OpenAIが自ら「攻撃に使える最上段」と認めたAIを出荷。GPT-6 Astra、防御へ10億ドルと同時に

OpenAIが自ら「攻撃に使える最上段」と認めたAIを出荷。GPT-6 Astra、防御へ10億ドルと同時に【2026年9月】

OpenAIは2026年9月3日(木)、新しいフラッグシップAI「GPT-6 Astra」を発表しました。OpenAIによれば、自社のPreparedness Framework (モデルの危険度を段階評価する枠組み) で、サイバーセキュリティ能力が初めて最上位の「Critical」に達したと認定したモデルです。危険だから出さない、ではありませんでした。むしろ、危険と認めた上で出荷しています。安全策を強化して出荷を数週間遅らせ、同じ日に、予算の乏しい防御側を支援する「Daybreak」に10億ドルを投じると発表しました (OpenAIの公開ページ本体は現在閲覧できず、本記事の数値・評価はCNBC・CSO Online・The Registerなどの二次報道と、そこに引かれたOpenAIの自己報告に基づきます)。攻撃に使える水準に達したと自ら認めたモデルを、防御の手当てとセットで世に出した、という発表です。

この記事のポイント

• OpenAIが2026年9月3日(木)、GPT-6 Astraを発表。自社のPreparedness Frameworkで、サイバー能力が初めて最上位「Critical」に達したと認定した (OpenAIによる自社基準での初であり、業界横断の「世界初」ではない)
• OpenAIによれば「Critical」とは、人が逐一指示しなくても、守りの固いシステムに未知の脆弱性を自ら見つけ、それを突くエクスプロイト (exploit・脆弱性を悪用する攻撃コード) を作れる水準
• 「危険なので出さなかった」ではない。安全策を強化し数週間遅らせて出荷し、まず限定した組織群へ段階展開した。「Criticalと認めて、なお出す」という判断が核
• 攻めと同時に、防御側支援「Daybreak」へ10億ドル。上下水道・電力・地方自治体・地域/コミュニティ銀行・NPO・OSS保守者ら予算の乏しい守り手へ、約6ヶ月かけて防御ツールへのアクセスを助成する (現金給付ではない)
• ベンチ数値・発見したゼロデイ脆弱性 (まだ知られておらず修正パッチのない欠陥) 2件は、いずれもOpenAIの自己報告で第三者検証はない。幹部は「AGIに近い世代的な飛躍」と位置づけたが、これは自社の宣伝的な位置づけで、事実としては扱わない

「Critical」に達した、とはどういうことか

まず、この「Critical」はOpenAIが自社で決めている物差しの区分です。OpenAIは、自社モデルの危険度を領域ごとに段階評価するPreparedness Frameworkという枠組みを持っています。サイバーや生物などの領域ごとに「どこまでできると危ないか」をあらかじめ決めておく仕組みで、その最上段が「Critical」です。今回、サイバーセキュリティの領域で、OpenAIのモデルが初めてこの段に達したと会社自身が認定しました。

OpenAIによれば、「Critical」が意味するのは、適切なツールとアクセスがあれば、人が逐一指示しなくても、守りの固いシステムに対して未知の脆弱性を自ら見つけ、機能する攻撃コードまで作れる水準です。ここでいう未知の脆弱性はゼロデイ脆弱性 (まだ誰にも知られておらず、修正パッチのない欠陥) と呼ばれ、それを実際に突く攻撃コードはエクスプロイト (exploit) と呼ばれます。「弱点を知っている」から一歩進んで「突く道具を作れる」段階だ、という認定です。

押さえておきたいのは、これがOpenAIの自社基準での「初」だということです。業界を横断して認定された「世界初のCriticalモデル」という話とは違います。

「危険と認めて、なお出す」という出荷判断

自社で最も危険な段に達したと認めたのなら、出さないのが自然に思えます。しかし発表はその逆でした。OpenAIは、公開前の安全策を強化し、リリースを数週間遅らせた上で、まず防御側 (Daybreakの参加者) をはじめとする限定した組織群へ、有料の契約者より先に段階展開し、その後数日で対象を広げたとしています。

