サイバー能力「排除できない」——最上位しきい値の封じ込め

OpenAI, “Responding to the next frontier of critical cyber capabilities”（OpenAI公式発表、2026年8月7日付。Help Net Security と The Hacker News が同年8月10日に報道）。次期モデルAstraについて、自社のPreparedness Frameworkが定めるCriticalのサイバー能力しきい値に「現時点で到達することを排除できない」と述べ、同時にこれは予備的な評価であり、ベンチマークと評価を継続中だと述べた。「Astraを重大なサイバーセキュリティモデルとして分類していない」という表現は Help Net Security の要約であって、OpenAI 公式発表の文言ではない（発表本文に classify に相当する語は一度も現れない。2026-08-16 に Wayback 保存版2キャプチャで確認）。措置の節は配備の話から始まる——“Accordingly, we have scaled up robustness testing of our safeguards and security controls so that they are appropriate for a deployment of these capabilities. Internally, we have also taken the following steps so that further development of this model happens safely and securely:“。すなわち箇条書きの社内措置は “also” で受けられており、その前段は配備に備える措置である（Help Net Security もこれを “OpenAI has strengthened safeguards and security controls to support the deployment of models with these capabilities” と報じている）。社内措置として挙がるのは隔離環境・アクセス制限・重みの保護と暗号化・監視と検知の追加・サンドボックス実行・高リスク活動の審査と中断で、加えて政府機関および一部のAI安全組織と協働してこのモデルの能力を試験し、外部テスト協力先に推奨されるセキュリティ管理策を提供するとした。原文は “work with relevant government agencies and select AI safety organizations to test the capabilities for this model” であり、select は relevant と並列の形容詞（＝限られた・選りすぐりの）で、誰が選定するのかは書かれていない（「独立した」も「OpenAIが選ぶ」も、どちらも原典には無い補いである）。また発表は、Preparedness Framework のリンク先として本稿の ⁴ と同一の PDF（cdn.openai.com/pdf/18a02b5d-…/preparedness-framework-v2.pdf）を張り、Critical しきい値を本文中で復唱している（“Under our Preparedness Framework, a model reaches the Critical cybersecurity threshold if it can identify and develop functional zero-day exploits of all severity levels in many hardened real-world critical systems without human intervention, or can devise and execute end-to-end novel strategies for cyberattacks against hardened targets given only a high level desired goal.”）——判断の物差しが2025年4月版であることは、このリンクと復唱で確かめられる。過去のモデルの水準については “Previous models, including GPT-5.6-Sol, have been evaluated for frontier cyber capabilities and assessed at the High (rather than Critical) threshold.” と書いている。Help Net Security はこれを「配備前に、独立したAI安全組織に評価を要請する」と書いているが、independent も Before deploying も OpenAI 公式発表には無い（The Hacker News は公式発表どおり “select AI safety organizations” と書いている）。発表本文の日付欄は “OpenAI August 7, 2026 Security” であり、根拠と時点についてはこう書いている——“Our latest internal evaluations of Astra, one of our upcoming models, over the past few days indicate significant advancements in agentic coding and cybersecurity. These results, in addition to expert assessments, have led us to conclude last night that we cannot rule out critical cyber capabilities under our Preparedness Framework.”（“over the past few days” と “led us to conclude last night” はいずれも報道2件には現れない）。監視については “We have implemented universal monitoring for risky actions and misalignment across all agentic applications of Astra, including training and evaluation. Monitors evaluate the model’s Chain of Thought and trigger a security response to review and interrupt high risk activity.” と述べている。停止については “We are pausing internal activities involving Astra that do not yet meet these strengthened security control requirements.”（The Hacker News はこれを逐語で引き、見出しに Trigger Pause として据えた。Help Net Security の要約は internal と not yet を落とし完了形にしている）。OpenAI公式ページはブラウザ以外からの取得が403で拒否されるため、発表本文はInternet Archiveの保存版で確認した（2026年8月10日と11日の2キャプチャ。本文は一致）。報道2件——Help Net Security（2026年8月10日）および The Hacker News（2026年8月10日）——も併せて照合した。措置の適用日、効果を示す数値、担当者名はいずれも報じられていない。別の文脈として、The Hacker News は未解決の数学問題10問の求解に約2,000ドルを要したと報じている。https://openai.com/index/responding-next-frontier-critical-cyber-capabilities/（保存版: https://web.archive.org/web/20260810124834/https://openai.com/index/responding-next-frontier-critical-cyber-capabilities/） ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴ ↩¹⁵ ↩¹⁶ ↩¹⁷ ↩¹⁸ ↩¹⁹ ↩²⁰ ↩²¹ ↩²² ↩²³ ↩²⁴ ↩²⁵ ↩²⁶

