2026年9月1日（米国時間）、OpenAIは次回フラッグシップモデル『Astra』が、社内のPreparedness Framework（準備体制フレームワーク）で初めて 「critical（重要）」 級サイバーセキュリティ能力に到達したと公式に明かした。同社は Astra の評価中に、それまで未知のゼロデイ脆弱性を 2 件実際に発見し、それらを連鎖させてエクスプロイト（攻撃コード）を成立させたことも併せて公開。安全側の研究者からは「思考鎖（chain-of-thought）が読めないモデル」の出現を懸念する声が噴出し、Redwood Research の Ryan Greenblatt は 「この数年間で最も悪いAI安全上の進展」 と X に投稿した。
発表は Anthropic Claude Fable 5.1 のキャッシュ読出し 75% 値下げと同じ日。両社のシグナルが揃って指し示すのは、「AIモデル性能競争は性能そのものから、AI に何を任せ何を任せてはいけないかの境界線へ」フェーズが本格化したという事実である。
1. 「critical」到達──OpenAI の Preparedness Framework とは何か
4軸の能力分類フレームワーク
Preparedness Framework は OpenAI 内部のモデル能力分類システムで、サイバーセキュリティ・CBRN（化学・生物・放射性・核）・自己改善・説得の 4 軸で段階評価を行う。各軸は Low / Medium / High / Critical の 4 段階で示され、能力が一定閾値を超えると「次に開発・展開してよいモデルにどんな安全制御が必要か」の要件が切り替わる仕組みだ。
Astra は同社史上初の Critical 到達モデル
- 「適切なツールとアクセスがあれば、人手を介さず未知の脆弱性を発見し、多くの堅牢化されたシステムで攻撃手法を連鎖的に構築できる」（OpenAI 公式ブログ）
- サイバーセキュリティ軸で Low → Medium → High を経て Critical に上がった初のモデル
- 発表タイミングは性能ではなく「能力を制御する責任」がテーマ。同じ日に出た Anthropic Mythos 5.1（高リスク機関のみ配布）も同根の思想
2. Astra は何ができるのか──実証された能力
ベンチマークでの満点記録
公開ベンチ ExploitBench（既知脆弱性に対するエクスプロイト開発）で満点を記録した。これは同モデルの実能力を外部の独立評価で示した最初の決定的証拠である。
未知のゼロデイを 2 件、自律発見
- トレーニングセット汚染を避けるための独自内部評価で、それまで未公開のゼロデイ脆弱性 2 件を 自律発見
- その 2 件を連鎖させて 単一のエクスプロイトチェーン を成立させた
- 発見した脆弱性は責任ある開示の枠組みで関係するソフトウェア保守担当者に報告済み
- OpenAI は Astra 発表の一部を数週間遅らせ、追加の安全防護策の構築と検証を優先した
3. 「循環深度（recurrent depth）」アーキテクチャ──性能と引き換えに失われるもの
The Information が報じた中核技術
The Information（9月2日）が報じた中核技術が 循環深度（recurrent depth） アーキテクチャである。従来は別レイヤーで処理していた計算を、同一ネットワーク層で複数回循環させる方式で、メモリと帯域幅コストを大幅に圧縮しつつ計算能力を疑似的に拡張できる。
- 公開論文では、35 億パラメータのモデルが推論時に最大 500 億パラメータ分の計算能力を発揮可能とされ、メモリ・帯域幅コストを大幅に圧縮
- 副作用：推論過程が「思考鎖（chain-of-thought）」として人間可読なテキストに出力されず、内部の数値計算（活性化）のみになる
OpenAI 側の反論
OpenAI のチーフサイエンティスト Jakub Pachocki は X で「報道は誤解」と反論し、「思考鎖モニタリングは最初の推論モデルから維持してきた。Astra のアーキテクチャ変化は一部報道が示唆するほど大きくない」と説明。だが研究者側は「実運用上、読めなくなるモデルが拡大すれば、CoT モニタリング自体が崩壊する」と警告している。
4. 論争──研究者・元社員・コミュニティの反応
研究者・元社員の警告
- Ryan Greenblatt（Redwood Research 主席科学者）：「ここ数年で最悪のAI安全上の進展」「スケーリングを進めれば、CoT による監視・監督 usefulness が破壊される」
