- OpenAIが2026年8月7日、次期主力モデル「Astra」の一部開発を自ら停止したと発表
- 理由は、社内評価で安全基準の最上位「Critical」級のサイバー能力に達した可能性を否定できなかったため
- Criticalとは「人の手を借りずにゼロデイ脆弱性を見つけて攻撃まで実行できる」水準を指す
- Astraは8月1日に、数十年解けなかった数学の未解決問題10件を解いたと公表されたばかりだった
- 日本でもIPAが「AIの利用をめぐるサイバーリスク」を2026年の10大脅威3位に挙げており、他人事ではない
AI企業が「うちのAIは強すぎるかもしれない」と言って、自分でブレーキを踏む。そんな日が本当に来ました。2026年8月7日、OpenAIが次期モデル「Astra」の一部開発を止めたと発表したのです。何がそこまで危険だったのか、私たちの仕事や会社にどう関わるのかを、順番にほどいていきます。
OpenAIが「Astra」の一部開発を止めた
2026年8月7日（現地時間）、OpenAIは公式ブログで異例の発表をしました。
開発中の次期主力モデル「Astra」について、安全要件を満たしていない社内作業を一時停止するという内容です。米メディアAxiosが先行して報じ、Bloombergなども後追いしました。日本では8月8日朝にITmediaが報じています。
OpenAIは公式Xでこう書いています。「Astraを評価した結果、私たちのPreparedness Frameworkにおいて、サイバーセキュリティ分野で初めての『critical』モデルとして扱うことにしました」。
ここで大事なのは、外部から止められたのではないという点です。政府の命令でも、事故が起きたからでもありません。社内テストの結果を見て、自分たちで手を止めました。
「Critical」とは何か——OpenAIの安全基準を読み解く
Preparedness Frameworkという物差し
OpenAIには「Preparedness Framework（準備フレームワーク）」という自主的な安全基準があります。日本語にすると「危ないAIを世に出さないための社内ルール」です。
初版は2023年12月に公開され、現行版は2025年4月に改定されました。サイバー攻撃、生物・化学兵器、AIの自己改善といった分野ごとに、モデルの危険度を段階で評価します。
Criticalは「人間抜きで攻撃が完結する」水準
今回問題になった「Critical」は、その最上位です。
OpenAIの定義はかなり具体的です。堅牢に守られた実システムに対して、人の指導なしでゼロデイ脆弱性（まだ誰も知らない、修正パッチのないセキュリティ上の穴）を独立して発見・悪用できること。あるいは、大まかな指示だけを与えられて、侵入から目的達成までの高度なサイバー攻撃を一気通貫でやりきれること。
つまり、攻撃者が高いスキルを持っている必要がなくなります。「あの会社のシステムに入って」と伝えるだけで、あとはAIが調べて、穴を見つけて、突く。そこまで想定した基準です。
ひとつ前の主力モデル「GPT-5.6 Sol」は、同じ評価軸で「High」止まりでした。1段階の差ですが、意味はまったく違います。Highは「人間の攻撃者を大幅に手助けする」段階、Criticalは「人間がいらなくなる」段階だからです。
なぜ今なのか——Astraが見せた異常な能力
実はこの発表の6日前、OpenAIはAstraについて別のニュースを出しています。
2026年8月1日、社内版のAstraが数学と理論計算機科学の未解決問題を10件解いたと公表したのです。証明支援システム「Lean 4」で形式化した証明が、openai/ten-proofsというリポジトリで公開されました。
顔ぶれが強烈です。1999年の提唱以来ほとんど進展がなかった「非ソフィック群」の明示的な構成、「Connesの剛性予想」への反例、そして「Erdős問題」3件。いずれも10年、長いものでは80年近く動かなかった壁でした。
興味深いのはコストです。OpenAIによると、この10件を見つけるのに要したトークンは、SolのAPI料金に換算しておよそ2,000ドル（約30万円）相当だったといいます。
Astraは「数時間から数日以上にわたって、複雑な計算と論理の組み立てを自律的に続ける」長時間タスクに特化して設計されました。
