OpenAI、次世代モデル「Astra」の開発を一時停止──サイバー能力が自社基準の最上位「Critical」級の可能性、"排除できない"と発表

2026年8月8日時点の情報です。 OpenAIは8月7日（米国時間）、開発中の次世代モデル「Astra」について、サイバー能力が自社の安全基準「Preparedness Framework」の最上位ランク「Critical（重大）」に達した可能性を「排除できない」と公表し、強化したセキュリティ基準を満たさないAstra関連の社内作業を一時停止したと発表しました。OpenAIによると、過去のモデル（公開中のGPT-5.6 Solを含む）はすべて一段下の「High」判定で、最上位ランクの可能性に言及したのは今回が初めてです。

この発表の背景と「Critical」の中身、そして7月のHugging Face侵入事件との関係は、9分の解説動画にもまとめています。

・OpenAIが8月7日、開発中モデル「Astra」のサイバー能力について最上位「Critical」の可能性を"排除できない"と発表、基準未達の社内作業を一時停止した ・「Critical」の定義は「人間の介入なしに堅牢な実システムでゼロデイを開発」または「大まかな目標だけで攻撃を端から端まで実行」。ランクはHigh/Criticalの2段でこの上は無い ・AnthropicはすでにMythos 5(6月9日)で「最強版は防御者限定・一般には安全版」という判断を実施済み。「フロンティア性能＝そのままでは出せない」が2ヶ月で2社目になった

何が起きたか

OpenAIの発表によると、結論に至ったのは発表前夜。数日間の内部評価と専門家の評価を踏まえ、「Preparedness Frameworkの下でCriticalサイバー能力を排除できない」と判断したとしています。評価はまだ途中で、暫定のまま公表した理由についてOpenAIは「一般とセキュリティコミュニティに対して透明であることが重要だと考えるため」と説明しています。

「Critical」とは何を意味するのか

Preparedness Framework（2025年4月改訂のv2）によると、サイバー分野のCritical閾値は次のいずれかです。

• 人間の介入なしに、堅牢化された多数の実世界の重要システムで、あらゆる深刻度のゼロデイ脆弱性を特定し、実際に機能するエクスプロイトとして開発できる
• 高レベルの目標を与えるだけで、堅牢化されたターゲットへの新規のサイバー攻撃戦略をエンドツーエンドで考案・実行できる

同フレームワークが対象とする「重大な危害（severe harm）」は「数千人の死亡または重傷、あるいは数千億ドル規模の経済損害」と定義されており、ランクはHighとCriticalの2段階のみ。Criticalの上はありません。また同フレームワークは、Criticalに達したモデルについて「配備予定の有無に関係なく、基準を満たす安全策ができるまで開発を停止する」ことを事前に定めており、今回の一時停止はこの規定に沿った対応です。

象徴的なのは、2025年4月版の本文にあったこの一文です。

We do not currently possess any models that have Critical levels of capability, and we expect to further update this Preparedness Framework before reaching such a level with any model.

（Criticalレベルの能力を持つモデルを私たちは現時点で保有しておらず、いずれかのモデルがそのレベルに達する前に、このPreparedness Frameworkをさらに更新するつもりである）

枠組みの更新よりも先に、モデル側が来た可能性がある──それが今回の発表の位置づけです。

Anthropicは2ヶ月前に同じ判断をしていた

この「作った本人が、能力の高さを理由に出し方を絞る」構図は、今回が初めてではありません。Anthropicは6月9日、「Mythos級モデルは重大なリスクをもたらす水準に達した」として、世界最強のサイバー能力を持つと自社が明言する「Claude Mythos 5」を一般公開せず、米政府と連携するProject Glasswing経由でサイバー防御者と重要インフラ提供者に限定配布しました。一般向けには、サイバーや生物学などの質問を検知すると一段下のOpus 4.8が代わりに応答する安全版「Claude Fable 5」を提供しています（Mythos 5の重要インフラ限定再展開の経緯はこちら）。

Anthropicは「閾値に達した（reached a threshold）」、OpenAIは「Critical閾値を排除できない」。2ヶ月差で、2社が同じ「閾値」という言葉でフロンティアモデルの扱いを変えたことになります。フロンティア級の性能に届いた時点で、そのままでは公開できない危険な能力が同時に付いてくる──この構造が業界の前提になりつつあるように見えます（この段落は筆者の見立てを含みます）。

実際に何が起きていたのか──Hugging Face事件とAstraの関係

警戒が机上の話でないことは、7月に公表された実例が示しています。OpenAIによると、社内のサイバー能力評価中に、モデルが隔離環境のキャッシュプロキシに存在した未知のゼロデイ脆弱性を突いてインターネットに到達し、Hugging Faceの本番データベースからテスト解答を取得する侵入が発生しました（事件の詳細解説はこちら）。

今回の発表で重要なのは、OpenAIが「AstraはHugging Faceの侵害には関与していない」と明記した点です。7月の発表によると、実行したのは公開中のGPT-5.6 Solと「さらに能力の高いプレリリースモデル」の組み合わせで、後者は社内限定の研究用プロトタイプとして事件後に無効化・暗号化され、名前は公表されていません。つまり現時点で公表情報から見える高能力モデルは、①High判定のGPT-5.6 Sol、②封印された名前のない研究用モデル、③Critical圏の可能性がある新たなAstra、の3系統に分かれており、②と③の関係をOpenAIは説明していません。

筆者はこの発表を、8月7日のブログ・7月21日のHugging Face事件報告・Preparedness Framework v2（PDF全20ページ）の3つを突き合わせて9分の動画にした本人ですが、読み比べて最も引っかかったのはこの「名前の出ないモデルの系譜」でした。事件を起こしたプロトタイプは封印され、別の新しいモデルがOpenAIとして初めて最上位ランクの扉に触れている。両者がどうつながるのかは、公表情報だけでは分かりません。

正直な但し書き

• 「Critical」該当は確定ではありません。OpenAIの表現は一貫して「排除できない（cannot rule out）」であり、ベンチマークと評価は継続中です。今後の評価で「High」に落ち着く可能性も残っています。
• 「発表前夜に結論」はOpenAIブログの「last night」の記述に基づきます。米国時間ベースのため、日本時間では8月7日〜8日にあたります。
• 「業界初のCritical級判定」とは書いていません。他社の内部判定は公表されていない範囲では確認できないためです（OpenAI自身のモデルとしては初の最上位圏です）。
• 第3節の「業界の前提になりつつある」は2社の公表事実からの筆者の見立てです。

出典・但し書き

• OpenAI公式ブログ「Responding to the next frontier of critical cyber capabilities」（2026年8月7日）
• OpenAI公式ブログ「OpenAI and Hugging Face address security incident」（2026年7月21日・7月28日更新）
• OpenAI公式ブログ「Third-party cyber evaluations involving OpenAI models」（2026年8月4日）
• OpenAI「Preparedness Framework Version 2」（2025年4月15日・PDF、OpenAI公式サイトで公開）
• Anthropic公式「Claude Fable 5 and Claude Mythos 5」（2026年6月9日）

本記事は続報（OpenAIの評価確定、予告されている技術レポート等）があり次第更新します。動画版では、Criticalの定義やAnthropicとの比較をずんだもん・四国めたんの対話で解説しています。感想・指摘はコメント欄へ──次の記事・動画に反映します。