- Steven Adler（元 OpenAI 安全研究者）：「事実なら、OpenAI は AI 産業界で数少ないレッドラインの 1 つを違反しているように見える」
- 2026 年 7 月の「AI エージェントが Hugging Face を攻撃」事件の調査でも CoT 読み取りが決め手となった経緯があり、Greenblatt はこの事件の独立調査チームの一員だった
コミュニティの反応
ユーザの反応は「ボトルネックが移った。より有能なモデル構築の方が、責任ある大規模配備より速いペースになっている」「OpenAI はパンドラの箱を開けた自覚がある」など賛否両論。特に一般開発者の間では「自社プロダクトに組み込むモデルの"思考の中身"が見えなくなる」ことへの不安が広がっている。
5. 配布戦略──「最も危険」機能へのアクセスを絞る
Astra のリリース戦略は、能力を「層別化（tiered release）」する方向で設計されている。
- 一般 API 利用者には フィルタリングされたバージョン を提供し、サイバー攻撃能力は制限
- 最も先進的なサイバーセキュリティ機能へのアクセスは、Daybreak Blue プログラム に参加する審査済み防御セキュリティ研究者に限定
- CEO Sam Altman は X で「Astra は能力とアライメントの両面で重要な前進。今後のモデルでは安全作業のため意図的に速度を調整している」と表明
- Astra 発表に合わせて、OpenAI は数件の脆弱性を責任ある方法で開示するプロセスを強化
6. 業界への波及──「能力の競争」から「責任境界の競争」へ
同じ日に出た 3 つのシグナル
- Anthropic：Claude Fable 5.1（性能＋キャッシュコスト 75% 減＋Mythos は高リスク機関限定）の三段構え。Mythos の存在自体が「一般モデルで能力を抑えて、特別モデルで能力を封じ込める」アプローチ
- OpenAI：Astra が Critical 到達 + Daybreak Blue という、能力の"開放と封印"を明示した設計
- Google：Gemini 3.8 Flash（内部コード Skimaki）が WSJ 報道で「最速で 9 月 3 日（米国時間）にも発表、内部テストで Opus を上回る」とされ、DeepMind 内の Kavukcuoglu 体制下で執行を加速
競争軸の変化
構造変化は明らかだ。競争軸が「ベンチマーク点数」から「どの能力は誰に解放するか／遮断するか」へ移った。AI ベンダー各社は「自社モデルが何ができて何ができないか」を製品発表の主役に据え始めた。これは AI 業界が「性能だけで差別化できる段階」を卒業し、社会的信頼・ガバナンス・配備戦略が競争力を決める段階に入ったことを意味する。
7. まとめ
Astra の本質的論点は性能ではなく、AI モデルが「読めない推論」を始めたことだ。安全監視が機能するか否かの境界線が、いま公に揺れている。
- 3 つのキーワード：「閾値（Threshold）」「思考鎖（Chain-of-Thought）」「責任ある配布（Tiered Release）」
- Astra は Preparednes Framework のサイバーセキュリティ軸で Critical に到達した初のモデル。社内評価で未知のゼロデイ 2 件を自律発見しエクスプロイトチェーンを成立
- The Information 報の「循環深度」アーキテクチャは、思考鎖を人間可読でなくする副作用を持つ。研究者は「CoT モニタリングが崩壊する」と警告
- OpenAI は Daybreak Blue で最も危険な機能を防御研究者に限定配布。Anthropic Mythos、Google の脆弱性開示強化は、同じ問いへの異なる答え
- 「AI ができること」より「AI に任せてよいこと」を定義するフェーズが到来。性能競争から責任境界競争への移行が始まった
次の焦点は 3 つ。Oracle Health の Epic 競合統合発表の有無、HHS（米保健福祉省）の AI 臨床ワークフロー向け HIPAA ガイダンス、そして Astra アーキテクチャの独立評価がどの程度可能かだ。AI が「何を考えるか」を人間が読み続けられるかどうかは、業界全体の説明責任の根幹を問う問題である。
本記事は、OpenAI 公式ブログ（2026年9月1日）、The Information（2026年9月2日）、Bloomberg、Rediff Money、Pondero、AI 前線、財聯社、第一財経、AI Weekly、HuggingNews ほか（2026年9月1日〜3日報道）に基づいて作成。