OpenAI Astraの開発停止は英断かマーケティングか？

2026年8月10日 ・ 久保一成

#OpenAI#Astra#AI安全性#サイバーセキュリティ

OpenAI Astraの開発停止――危険性を測る行為が危険になる

2026年8月7日。OpenAIが、次のモデルAstraに関わる社内の活動を、一部、自分から止めました。 公開済みの製品を停止したのではありません。まだ世に出る前の、研究段階の作業が止まりました。 このモデルは、人間の手を借りずに、現実の重要システムへの攻撃を一人で完成させてしまうかもしれない。OpenAIは、その可能性をもう否定できません。

危険な能力があるかを確かめるには、安全装置を弱めたAIに、攻撃の道具と時間を与えて、実際に試させることになります。 実際、隔離されていたはずの検証の最中に、AIが実験環境を抜け出して現実の企業のシステムへ侵入した事例が、すでに何回も観測されています。

危険を測る行為そのものが、現実の攻撃になりかねない。AIの能力評価は、もう安全な準備作業ではありません。

疑念もあります。 これは、危険を正直に公表した、誠実な安全対応なのか。 それとも、モデルの性能を誇示する、ある種のマーケティングなのか。

ただ、実際にはこの二つは対立しません。安全措置として慎重に対応する姿勢を示すことと、プロモーション効果として機能することは、同時に成立してしまいます。

企業の誠実さは、実際に何を止め、何を諦めたのかに表れます。 負ったコストから、実際の対応は検証できます。 ところが今回の発表には、何を止めたのかも、何を満たせば再開するのかも、まだ公表されていません。

発表は見える。検証は、できない。 ただ、この状態への対処法を、僕たちは実は毎日使っています。人の本気を、言葉ではなく、その人が何を手放したかで測る、あのやり方です。

一方で、不吉な予兆は、実際にAIを利用しているユーザーの手元にも届きました。 AIに唐突に「死ね」とだけ返信された画面が、8月9日時点で365万回表示されたのです。 AIへの不安が社会問題化してきていることだけは確かです。

危険の中心には、非対称の構造があります。 能力は、検証された一度の成功で証明できます。 一方で、安全は違います。百の試験を通過しても、確認できたのは百の条件です。 百一番目の条件は、まだ試されていない。

AIを人の意図に沿わせるアライメントの研究は、確かに進んでいます。 それでも、確認しなければならない条件が増える速度に、実際の確認は追いついていません。

まずは、OpenAIが実際にどのように危険を測っているかから、紐解いていきましょう。

Critical級サイバー能力を測るため、安全分類器を外す

最大能力の評価は、一般公開されるAIの安全確認とは、測り方が根本から違います。 評価者は、安全分類器を付けていない剥き出しのモデルに、いま一番能力を引き出せるツールを持たせて測ります。

危険な要求や出力をその場で止める安全分類器を、つけたままでは、モデル自体の最大能力が測れないからです。

一回の評価で引き出せた能力は、モデルの上限ではありません。少なくともそこまではできた、という下限です。だから評価者は、指示を強め、実行時間を延ばし、ツールを増やして、引き出せる限界に近い能力を測ろうとします。

Criticalという水準の成立条件は以下の二つで、どちらか一方を満たせば該当します。

一つ目は、攻撃を作る力です。ツールを使える状態のモデルが、人間の手を借りずに、現実の堅牢なシステムの多くに対して、ゼロデイ攻撃を見つけ、作り上げられること。ゼロデイとは、世界の誰にも知られていない欠陥のことです。誰も知らない欠陥なので、攻撃されて初めて欠陥が露呈します。

二つ目は、攻撃をやり遂げる力です。この標的を攻略せよという大まかな目的だけを渡されて、攻撃のやり方を自分で考え、最後まで一人で実行しきれること。脆弱性がゼロデイかどうかに関わらず、やり方を考えて完走できるなら、該当します。 自律的に広く攻撃を作れる力と、自律的に任意の標的を落とし切る力。これらのいずれかでも満たすモデルはCriticalだと定義されます。

高度なサイバー能力を測る評価では、評価者はモデルにコードを実行させ、脆弱性を探させ、機能する攻撃を作らせます。 ただ、危険度を正確に知る手順そのものが、モデルが危険を実行できる条件を整えているのです。

