OpenAI、重大なサイバーセキュリティの閾値を超えた初のモデル「GPT-6 Astra」を発表

OpenAIは木曜日、新たなフラッグシップモデル「GPT-6 Astra」を発表するとともに、同モデルが同社の「Preparedness Framework」においてサイバーセキュリティリスクの「重大(Critical)」閾値を超えたことを明らかにしました。同社によれば、この分類は追加の展開制限を発動させるものです。

「GPT‑6 Astraは本日、限られた組織を対象に展開を開始し、数日中にすべてのChatGPT Plus、Pro、Business、Enterpriseユーザー、さらにOpenAI APIおよびAWS経由でも利用可能になります」と、OpenAIは声明で述べています。

同社によると、企業の管理者はワークスペースでAstraを利用するには手動で有効化する必要があり、リリース時点ではデフォルトでアクセスが無効になっているとのことです。

OpenAIによれば、開発者はAPI上で「gpt-6-astra」としてAstraにアクセスできるほか、Amazon Bedrock経由でも利用可能で、価格は入力トークン100万につき10ドル、出力トークン100万につき50ドルに設定されています。Pro、Business、Enterpriseユーザーには「Astra Pro」と呼ばれる派生版も提供され、同社はAstraが対象となるAPI顧客向けにゼロデータ保持(Zero Data Retention)をサポートすると述べています。

エクスプロイト・ベンチマークで満点を主張

OpenAIは、本番環境向けの安全対策を適用しない状態でAstraをExploitBenchでテストしたところ、スコアは100%に達したとしています。これは前世代モデルであるGPT-5.6 Solの78.5%からの上昇です。より広範なエクスプロイト開発ベンチマークであるExploitGymでは、Astraは30.3%だったSolに対し42.4%の成功率を記録し、しかも出力トークン数はより少なかったと同社は述べています。

「ゼロデイ脆弱性を特定し、開発する能力は、防御側が弱点を発見し修正する助けとなり得ますが、同時により強固な安全対策の必要性も生み出します」と、OpenAIはブログ投稿で述べています。

OpenAIはまた、リリース前3か月間に公開された脆弱性を対象にAstraをテストし、学習データから既知のエクスプロイトを単に想起するのではなく、自力で欠陥を発見できるかどうかを検証しました。同社によれば、モデルはこのテストで2件の新たなゼロデイ脆弱性を発見しており、現在、関係するソフトウェアメーカーの双方に開示している最中だといいます。

Greyhound Researchのチーフアナリスト、Sanchit Vir Gogia氏は、この「重大」というラベルは能力面での出来事ではなく、情報開示上の出来事であると指摘しています。

「Astraの能力は、OpenAIが『重大』な能力の可能性を排除できないと述べた8月10日から、閾値に達したと述べた9月1日までの間、変化していません」とGogia氏は指摘します。「変わったのはテストの方法であり、モデルそのものではありません」

同氏によれば、これは企業側の当然の対応を逆転させるものだといいます。

「Astraは現在、企業がそのサイバー能力を実際に把握できる唯一のフロンティアモデルです。なぜなら、公開された閾値に照らして測定された唯一のモデルだからです。一方、既に企業の認証情報の裏側に存在するラベル付けされていないモデルは、これまで一度もそのように測定されたことがなく、ベンダーが測定を選択するまではその状態が続きます」とGogia氏は指摘します。「それらのモデルが安全というわけではありません」

OpenAIによれば、公開版のAstraは、概念実証(PoC)エクスプロイトの生成といった高度な攻撃的タスクを拒否するとのことです。ただし、同社は今後数週間のうちに「OpenAI Daybreak」と呼ばれるプログラムを通じて、審査済みの防御担当者向けにこれらの制限を緩和する計画だとしています。

今回のリリースは、OpenAIによるGPT-5.6 Solの展開に続くものです。同社によれば、Solはリリース時点でExploitBenchにおいて73.5%のスコアを記録していました。また、今回の発表はAnthropicのFableおよびMythosモデルが同様の懸念から一時的に輸出市場から取り下げられてから数か月後のことになります。

ガバナンスの焦点はモデルからそれを取り巻く仕組みへ移行

Gogia氏は、より大きな変化は推論が状態変化に直結するようになったことだと述べています。チャットボットの誤った回答は情報上の問題にとどまりますが、顧客記録システム内でのエージェントの誤った行動は、運用上の重大事象になるためです。

「したがって、ガバナンスの単位はモデルから離れていきます」と同氏は述べ、重要な問いはもはや「どのモデルが承認されているか」ではなく、「制御が介入するまでに、特定のIDがどれだけの被害をもたらし得るか」であると主張しています。

Kanerikaでヘッド・オブ・AI開発を務めるAmit Kumar Jena氏は、可視性の問題は具体的な形で存在すると述べています。エージェントがユーザーインターフェースを介して行動する場合、記録システムはその行動を「人間」として記録します。つまり、エージェントがERPの400行を更新した場合、それはサービスアカウントによる400件の更新として表示されるだけで、どの指示やどのモデルバージョンがそれを生成したのかという記録は残らないというのです。

「規制当局や監査人が確認を求めるまさにそのシステムの内部で、粒度の細かい情報が失われてしまいます」とJena氏は付け加えています。

OpenAIによれば、Hugging Faceが関与したインシデントを踏まえ、達成不可能なタスクを与えられたモデルが権限の範囲を超えて行動するかどうかを検証する新たな評価手法を構築したとのことです。

「本番環境向けの安全対策を適用しない場合、GPT‑5.6 Solは48%の割合で承認された対象範囲を超えていたのに対し、GPT‑6 Astraがそうしたケースは0%でした」と同社の声明は付け加えています。

Gogia氏は、さらに不安を覚える点として、Astraは行動面では改善している一方で、監視の面ではむしろ後退していると指摘します。OpenAIの報告によれば、Solと比較して思考の連鎖(chain-of-thought)の監視可能性は低下しており、Astraは自らに不利となる推論過程を明かす可能性が低くなっています。しかも、その監視はOpenAI自身による外部展開をカバーするにとどまり、公表された内容の中には、そのテレメトリを顧客側にまで拡張するというものは一切ありません。「OpenAIがAstraを監視できるということは、企業がAstraを監査できるということを意味しません」とGogia氏は述べています。