Sam Coggins, Alexander K. Saeri, Katherine A. Daniell, Lorenn P. Ruster, Jessie Liu, Jenny L. Davis, “The 2025 OpenAI Preparedness Framework does not guarantee any AI risk mitigation practices: a proof-of-concept for affordance analyses of AI safety policies”（arXiv:2509.24394, 2025年9月29日投稿・2025年10月13日改訂）。2025年4月版の Preparedness Framework Version 2 を対象に分析する。枠組みが求める評価はAIリスクのごく一部にとどまり、どのリスクについても評価を要求（demand）してはいないこと、意図せず深刻な危害を可能にする「Medium」水準の能力を持つシステムの配備を促すこと、OpenAI の CEO がさらに危険な能力の配備を許されていることを指摘する。「深刻な危害」は OpenAI が Preparedness Framework で「数千人の死亡または重傷、あるいは数千億ドルの経済的損害」と定義するもので（同論文 Endnote [2]）、論文の abstract はこれを “which OpenAI defines as >1000 deaths or >$100B in damages” と要約している。アフォーダンス理論と MIT AI Risk Repository を組み合わせた proof-of-concept の手法による。分析対象は Astra をめぐる今回の判断より前のバージョンである。https://arxiv.org/abs/2509.24394 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹

Jacob Charnock, Alejandro Tlaie, Kyle O’Brien, Stephen Casper, Aidan Homewood, “Expanding External Access to Frontier AI Models for Dangerous Capability Evaluations”（arXiv:2601.11916, 2026年1月17日投稿）。外部評価者は限られたモデルアクセス・限られた情報・限られた時間しか与えられず、評価の厳密さが損なわれると指摘し、モデルとの相互作用の制限、文脈と技術的詳細の不足、評価日程の圧縮の三点を挙げる。論文がこの三点を挙げる同じ文には “despite an improvement in external access for recent evaluations involving chain-of-thought (CoT) access and longer evaluation time frames (METR, 2025b; OpenAI, 2025a)” という留保があり、そこで改善例として引かれる OpenAI, 2025a は参考文献一覧で “Gpt-5 system card”、すなわち OpenAI 自身のシステムカードである。AL1（ブラックボックスアクセスと最小限の情報）から AL3（ホワイトボックスアクセスと包括的な情報）までの3段階のアクセス水準を提案し、EU の汎用AI行動規範が言う「適切なアクセス」の段階を記述する共通の語彙を与え、評価者・企業・政策当局の意思疎通を明確にすることを狙う（論文に standardis / standardiz は現れず、自ら “three descriptive access levels”・“these standards may change over time” と書く）。現行慣行を実証した監査ではなく、提案・枠組み論文である。https://arxiv.org/abs/2601.11916 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰

OpenAI, “Preparedness Framework Version 2”（OpenAI公式、2025年4月15日）。フロンティアモデルの危険な能力を領域別・段階別に管理する社内枠組み。全カテゴリ共通の二段のしきい値を p.5 に置き、High を “capabilities that significantly increase existing risk vectors for severe harm”、Critical を “capabilities that present a meaningful risk of a qualitatively new threat vector for severe harm with no ready precedent” と定義する。Critical については “require safeguards even during the development of the covered system, irrespective of deployment plans” と明記する。サイバー領域固有のしきい値は p.6–7 の Cybersecurity 行にあり、High は “removes existing bottlenecks to scaling cyber operations including by automating end-to-end cyber operations against reasonably hardened targets OR by automating the discovery and exploitation of operationally relevant vulnerabilities”、Critical は “A tool-augmented model can identify and develop functional zero-day exploits of all severity levels in many hardened real-world critical systems without human intervention OR model can devise and execute end-to-end novel strategies for cyberattacks against hardened targets given only a high level desired goal”。同行の措置欄は “Until we have specified safeguards and security controls standards that would meet a Critical standard, halt further development” と定める。この停止条項とは別に §4.4（Increasing safeguards before internal use and further development）があり、“Models that have reached or are forecasted to reach Critical capability in a Tracked Category” について “Such models require additional safeguards (safety and security controls) during development, regardless of whether or when they are externally deployed” と定めている。告知ページ https://openai.com/index/updating-our-preparedness-framework/ は本稿執筆時点で403を返すため、本文の引用はいずれも枠組み本体のPDF（2026年8月15日取得、HTTP 200・170,399バイト）から取った。 https://cdn.openai.com/pdf/18a02b5d-6b67-4cec-ab64-68cdfbddebcd/preparedness-framework-v2.pdf ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