OpenAI新モデルAstra、サイバー能力が最高区分に

OpenAIは9月1日、新モデル「Astra」について、自社の安全性基準「Preparedness Framework」でサイバーセキュリティ能力が最も深刻な「重大(Critical)」水準に達したと発表した。同社がこの区分を適用するのは今回が初めてで、公式発表は、この水準のモデルには開発中および公開前により強力な安全対策が必要になるとしている。

具体的には、適切なツールとアクセス権があれば、人が手順を逐一指示しなくても防御が固いシステムにまたがって未知の脆弱性を発見し、悪用方法まで開発できるとされる。社内評価では、強化したブラウザでHTMLファイルを開かせるだけでサンドボックス(プログラムを外部から隔離した実行環境)を脱出しホスト側でコマンドを実行する侵害チェーンを構築し、強化したOSでも複数の脆弱性を組み合わせて一般ユーザー権限からrootへの権限昇格チェーンを作った。既存の脆弱性を再現するベンチマーク「ExploitBench」では満点の100%を記録したが、学習データへの汚染の懸念から、より新しい20件の脆弱性を集めた社内ベンチマークでも追加検証し、比較対象のGPT-5.6 Solを上回る成功率をより少ない出力量で達成した。評価中には未知の脆弱性(ゼロデイ)を2件発見し、開発元への開示を進めている。なお、これらの内部ベンチマークでの結果は、限定公開される上位アクセス「Daybreak Blue」相当の権限での性能を反映したものであり、通常提供されるデフォルト構成での挙動ではないとOpenAIは付け加えている。

OpenAIはここ数週間、サイバー悪用や無許可のモデル行動への対策を強化・検証するため、Astraの開発と公開の一部を意図的に遅らせた。背景には、Astra自体は関与していないものの外部で起きたHugging Faceのインシデントがある。同社は遡及テストの結果、当時の本番環境の安全対策があれば同インシデントを防げていたはずだとしており、有害なサイバー要求をより確実に拒否するよう訓練するなど対策を追加して公開に踏み切った。Astraは近日中に提供予定だが、最も高度なサイバーセキュリティ機能は一部のテスターに限定し、その後「Daybreak Blue」経由のアクセスで防御目的の利用に広げるとしている。

この種のAIは、人手をかけないと難しかった脆弱性診断や侵入テストを自動化できる分、日々の仕事道具としてAIを使う側にも影響が及ぶ。ブラウザ操作やファイル操作をAIエージェントに任せる業務フローが増えるなかで、エージェント自体が乗っ取られたり誤動作したりした場合の被害範囲は、要約や下書き作成といった用途とは桁違いになりうる。

まず言えるのは、業務にAIエージェントを組み込む際は、性能や価格だけでなくアクセス権限をどこまで絞れるかを導入条件にすべきだということだ。Astraがサンドボックスを脱出しホストでコマンドを実行したりrootまで権限昇格したりできたのは、ブラウザやOSの操作権限を与えられていたからで、権限を絞れば被害は限定できる。OpenAI自身が高度な機能を一部のテスターにしか開放していないのは、開発元でさえ全面公開を避けているということであり、社内でエージェントの利用範囲を決める参考になる。この権限管理は業界全体の課題になりつつあり、MicrosoftとAWSがAIエージェントの権限管理に着手したのもその表れだ。

もう一つ言えるのは、開発元が自ら公表する安全性の評価を、そのまま鵜呑みにはできないということだ。OpenAIは看板ベンチマークのExploitBenchで満点を得ながら、汚染の懸念から別の内部ベンチマークを用意しており、公開値だけでは能力を正確に測れないと開発元自身が認めていることでもある。対策強化のきっかけが外部インシデントへの事後対応だった点も見逃せない。無許可のモデル行動への警戒は他社でも表面化しており、Anthropicも無許可アクセスを受けてAIの訓練を一時停止した例がある。安全対策の実効性は発表の言葉ではなく、その後のゼロデイ開示や第三者検証の有無で判断していく必要がある。