この「粘り強く考え続ける力」は、数学の難問にもサイバー攻撃にも同じように効いてしまいます。脆弱性探しは、本質的に地道な総当たり作業だからです。人間の研究者が数週間かけて追う筋道を、AIが夜通し走り続ける。数学で成果が出た同じ理由で、サイバー分野の評価が跳ね上がったと考えると腑に落ちます。
OpenAIが実際に打った4つの手
「一部停止」と聞くと曖昧ですが、発表された中身はかなり具体的です。
1. 社内作業の一時停止
セキュリティ要件を満たしていない社内の作業を止めました。研究者が思いつきでAstraを触る、ということができなくなったわけです。
2. 開発環境の隔離
Astraの開発は、隔離されたテスト環境に移されました。ネットワークアクセスは制限され、実行はサンドボックス（外部に影響を及ぼせない砂場のような領域）の中だけ。モデルの重み（AIの中身にあたるデータ）の暗号化も強化されています。中身が漏れれば、その時点で誰にでも使えてしまうからです。
3. すべてのエージェント用途を監視
Astraをエージェント（人の代わりに手を動かすAI）として使うあらゆる場面に、汎用的な監視が入りました。訓練中や評価中の思考プロセスまで追跡するといいます。
4. 危険な挙動を検知したら自動で止める
リスクのある活動を検知すると、セキュリティレビューが自動的に発動する仕組みも実装されました。人が気づくのを待たない設計です。
加えてOpenAIは、政府機関や独立系のAI安全研究機関と組んで外部テストを行う方針を示しました。報道によると、米政府は最大30日間のプレビュー期間を要請したとされています。なお2025年には生物学的リスクの分野で同様の対応が取られており、今回はそれをサイバー分野で初めて適用したケースになります。
他社はどうしている？Anthropic・Google DeepMindとの比較
3社の安全ルールの違い
Anthropicの「Responsible Scaling Policy」は、ASL-1からASL-4という一本の段階で危険度を表します。生物学のバイオセーフティレベルを参考にした設計で、安全対策が整う前に次のレベルに達したら開発や配備を止めると定めています。
Google DeepMindの「Frontier Safety Framework」は、リスク分野ごとに別々のしきい値（CCL）を置く方式です。2026年4月17日のv3.0では、早期警戒の層と、人の信念を組織的に操作する能力を扱う新しいCCLが加わりました。
OpenAIは分野別に4段階を置き、その最上位がCritical。今回はサイバー分野で初めての適用でした。
すでに現実になっている「AIの脆弱性発見」
無視できないのが、Anthropicの実例です。2026年4月、同社の「Claude Mythos Preview」がMozilla Firefoxのコードから271件のゼロデイ脆弱性を発見しました。内訳は重大度highが180件、moderateが80件、lowが11件。Firefox 150で修正され、同ブラウザ史上最大の単一修正バッチとなりました。
この一件が示したのは、同じ能力が防御にも攻撃にも使えるという単純な事実です。Mozillaにとっては史上最大の防御強化でしたが、同じモデルが悪意ある手に渡っていれば、話はまるで逆になっていました。OpenAIがAstraを隔離した理由も、突き詰めればここにあります。
日本市場への影響——中小企業ほど他人事ではない
「アメリカの最先端AIの話でしょう」と思われたかもしれません。ですが、影響は静かに近づいています。
IPA（情報処理推進機構）が2026年1月に発表した「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が3位に入りました。ランキングに定着したということは、もう例外的な脅威ではないという意味です。
ここで、従業員30人ほどの地方の製造業を想像してみてください。情シス担当は総務部長との兼任でひとり。ある朝、取引先そっくりの文面で請求書の変更依頼が届きます。日本語は完璧で、過去のやり取りの文脈まで踏まえている。従来なら不自然な翻訳調で見抜けたものが、見抜けなくなっています。
問題は、こうした攻撃のコストが下がっていることです。手間がかかるから狙われなかった規模の会社が、狙う価値のある標的に変わりました。AI生成のフィッシングも、自動化された脆弱性スキャンも、相手の規模を選びません。