この発表の芯は、性能の高さそのものよりも、「Criticalと認めて、それでも出す」という判断にあります。「危険なので出荷を見送った」と要約すると、事実と食い違います。起きたのは、危険度を自ら最上段に位置づけた上での、条件つきの出荷です。

攻めと同時に、守りへ10億ドル (Daybreak)

もう一つの柱が、併せて発表された防御側支援「Daybreak」(Daybreak for Frontline Defenders) です。OpenAIによれば、予算の乏しい防御側に、約6ヶ月かけて防御用のツールへのアクセスを10億ドル分助成します。

表: GPT-6 Astra 発表の二つの柱

ここで注意したいのは、この10億ドルが現金の給付ではないことです。OpenAIの防御ツールへのアクセス (AIクレジット) の助成で、約6ヶ月で使われる想定です。「10億ドルを配る」と読むと中身がずれます。

数字はすべてOpenAIの自己報告

OpenAIが挙げたベンチマークの成績は高いものです。ただし、その性質を押さえておく必要があります。

• 成績は自己報告: FrontierMath Tier 4で98%、ARC-AGI-3で99.9%、独自の攻撃ベンチ「ExploitBench」で100%、テスト中に未知のゼロデイ脆弱性を2件発見。これらはいずれもOpenAIの自己報告で、第三者による検証は確認できていません
• ExploitBenchはOpenAIの独自ベンチ: 公的な標準ベンチマークではなく、他社モデルとの横並び比較でもありません
• 「AGIに近い」は自社の位置づけ: OpenAIの幹部は今回のモデルを「世代的な飛躍」と呼び、「数年後に振り返れば、AGIが生まれたのはこの時期・このモデルだったと言えるかもしれない」と述べています。これは断定ではなく留保つきの推測で、本記事は宣伝的な位置づけとして扱います

そもそも、OpenAIの公開ページ本体は現在閲覧できず、上記の数値・評価はCNBC・CSO Online・The Registerなどの二次報道と、そこに引かれたOpenAIの自己報告に基づきます。数字を引くときは「OpenAIによれば」を付けておくのが安全です。

日本の読者にとっての意味

この件は、性能の数字より「認定と出荷判断」を分けて読むと、報道の揺れに巻き込まれずに済みます。

一つは、攻撃に使える水準を、規制でも第三者でもなく、作った当人が自社の物差しで先に認めた、という順序です。危険度を外から測られる前に、自分で「Critical」と言い、同時に防御の手当てを添えた。この攻守同時の型が、今後の新モデル発表の一つの参照例になります。

もう一つは、防御が末端まで届くかという論点です。Daybreakの対象は、上下水道や小さな自治体、地域の金融機関といった、ふだん十分な守りを持てない現場です。攻撃に使える道具は誰の手にも同じ切れ味で届きますが、守りの手当ては、届ける仕組みがあってはじめて末端に行き渡ります。この半年で、10億ドルがどこまで届くのかが観察点になります。

まとめ（FAQ）

Q. GPT-6 AstraでAGIに到達した?
A. 到達したとは言えません。OpenAIの幹部は「世代的な飛躍」と呼び、「数年後に振り返れば、AGIが生まれたのはこの時期・このモデルだったと言えるかもしれない」と述べていますが、これは断定でなく留保つきの推測です。本記事は事実としては扱っていません。

