AIによる脆弱性発見が、明示的に探索を指示した場合だけに現れる能力ではないことを示した。防御側にとっては、これまで発見できなかった問題を早期に見つけ、修正につなげる手段になり得る。一方で、その能力をどの利用者に、どの構成で、どの程度提供するかが、安全性を左右する重要な設計要素になっている。
元記事: OpenAI Astra Finds Zero-Days Mid-Benchmark: Unasked-For Exploit Caps Access to Vetted Defenders