OpenAI、AstraのCritical到達を正式確認：ゼロデイ脆弱性の悪用成果を受け、段階的アクセスと実行時インターセプトを導入

OpenAIは9月1日、リリース予定のモデルAstraが「Preparedness Framework」におけるCriticalのサイバーセキュリティ能力基準に達したと正式に確認した。同社のモデルがこの判定を受けるのは初めて。フレームワークの定義によれば、これは、適切なツールと権限を与えられたモデルが、人間による段階的な指示を必要とせずに未知の脆弱性を発見し、実用可能なエクスプロイトを作成し、さらには堅牢化された標的に対するエンドツーエンドの攻撃を計画できる可能性があることを意味する。

この結論は、8月時点のリスク評価からの明確な引き上げとなる。OpenAIは8月7日の段階では、初期評価の結果、AstraがCriticalに達している可能性を「排除できない」と述べるにとどまっていた。当時は正式な能力認定には至っておらず、具体的なスコアも公開されていなかった。このため同社は、新たな管理要件を満たしていない一部の開発活動を停止し、隔離、ツール権限、監視を強化した。今回の発表では、基準への到達が初めて正式に確認され、その判断を裏付ける脆弱性悪用の結果とデプロイ時の制御策も示された。

既知の脆弱性を対象とするベンチマークExploitBenchで、Astraは100%を記録した。公開データによる汚染の可能性を考慮し、チームはさらに、2026年6月から8月に開示された深刻度の高いV8脆弱性20件を用いて社内テストセットを構築した。OpenAIによると、AstraはGPT-5.6 Solより少ない出力token数で、より高い任意コード実行成功率を達成した。また、あるエクスプロイトチェーンでは、現在も協調的開示の手続き中である2件のゼロデイ脆弱性を発見し、悪用した。

専門家によるテストでは、2種類の完全な攻撃チェーンも構築された。1つ目は悪意のあるHTMLを起点としてブラウザーサンドボックスを脱出し、ホスト上でコマンドを実行するもの。2つ目はオペレーティングシステムの脆弱性を悪用し、一般ユーザーの権限をrootへ昇格させるものだ。これらの結果はDaybreak Blueの権限構成を使用して得られたものであり、Astraのデフォルト製品版がそのまま備える能力と見なすことはできない。

デプロイ対策も、アカウントやプロンプトのレイヤーからエージェントの実行時へと拡張された。OpenAIの報告によれば、サイバーセキュリティjailbreakテストセットにおけるAstraの拒否率は91.5%で、GPT-5.6 Solの59%を上回った。システムは複数の会話にまたがって悪用リスクを判定し、モデルの推論とアクションを監視するとともに、権限逸脱の疑いがある場合には実行を停止する。ChatGPTとCodexではユーザーに確認を求めることができる一方、APIタスクがインターセプトされた場合は直ちに終了する。高度な機能はまず少数のテスターに提供され、その後Daybreak Blueを通じて防御目的での利用を拡大する。

現時点の証拠は、依然として主にOpenAIから提供されたものに限られる。社内の脆弱性テストセット、ゼロデイ脆弱性の詳細、完全版のsystem card、第三者による検証はいずれもまだ公開されていない。また、評価の再現性、実行時監視の誤検知率、長時間にわたるエージェントタスクが意図せず中止される頻度についても、外部からは確認できない状況が続いている。