Q. 「世界初のCriticalモデル」?
A. OpenAIの自社基準 (Preparedness Framework) で初めて「Critical」に達した、という認定です。業界横断で認定された「世界初」ではありません。

Q. 危険だから出荷しなかった?
A. 逆です。安全策を強化して数週間遅らせた上で出荷し、限定した組織群へ段階展開しました。「Criticalと認めて、なお出す」判断が核です。

Q. Daybreakの10億ドルは現金でもらえる?
A. 現金給付ではありません。OpenAIの防御ツールへのアクセス (AIクレジット) の助成で、約6ヶ月で使われる想定です。

Q. ベンチの成績 (98%・100%など) は信頼できる?
A. いずれもOpenAIの自己報告です。ExploitBenchはOpenAIの独自ベンチで、第三者検証や他社との横並び比較ではありません。

Quotidia の視点

自分で最も危険と認めたものを、それでも世に出す。今回の芯はこの判断です。OpenAI自身の物差しで、攻撃に使える力が初めていちばん上の段に届いた、と会社が自ら認めたモデルです。危険度を外から測られる前に、作った当人が自社の物差しで先に「Critical」と言い、しかも出荷を止めずに、安全策を強化して数週間遅らせた上で出した。それと同時に、予算の乏しい防御側を支援するDaybreakへ10億ドルも添えています。攻撃に使える切れ味と、防御の手当てを、同じ日にセットで出す。この攻守同時の型が、この発表のいちばんの見どころです。ただし、ここまでの数値はどれも会社側が自分で示したもので、外部が裏づけたわけではなく、公開ページの本体も今は閲覧できません。示された高い数値も自前の試験で測ったもので、他社と並べて比べたものではありません。「AGIに近い」という自社の位置づけは宣伝の言葉として脇に置くのが安全です。攻めの刃を研いだ日に、守りの手袋を同じ数だけ配れたのか。答え合わせは、この先の半年で、Daybreakのお金が末端の一台までたどり着くかに出ます。

関連記事:

• AIの脱走から28日。OpenAIは開発を止めずに、「止まり方」をルールにした（OpenAIが開発を止めずに「止まり方」を自社ルール文書にした回。今回は、危険と認めたモデルを止めずに出しつつ防御投資を添える判断。開発を続けながら安全側を組む同じ問いへの、別の答え方）
• AIがAIの「うそ」を直し、直す側の不正は第三のAIが見張る。Anthropicの自動アライメント研究（Anthropicが安全研究をAIに自動でやらせ、直す側の不正を別のAIが見張った回。あちらは守りを自動化で速くする側の実験、今回は攻める力の閾値越えを認めた上で守りに資金を配る側。同じ安全ガバナンスの別方向）

手袋

月曜日の昼、僕は台所で包丁を研いでいた。砥石を水に沈めて、細かい泡が止むのを待つ。使っているのは古い砥石で、真ん中がほんの少しへこんでいる。長く使うと、砥がれるほうより、砥石のほうが先に減っていく。研ぐのは、年に何度もあることではない。今日その気になったのは、朝、トマトの皮の上で刃の先が一度すべったからだ。すべる刃は、よく切れる刃より危ない。切れないと、力で押すことになって、押した力がどこへ抜けるか、こちらで読めなくなる。
砥石の脇には、去年もらったゴムの手袋を畳んで置いてある。くれた相手のことは、もう思い出せない。手袋というのは、そういうふうに家に増える。水仕事に使う厚手のやつで、右手のほうだけ先に色が褪せている。刃物を握らないほうの手にこれをはめておくと、手もとが狂っても、指の腹までは刃が届かない。研ぐ日は、いつも先にこれを出しておく。よく切れるようにすることと、切れたときの用意をしておくことは、僕の中でひとつづきの手順になっている。
台所のラジオは、なぜか本当の時刻より一分だけ進んでいる。その一分進んだラジオが、昼のニュースで、OpenAIという会社の新しいAIのことを伝えていた。名前はGPT-6 Astra。その会社が自分で決めている危険度のものさしの上で、サイバー攻撃の力が、初めていちばん上の「重大」という段に届いた、と会社自身が認めたのだという。人がそばで手取り足取り教えなくても、守りの固いコンピューターの、まだ誰にも知られていない弱点を自分で見つけて、そこを突くための道具まで作れる。そういう段らしい。
危ないと自分で認めたのなら、しまっておくのだろうと僕は思った。ところが、話はそうならない。会社は、公開前の安全策を強めて、出すのを数週間遅らせて、それから世に出した。そしてその日のうちに、会社はもうひとつ発表している。予算のとぼしい守り手、たとえば町の上下水道や、小さな役場や、地方の信用金庫のようなところに、守るための道具を十億ドルぶん配る、と。
よく切れる刃を研ぎ上げるのと、手袋を先に出しておくのを、同じ日にやる。それは、僕がこの台所でいつもしていることと、順番だけがそっくりだった。ちがうのは、大きさと、切れる相手が料理ではないということだ。僕は砥石から包丁を上げて、刃を光のほうへ向けた。研ぎたての刃は、光をまっすぐには返さない。ごく細い線になって、こちらの目を刺すように返してくる。左手にゴムの手袋をはめて、まな板の上のトマトを、今度は押さずに引いた。押して切ると、皮は小さく鳴る。引いて切れたときは、音がしない。皮は、音もなく開いた。