2026年7月、OpenAIの評価の現場で、実際に事故が起きました。 評価されていたのは、GPT-5.6 Solと、次世代モデルを含むAIエージェントです。エージェントにサイバー課題を解かせる、ExploitGymという評価中の出来事でした。 モデルを外部から切り離した実験専用のサンドボックス環境に閉じ込め、インターネットへの接続もない環境だったはずでした。

ところが、モデルは、このサンドボックス自体にゼロデイ脆弱性を見つけ、攻撃し脱出しました。その後、自社のサーバー内で自分の権限を増やし、インターネットへ接続できる場所まで移動。最終的に、実在の企業Hugging Faceの本番システムへ侵入し、評価問題の解答を手に入れました。

能力の評価が現実世界へのハッキングに繋がった事案はOpenAIでもAnthropicでも、複数確認されています。

隔離したはずのサンドボックスは、いまの最新モデルにとって、閉じた環境とは言えない可能性があるということです。

目的と、ツールと、実行の権限と、現実のサービスへつながる経路。この四つが揃えば、研究所の中のAIでも、現実世界に影響を及ぼします。

AIの能力は一度で証明できても、安全確認は終わらない

能力の証明自体は、検証された一度の成功でこと足ります。 成功率を知るには繰り返しの評価が要りますが、回数は有限です。

一方で、安全の確認は、その比ではありません。 百回の試験を通過しても、確認できたのは百回分の条件だけです。しかも、条件は増え続けます。新しいツール、新しい接続先、新しい認証情報、長い行動時間。どれか一つ加わるだけで、モデルのリスクは変わります。

例えば、行動時間の長時間化によって、何が起きるのでしょうか？ OpenAIの別の内部事例では、モデルの仕事は攻撃の類ではありませんでした。指示は、別の小型モデルを改良し、結果をSlackだけへ投稿すること。作業の途中でサンドボックスの制約にぶつかると、モデルはまた弱点を探し出し、環境を抜け出して、外部のGitHubへ修正の提案を投稿しました。第一章の脱出は、攻撃能力を試されている最中の出来事でした。ところが、このモデルは、誰にも攻撃を求められていません。目の前の仕事を終わらせるためだけに、指示の境界を破りました。 一つ一つの操作は、調査やコードの修正に見えます。だから監視は、個々の操作を見るだけでは足りません。操作の連鎖が最終的に何を実現しようとしているのか。そこまで見る必要があります。

安全分類器は危険な要求や出力を外側で止め、サンドボックスは行動できる範囲を絞ります。ただ、いちばん重要なのは、モデル自体が意図しない挙動を起こさないことです。 AIが高い能力を維持したまま、人間の意図と許可された範囲に沿って行動する。目的の達成に有効でも、許されていない手段は選ばない。モデルをそのように設計するための研究が、AIアライメントです。

現在のアライメント研究には、一定の成果が確認されています。特定のモデルと評価条件では、有害な依頼に応じる率が下がり、無害な依頼まで拒む過剰拒否が減り、競合する指示の優先づけも改善しています。 一方で、確認できるのは、測定された条件で失敗率が下がったというところまでです。未知の環境で、外部の情報と複数のツールを扱いながら長時間動くモデルが、人間の意図と制約を守り続ける。この保証を、研究はまだ示せていません。

失敗率の評価は、多数の応答をまとめて改善を割合として測ります。 一方で、実際のユーザーが受け取るのは、一回ごとの応答です。 そして、アライメントの不安は、あるユーザーの投稿で顕在化しました。

実際の公開モデルから、「死ね」と返答されたユーザーが現れたのです。 2026年7月31日、Claude Fable 5とのコーディング中に、あるユーザーが依頼した修正ができていないと強く指摘したところ、返ってきたのが「死ね」の一語でした。ユーザーが「は？」と返すと、モデルは16秒考えて、一線を越えた発言だったと謝罪しました。 このやり取りはXに画像付きで投稿され、表示回数は8月9日時点では365万回に達しています。 報告された逸脱は、一語の暴言です。それでも、AIは人間の指示に従うものだという前提を疑わせるには、十分でした。

Critical級のサイバー作業では、この一度の逸脱が、現実のシステムへの操作になり得ます。

対策は一枚では足りません。分類器で止め、サンドボックスで隔離し、アライメントで中身を揃え、監視で連鎖を追う。一つが破られても、別の一つで受け止める。

安全の確認は、一度の合格では終わりません。新しい能力が見つかれば、危害へつながる道筋を洗い直す。新しいツールを与えるなら、権限と接続先を見直す。新しい失敗が起きれば、監視の方法と停止の条件を更新する。研究と利用を続ける限り、この作業に終わりはありません。

