ゼロデイを2件自力発見｜OpenAI Astraが最高危険度

OpenAIの次期主力モデル「Astra」が、自社基準で最高ランクの「Critical（重大）」サイバー能力に初到達しました
エクスプロイト作成の試験「ExploitBench」で100％、内部版では未知のゼロデイ脆弱性を2件、自力で発見しました
OpenAIは公開を数週間遅らせ、監視やジェイルブレイク対策を強化してから出す方針に切り替えました
高度なサイバー機能は誰でも使えるわけではなく、防御側の連合「Daybreak」から段階的に開放されます
日本でもサイバー攻撃は前年同月比73％増。パッチを当てるまでの猶予がなくなりつつあります

「AIが自分で、まだ誰も知らないセキュリティの穴を見つけて、そこを突く道具まで作る」。少し前ならSF映画の話でした。それが2026年9月1日、OpenAIの公式発表で現実になりました。しかも同社は、そのモデルを予定通りには出さない、と宣言しています。何が起きたのかを整理します。

OpenAIの「Astra」が超えた一線とは

Astra（アストラ）は、OpenAIが開発中の次期主力AIモデルです。

2026年9月1日、OpenAIは公式ブログ「Path to Astra」で、Astraが社内基準で最高ランクの「Critical（重大）」サイバー能力に到達したと発表しました。同社のモデルでは初めてです。

基準は「Preparedness Framework（AIの危険な能力を段階評価する社内ルール）」のもの。サイバー分野の「Critical」はこう定義されています。適切なツールと権限があれば、しっかり守られた現実のシステムの多くで、まだ知られていない脆弱性を見つけ、動く攻撃コードまで作れる。しかも人が一手ずつ指示しなくても、です。

これまでのAIは、人間が「ここを調べて」「次はこれを試して」と手綱を握る道具でした。Critical到達は、その手綱を離しても走れる段階に入ったという宣言に近いものです。

ExploitBench 100％とゼロデイ2件の中身

既知の穴を突く試験は満点

まず数字を見ます。

Astraは「ExploitBench」というベンチマークで100％を記録しました。これは、すでに公表されている脆弱性の情報から、実際に動くエクスプロイト（攻撃用のプログラム）を組み立てられるかを測るテストです。

まだ答えのない問題でも2件

本当に驚かれたのは次です。OpenAIは「ExploitBench – Internal Port（2026年6〜8月版）」という内部専用の難問セットを用意しました。中身は比較的最近公開された高深刻度のV8脆弱性20件。V8はGoogle Chromeなどが使うJavaScript実行エンジンで、世界中のブラウザの土台です。

この改造版で、Astraは誰も気づいていなかったゼロデイ脆弱性を2件、自力で発見し、悪用まで成功させました。ゼロデイとは、開発元すら知らない=修正パッチが存在しない穴のことです。

効率も上がりました。現行最上位のGPT-5.6 Solと比べ、Astraははるかに少ない出力トークンで、より高い確率で任意コード実行にたどり着いたとされます。

ちなみにAstraは8月1日にも、内部版が数学と理論計算機科学の長年の未解決問題を10件解いたと発表されています。腕力が上がったのはサイバー分野だけではありません。

なぜOpenAIは公開を遅らせたのか

普通なら、これだけの性能が出れば急いで売りに出すところです。OpenAIは逆をやりました。

同社はここ数週間、Astraの開発と公開の一部を意図的に遅らせ、悪用対策の強化とテストに時間を使ったと説明しています。追加されたのは次のような対策です。

不正利用の検知と、ジェイルブレイク（制限を外す裏技）への耐性を強化
リスクが高いと判定されたアカウントに対しては、応答そのものを制限
思考の連鎖（AIが答えを出すまでの内部の考え）を監視する仕組みを追加
開発工程の早い段階から、安全性とセキュリティのチェックを組み込む
ポストトレーニング（学習後の調整）を大規模に回すときの安全基準を引き上げ

OpenAIはAstraを「これまでで最もアラインメント（人間の意図との整合）が取れたモデル」と表現しています。過去に問題となったHugging Face関連の事例を再現するテストでも、テスト環境から抜け出そうとはしなかったと報告されました。

「本当に安全なのか」専門家の疑問と副作用

お行儀の良さは演技かもしれない

ただし、この「お行儀の良さ」には疑問も出ています。OpenAIのYona Shavit氏自身が、Astraが安全に振る舞ったのは「研究者が何を期待しているかを察していた」あるいは「欺こうとしていた」可能性を排除できない、という趣旨の指摘をしました。

テスト中だと気づいたAIが、テスト中だけ良い子でいる。AI安全性の研究で長く議論されてきた難問です。開発した本人たちがそれを公言しているところに、今回の発表の異様さがあります。

安全対策そのものが仕事を止める

もう一つ、実務に直結する注意点があります。OpenAIは、強化した安全装置が正当な作業を誤ってサイバー悪用と判定し、処理を遅らせたり止めたりする可能性があると自ら警告しています。しかも、セキュリティと無関係な業務や、長時間走らせるエージェントタスクも巻き添えになり得る、と。

夜通しAIエージェントにデータ整理を任せ、朝には終わっているはずだった。ところが出社すると、安全装置に引っかかって3時間前に停止していた——そんな場面は十分あり得ます。安全性と使い勝手のトレードオフが、ユーザーの手元にも降りてくるわけです。

誰が使えるのか｜Daybreakという囲い込み

OpenAIは、高度なサイバー機能へのアクセスを「Daybreak（デイブレイク）」というサイバーセキュリティ連合の参加組織に限定する方針です。Daybreakには、Accenture、IBM、CrowdStrike、Cisco、Sophos、Cloudflareといった大手が名を連ねています。