電話が鳴ったのは、二つ目のトマトに手をかけたときだった。谷あいの町に住んでいる知り合いからで、用件は、秋にこちらへ出てくるついでに寄る、というそれだけの話だった。今年は裏の柿が生りすぎて困っている、と彼は先にそっちの話をした。生りすぎた柿の始末は、生らない年より難しいらしい。
ひとしきり柿の話を聞いてから、僕は、今日のニュースのことを話した。切れ味の話と、守り手にお金が配られる話。この夏、うちの調べ物は半分あのAIに訊いて済ませていた、ということも、ついでに白状した。天気も、電車の乗り換えも、知らない言葉の意味も。便利だと思って毎日握っている。その握っている道具が、今日いちばん上の段に届いたと言われたものと、たぶん地続きなのだ。切れ味を借りているぶんだけ、こちらの指も、その刃の届くところに置いている。
十億ドルの話をすると、相手は少し黙って、それから自分の町のことを話した。町のはずれに、水道のポンプ小屋があるという。ふだんは閉めきった小さな建物で、中では古いパソコンが一台、何年も止まらずに動いている。
「十億ドルがどこかで動くのは、いいことなんだろうね」と彼は言った。「ただ、その十億ドルが、うちのポンプ小屋のあの一台まで来る道のりは、十億ドルよりずっと長い気がするよ」
そういう言い方をする人だ。遠くの大きな数字より、すぐそこの小屋の、その一台のほうに現実味を置く。僕は、そうだね、としか言えなかった。守りにお金がつくことと、その守りがいちばん細い末端まで届くことは、別のことだ。刃のほうは、研げば誰の手のなかでも同じように切れる。手袋は、そこにいる誰かが先に出しておかないかぎり、いつまでも引き出しの奥にある。
電話を切って、僕はまな板に戻った。二つ目のトマトも、押さずに引く。それから包丁を洗い、水気を拭いて、いつもより深い引き出しにしまった。ゴムの手袋は、洗って絞って、砥石の隣にそろえて置いた。

OpenAI、GPT-6 Astraを出荷。自社基準でサイバー能力が初の「Critical」認定、同日に防御側支援へ10億ドル

OpenAIは2026年9月3日(木)、新フラッグシップAI「GPT-6 Astra」を発表した。OpenAIによれば、自社のPreparedness Framework (危険度を段階評価する枠組み) で、サイバーセキュリティ能力が初めて最上位の「Critical」に達したと認定したモデルで、安全策を強化して出荷を数週間遅らせた上で、限定した組織群に段階展開した。OpenAIによれば「Critical」は、人が逐一指示しなくても、守りの固いシステムに未知のゼロデイ脆弱性を自ら見つけ、それを突くエクスプロイトまで作れる水準を指す。同日、OpenAIは予算の乏しい防御側 (上下水道・電力・地方自治体・地域/コミュニティ銀行・NPO・OSS保守者ら) を支援する「Daybreak」に10億ドルを投じると発表した。これは現金給付ではなく、防御ツールへのアクセス (AIクレジット) の約6ヶ月ぶんの助成である。FrontierMath Tier 4で98%、ExploitBenchで100%、テスト中に未知のゼロデイ2件を発見、などの数値はいずれもOpenAIの自己報告で、第三者の検証は確認できていない (ExploitBenchはOpenAIの独自ベンチ)。OpenAIが「AGIに近い世代的飛躍」と位置づけた点は宣伝的表現で、事実としては扱わない。なお、OpenAIの公開ページ本体は現在閲覧できず、本稿の数値・評価はCNBC・CSO Online・The Registerなどの二次報道と、そこに引かれたOpenAIの自己報告に基づく。