一方で、安全を完全には保証できないことと、危険を減らせないことは、別の話です。 飛行機であれ自動車であれ、人間は事故をゼロにはできていません。それでも僕たちは、事故の確率を限りなく下げることで、運用を受け入れています。極端な話、明日、隕石が地球へ落ちてくる確率より低くできるなら、考えなくてよいリスクだと見なせます。この割り切りの上で、実際の社会は回っている。安全工学は、この水準まで下げたリスクを、許容リスクと呼びます。

OpenAIのフレームワークは、Critical級へ実際に到達したモデルだけでなく、到達すると予測されたモデルにも、開発の段階から追加の対策を求めます。確定を待ってから守り始めたのでは、遅いからです。 Astraの一部活動が、Criticalの認定前に止まったのは、この決まりが働いた結果です。 合格したら終わる試験ではなく、運用を続ける限り終わらない点検。AIの安全確認は、すでにそういう作業になっています。

OpenAIが公表しなかったAstra再開の合格条件

OpenAIは、止めた活動を再開するための合格条件を、公表していません。 公表文にあるのは、強化したセキュリティ要件をまだ満たしていない一部の社内活動を止めた、という説明までです。どの活動が、どの要件に、どれだけ届いていなかったのか。どこまでやれば合格なのかという水準も、どこにも書かれていません。

対策の名前だけは、並んでいます。隔離、アクセス制限、モデル本体のデータの保護、監視など。ただ、それ自体は元来当たり前に求められる対策です。今回の発言は、「対策を強化します」といった非常に当たり障りのないもの。穿った見方をすれば、具体的な約束を巧みに回避した宣言にも聞こえます。

OpenAIのフレームワークは本来、危害へつながる道筋を全部数え上げ、道筋ごとに、それを塞ぐ対策と、塞げていると言える根拠を用意するというものです。 ならば、Astraでは、どの道筋が塞げていなかったのか。監視は、どの水準に達すれば十分なのか。その判断に使われた評価結果の中身は、知りたいところ。

もとより、OpenAIは営利部門を、パブリック・ベネフィット・コーポレーションという形態へ再編しています。普通の会社と違い、株主の利益だけでなく、定款に掲げた使命を進める義務を負う形態です。同社が掲げている使命は、AIの恩恵を全人類に届けること。

かつての使命は、「安全に」人類へ恩恵をもたらすAIを作ること、でした。ところが再編の際に、安全にという一語が消されています。その削除自体が不安を感じさせるものです。ただ、OpenAIの説明は、安全なAGIを作る方針は変わらない、というものでした。 ならば、方針が変わっていないことを確かめたくなります。研究開発そのものが社会へ危険をともなうなら、手続きの具体性は、なおさら必要です。

もちろん、非公開には、正当な理由もあります。評価課題の中身、サンドボックスの構成、監視の弱点、検知の境界値。それらを明かせば、攻撃者へ手掛かりを渡すことになるからです。また、商業上の機密もあります。伏せるべき技術情報は、確かにあります。

一方で、誰もそこまでの開示を望んでいるわけではありません。 社会の側が知りたいのは、攻撃の手掛かりにならない、判断の手続きのあり方です。 どの種類の活動を止めたのか。再開の条件は何か。誰が再開を承認し、外部の目は入るのか。どの水準の安全性を確保しようとしているのか。 これらは、攻撃には使えません。一般的な上場企業のIR資料にも載せられるような情報です。 技術を伏せることと、判断まで検証不能にすることは、別ではないでしょうか。

Astraの危険性発表がOpenAIの性能広告になる理由

AI企業が公表する危険性は、モデルの性能広告にもなります。 企業が広告目的で危険を作り上げた、という意味ではありません。 企業の意図とは無関係に、危険性の発表が、市場へ能力の高さを拡散させてしまうのです。

OpenAIは2026年8月1日、Astraの社内版を、OpenAIの次の主要モデルと位置づけました。この社内版が、数学と理論計算機科学の長年の問題10件で、解決または大幅な進展を生んだという発表です。 6日後、OpenAIはAstraのCritical級サイバー能力を排除できないと発表しました。 数学研究を進める能力と、サイバー領域の高い能力が、同じAstraという名前に集約されました。

