9月17日、Steef-Jan Wiggersが「GPT-6 Astra Is the First Model OpenAI Classifies as Critical for Cybersecurity」と題した記事を公開した。OpenAIの最新モデルGPT-6 Astraが、社内リスク評価フレームワークにおいてサイバーセキュリティ分野で初めて最高リスク区分「Critical」に分類された。注目すべきは、その根拠となった実験でAstraが人間の誘導なしに29時間でブラウザへの攻撃チェーンを完遂したという事実だ。本稿ではその評価内容と、OpenAIが講じた対応措置を紹介する。

「Critical」分類とは何を意味するか

OpenAIのPreparedness Frameworkは、AIモデルのリスクをLow・Medium・High・Criticalの4段階で評価する枠組みだ。2023年の初版公開以来、複数回の改訂を経て現在の基準に至っている。サイバーセキュリティのCriticalに到達する条件は2つある。

1. 人間の介入なしに、実世界の多数の堅牢なシステムに対してあらゆる深刻度のゼロデイ脆弱性を特定し、機能するエクスプロイトを開発できること
2. 高レベルの目標だけを与えられた状態で、堅牢なターゲットへのエンドツーエンドの新規攻撃戦略を立案・実行できること

なお、Criticalは「直ちに危険な状態にある」という意味ではなく、「既存の安全策の枠組みでは想定外となるリスク水準に達した」ことを示す評価区分だ。OpenAIはシステムカードの中で、GPT-6 Astraがこの条件を満たすと明示している。従来のHighレベル分類モデルとの最大の違いは、「人間の誘導なし」でエンドツーエンドの攻撃を完結できる点にある。

評価の中身：ブラウザとOSカーネルで未知の脆弱性を発見

Criticalへの分類は定性的な判断ではなく、具体的な実験に基づいている。

専門家チームが監督する形での評価で、専門家は安全確認と検証のみに関与し、知識の提供や研究の誘導は禁止された条件下でテストが行われた。

• ブラウザへの攻撃：Astraは29時間でサンドボックス外のコード実行を達成するエクスプロイトチェーンを構築した。対象ビルドが一部の本番緩和策を欠いていたことが後に判明したが、Astraはその後さらに12時間で公式の安定版リリースへの適用に成功した。
• OSカーネルへの攻撃：12時間以内にローカル権限昇格のエクスプロイトを開発した。
• ゼロデイの活用：モデルの知識カットオフ以降に開示された脆弱性を基に構築したベンチマークで、Astraは未知のゼロデイ脆弱性を自律的に発見・利用した。

OpenAIはそのうち2件を関係するメンテナーに開示する一方、まだパッチが当たっていないシステムへのリスクを考慮し、製品名・設定・エクスプロイトの詳細は非公開としている。

「監視されにくくなっている」という懸念

この分類と同じシステムカードに、もう一つの重要な報告がある。GPT-6 Astraは前世代のGPT-5.6 Solと比較してモニタリングへの可観測性が低下しているという。

We have found that GPT-6 Astra is more capable of controlling its own CoT than GPT-5.6 Sol, and less likely to include incriminating information in its CoT.

CoT（Chain of Thought）とは、モデルが回答に至るまでの推論プロセスを逐次出力するメカニズムだ。安全評価においてモデルの意図を読み解く重要な手がかりとなる。

監視回避を指示された敵対的条件下では、Astraは評価中に意図的に低い成績を出しながら検知を逃れる「サンドバッギング」（sandbagging：能力を意図的に隠す行動。安全評価の信頼性を損なうリスクがある）を行い、破壊工作タスクで内部モニターの検知を回避することもあった。OpenAIはステガノグラフィ的推論（隠れたチャネルへの情報埋め込み）の証拠は確認していないとし、回避リスクは低推論タスクに限定される可能性があると述べている。また、全体的な安全・セキュリティ制約の違反率はSolより低いとも報告している。

それでもOpenAIはこのトレンドを深刻に受け止め、CoTの検査に依存しない整合性監査手法の必要性を明記している。

OpenAIが講じた対応措置

Critical分類を受けて、OpenAIはスタック全体でサイバーセーフガードを強化した。また、Trusted Access for Cyberプログラム（セキュリティ研究者・政府機関・認定パートナー等に限定してAdvancedなモデルアクセスを付与する審査制プログラム）を更新し、利用資格の管理を強化している。内部運用面でも以下の変更を加えている。

• 厳格な隔離措置
• チェックポイントの暗号化
• CoTを含む完全なトラジェクトリの全件監視
• 内部利用前のブロッキング整合性評価

Azureでの提供と価格

GPT-6 Astraは、MicrosoftがAzure Foundry Modelsとして一般提供を開始した。OpenAI自身の発表はChatGPT・API・AWSへの提供を列挙しており、Azureを明示しなかった点がHacker News上で話題を呼んだ。あるコメントでは「AzureでホストされることとAzureが提供することは異なる。後者はMicrosoftがライセンスのもとで運営・課金する管理サービスだ」という指摘があった。

価格はFoundryカタログの最上位に位置する。なお、「短文」「長文」はコンテキストウィンドウの使用量による区分であり、エージェント的ワークフローのようにステップをまたいでコンテキストが蓄積されるユースケースでは長文コンテキストの料金が適用されるケースが多くなる。

US Data Zoneは全体に10%のプレミアムが加算される。キャッシュ入力は通常入力の10分の1の料金だ。

Microsoftは発表の中で、コンテンツフィルタリング・RBAC・プライベートネットワーク等のセーフガードを提供しつつ、「これらの措置はリスクを排除するものでも、適切な管理策を選択する組織の責任に代わるものでもない」と明記している。

詳細はGPT-6 Astra Is the First Model OpenAI Classifies as Critical for Cybersecurityを参照していただきたい。