一方で、日本企業の備えは追いついていないと指摘されています。AI-SIEM/SOAR（AIで異常検知と対応の自動化を行う仕組み）の導入率は、日経平均採用企業でおよそ35%。米国の約55%、欧州の約45%と比べて差があると言われています。大企業でこの数字なら、中小企業の実情は推して知るべしでしょう。
もっとも、明るい材料もあります。防御側もAIを使えるからです。Mozillaの事例が示したように、公開前に自社のコードをAIに点検させれば、攻撃者より先に穴を塞げます。まずは自社のシステムのどこが外に開いているかを棚卸しする。地味ですが、そこが出発点です。
よくある質問（FAQ）
Q1. Astraは結局、公開されないのですか？
いいえ、中止ではありません。止まったのは「安全要件を満たしていない社内作業」で、開発そのものは隔離環境で続いています。外部テストを経て段階的に公開範囲を広げる方針ですが、時期は明示されていません。
Q2. 「Critical」と確定したわけではないのですか？
確定ではありません。OpenAIの表現は「Critical級の能力を否定できない」です。断定できないからこそ、安全側に倒して先に対策を打ったという判断になります。疑わしきは止める、という順序が今回のポイントです。
Q3. 今使っているChatGPTは危険なのでしょうか？
今回の話は未公開モデルのAstraに限った内容です。現行のGPT-5.6 Solはサイバー分野で「High」評価にとどまっており、通常利用が危険になったわけではありません。日々の使い方を変える必要はありません。
Q4. AIが攻撃に使われるのを、法律で止められないのですか？
現状、フロンティアAIの能力評価と停止判断は、各社の自主的なルールに委ねられている部分が大きいのが実情です。今回OpenAIが政府機関と連携する姿勢を示したことは、自主規制から公的な検証へ一歩踏み出す動きとして注目されています。
Q5. 中小企業がまず何をすればよいですか？
特別な投資の前に、基本の徹底が効きます。OSとソフトウェアを最新に保つ、多要素認証を全社で有効にする、送金や口座変更は必ず電話など別経路で確認する。この3つだけでも、AI生成フィッシングの被害はかなり防げます。
まとめ
- 2026年8月7日、OpenAIが次期モデル「Astra」の一部開発を自主的に停止した
- 理由は、安全基準の最上位「Critical」級のサイバー能力を否定できなかったため。サイバー分野では初の適用
- Criticalとは、人の手を借りずにゼロデイ脆弱性を発見し、攻撃を完遂できる水準を指す
- Astraは直前の8月1日に、数十年動かなかった数学の未解決問題10件を解いたと発表されていた
- 対策は「社内作業の停止」「環境の隔離」「全エージェント用途の監視」「危険挙動の自動遮断」の4本立て
- Anthropicの事例が示すように、同じ能力は防御にも攻撃にも使える両刃の剣である
- 日本ではIPAが同種のリスクを10大脅威3位に挙げており、規模を問わず備えが必要
まずは自社の多要素認証の設定を今日見直してみてください。最先端AIの動向を追う前に、足元の一手が最も確実な防御になります。
参考文献
- OpenAI「Responding to the next frontier of critical cyber capabilities」
- Axios「Exclusive: OpenAI slows release of Astra model citing cyber capabilities」
- ITmedia NEWS「OpenAI、次期モデル『Astra』の一部開発を停止」
- ITmedia NEWS「OpenAI、次期主力モデル『Astra』の存在を明らかに――未解決の数学問題10件を『解決』と発表」
- Help Net Security「Claude Mythos finds 271 Firefox flaws」
- IPA「AIセキュリティ短信」
こんな時代だから遊んで学びたい
AIを学ぶオンラインサロン「AIフレンズ」では、生成AIを楽しく、どこよりも優しく学べる環境をご用意しております。
毎週開催されるオンラインセッションでは、リアルタイムで学び合える機会を提供しています。 さらに、月に一度のオフラインイベントでは、メンバー同士が直接交流し、アイデアや知識を深めることができます。
「AIフレンズ」の仲間とともに、新しい価値を創造し、可能性を広げてみませんか？
一緒に学び、成長しながら、生成AIを使いこなす力を身につけましょう！