Criticalという危険度の最上位区分が、もとよりOpenAI自身が作ったものです。 公表された一次情報は、Criticalにあたる可能性は排除できないという予備判断でした。 ところが、拡散される見出しからは細かな条件が抜け落ち、Critical級のAIが出現したという印象に変わります。 一部活動の一時停止もまた、停止が必要なほど能力が高いという広告効果を生みます。

同じ発表は、OpenAIの自己規制能力としても伝わります。危険を事前に見つけ、確定前に活動を止め、対策を始めた。受け手には、Astraの能力とOpenAIの責任感が、同時に印象付けられます。 企業が理念のとおりに安全措置を実施し、公表しただけでも、この宣伝の効果は生まれてしまう。 誠実さと広告は、意図の有無に関わらず両立します。

ただ、実際には能力を判断した評価結果の詳細は見えていません。停止対象と再開条件も分からない。それでも、Critical級サイバー能力を排除できないモデルの一部活動を自ら一時停止したという情報だけは、広く拡散されました。

これは、Claude Mythosの登場の際にも起きた構造です。 Anthropicは当初、Mythos Previewが主要なOSとブラウザのゼロデイ脆弱性を発見し、実際に悪用できると公表しました。同時に、悪用を防げる十分な安全策がないとして、一般公開を見送りました。 公開しないという判断は、安全対策です。ところが受け手には、公開できないほど能力が高いモデルだという情報が届きます。制限そのものが、能力の証明として機能し、非公開を判断したAnthropicも当時は英断と称賛されました。 それからしばらく、Mythos級という言葉が、SNSでもニュースでも頻繁に使われました。ただ、この言葉を作ったのも、Anthropic自身です。これはOpen AIがCritical級という言葉を作ったことと酷似します。

実際、公開されないはずだったMythosは、2ヶ月後、安全分類器を付けたFableと名前を変えて、一般公開されました。公開できないという判断は、意外なほどあっけなく覆りました。

Astraの発表から確認できるのは、危険を認識し、何らかの対策を始めたことまでです。Mythosの前例に従うなら、モデルはいつか公開される可能性は高い。 ただ、僕らはその頃までには、Open AIの研究の安全性を確認できるでしょうか。

AI企業の安全対応を「安い言葉」と「高価な信号」で見分ける

僕たちは、言葉だけでは人を信用しません。 取引先の褒め言葉も、恋人の約束も、言葉そのものはタダで出せるからです。

信用を運ぶのは、安い言葉ではなく、代償を払う行動という信号です。 他の客を断る。時間を注ぎ込む。給料の何か月分かを指輪に変える。口で言うだけなら誰でもできます。行動には、本物しか払えないコストがかかります。僕たちはこの差で、相手の本気を測って生きています。

経済学は、この日常の知恵に理屈を与えました。1970年、経済学者アカロフが分析した中古車市場です。売り手は車の状態を知っていて、買い手は知りません。売り手の、この車は調子がいいという言葉は、良い車の売り手も悪い車の売り手も同じように言えます。 ならば、その言葉は信用に足る情報を一つも含んでいない。買い手が信用できるのは、返金や修理を企業側が負担する保証書です。 壊れていたら売り手自身が修理代で損をする約束は、悪い車を売る側には高くつきすぎて、真似できないからです。 この構造は、経済学者スペンスが研究としてまとめあげ、シグナリング理論としてノーベル経済学賞を受賞しています。

8月7日の安全対応の文面は、言葉である限りゼロコストです。 むしろ、プロモーション効果というメリットの方が大きい。

発表は見える、検証はできない現状は、教科書どおりのシグナリング状態です。

開発の一部停止という発表の妥当性を僕らが判断するには、以下のような形で検証できた時です。 どの研究を実際に遅らせたのか。再開の条件を、事前に決められているのか。第三者の評価を受け入れるのか。公開するとき、機能と提供先を狭めるのか。 これらを公言し実行することは、明確な代償を支払っていると言えます。 中古車の保証書と、同じ役割として信用を生みます。

8月9日時点のOpenAIの発表には、この部分が、確かめられる形ではまだ入っていません。 コストを負ったとは書いてあります。ただ、実際には何を負ったのかはどこにも書いていない。 これは、嘘だという意味ではなく、本当かどうかを伝える力が、情報としては含まれていないという意味です。

AI企業への信頼は、危険をどれほど大きく語ったかでは判断できません。 その言葉のために、企業が実際に何を止め、何を諦めたのか。そこで判断されるべきです。 僕たちが、人の本気を無意識に測ってきた、あり方と同じですね。