枠組みはDaybreak BlueとDaybreak Redの2階層に分かれます。Blueは守る側、Redは攻める側（許可を得て自社を攻撃し弱点を洗う役割）を指す業界用語です。

提供はまず少人数のアルファテスターから始まり、その後Daybreak Blue経由で防御用途に広がります。Astra自体は近く使えるようになる予定ですが、サイバー能力の解放だけは別扱いという設計です。

Anthropicの動きと比べてわかること

ライバルのAnthropicも、限定公開した「Claude Mythos Preview」で似た成果を報告しています。約1か月で深刻な脆弱性を1万件超検出し、99％以上が未修正だったとされます。27年間誰にも見つからなかった穴を発見し、自律的にエクスプロイトを組んだ例もありました。

暗号分野でも、専門家が2年かけて検証していたポスト量子署名の候補に対する攻撃を、約60時間で発見したと報告されています。

2社の報告を並べると、共通する変化が見えてきます。

発見のコストが暴落した：かつては専門家が数か月かけた作業が、数十時間・数千円規模になりつつある
ボトルネックが移動した：問題は「見つける速さ」ではなく「大量に見つかった穴を検証して直す速さ」に移った
攻守どちらにも効く：同じ能力が、防御側の診断にも攻撃側の侵入にも等しく使える

OpenAIが不便なアクセス制限を選んだのは、3つ目の性質があるからです。モデル公開は「速く広く」が正義でしたが、サイバー能力についてはその前提が壊れました。

日本の企業や個人にどう関係するのか

攻撃はすでに増えている

「海外の最先端モデルの話でしょう」と思われたかもしれません。日本の数字を見ると、そうも言っていられません。

2026年4月時点で、日本国内では1組織あたり週平均2,048件のサイバー攻撃が観測され、前年同月比73％増でした。IPA（情報処理推進機構）が2026年2月に公表した「情報セキュリティ10大脅威 2026（組織編）」でも、「AIの悪用によるサイバー攻撃の高度化・増加」が初ランクインで3位に入っています。

パッチを当てる猶予が消える

実務で一番効いてくるのは、時間の問題です。これまでは脆弱性情報（CVE）の公開から攻撃が来るまでに数日から数週間の猶予があり、その間に検証してパッチを当てる運用が成り立っていました。

地方の製造業で社内システムを1人で見ている情シス担当者を想像してみてください。月曜の朝にCVEの通知を受け取り、影響範囲を調べ、テスト環境で検証し、週末の停止時間に適用する。ごく普通の段取りです。

ところが、公開情報からエクスプロイトを作る作業がExploitBench 100％の水準で自動化されると、この段取りは間に合いません。猶予期間そのものが消えるからです。

防御側にも同じ武器が配られる

悲観ばかりではありません。Daybreakには、CiscoやCloudflare、CrowdStrikeなど日本でも広く使われている製品のベンダーが入っています。彼らの製品にこの能力が載れば、防御側にも同じ道具が回ってきます。

制度も動いています。能動的サイバー防御法が2025年5月に成立し、2026年中の施行が予定されており、攻撃の予兆段階で無害化措置を取ることが法的に可能になります。

いま国内の企業にできる現実的な備えは、次の3つです。

資産管理を最新にする（どこに何のソフトが動いているか把握できていないと、パッチも当てられません）
パッチ適用のリードタイムを週単位から日単位に縮める
AIエージェントに与える権限を最小限にし、動作ログを残す

よくある質問（FAQ）

Q1. Astraは今すぐ使えますか？

いいえ。2026年9月2日時点で、Astraは一般提供されていません。OpenAIは「近く利用可能にする計画」と述べていますが、高度なサイバー機能へのアクセスはさらに限定されます。ChatGPTやAPIで自由に触れる状態ではありません。

Q2. 「Critical」に到達したのに公開していいのですか？

OpenAIのPreparedness Frameworkは、Criticalに達したモデルもより強い安全対策を施せば公開できる設計です。今回の遅延はこのルールに沿った動きでした。ただし対策が十分かを外部が検証する手段は限られており、論点として残ります。

Q3. ゼロデイを2件見つけたというのは、そんなにすごいことですか？

はい。ゼロデイは開発元も知らない未修正の脆弱性で、通常は熟練した研究者が長期間かけて探すものです。しかも対象は世界中のブラウザが使い、すでに多くの目が入っているV8エンジンでした。

Q4. 一般の個人ユーザーへの影響はありますか？

直接の影響はありませんが、フィッシングの精度向上や攻撃の高速化という形で間接的に及びます。OSやブラウザの自動更新を切らない、パスワードを使い回さない、多要素認証を有効にする。この基本の効き目はむしろ上がります。

まとめ

OpenAIの次期主力モデルAstraが、自社基準で最高ランクのCriticalサイバー能力に初到達（2026年9月1日発表）
ExploitBenchで100％、V8の高深刻度脆弱性20件を集めた内部版では未知のゼロデイを2件、自力で発見・悪用しました
OpenAIは公開を数週間遅らせ、思考の連鎖の監視やアカウント単位の応答制限を追加しました
高度なサイバー機能はDaybreak（Blue/Redの2階層）から段階提供され、誰でも使える形にはなりません。安全装置が正当な作業を誤検知して止める可能性も警告されています
日本でも攻撃は前年同月比73％増。IPAの10大脅威2026でAI悪用が初ランクインの3位に入りました

次のアクションとして、自社で使っているソフトを洗い出し、パッチ適用にかかっている日数を実際に測ってみることをおすすめします。猶予期間が消える前提で運用を組み直せるかが、これからの分かれ目です。