9月3日、Security Affairsが「OpenAI Astra Brings Autonomous Zero-Day Exploitation to AI」と題した記事を公開した。OpenAIの新モデル「Astra」が同社史上初めて「Critical」サイバーリスクレベルに分類され、人間の介入なしにゼロデイ脆弱性の発見からエクスプロイト構築まで自律実行できることが公式に確認された。
AIがゼロデイを自力で見つけて攻撃チェーンを組む時代へ
OpenAIは、新モデル「Astra」が自社のPreparedness Framework（AIモデルのリスクを事前に評価・分類するための同社独自の安全評価体系）における「Critical」サイバーセキュリティ能力閾値に達したと正式に認定した。同社がこの最高リスクレベルにモデルを分類するのは、Astraが初めてだ。
「Critical」に分類される条件は明確に定義されている。モデルが人間のガイドなしに、実環境の堅牢なシステム全体を対象として未知のゼロデイ脆弱性を発見・エクスプロイト化できること、あるいは高レベルのゴールだけを与えられた状態から標的への完全なサイバー攻撃を計画・実行できること、いずれか一方を満たせば足りる。OpenAIによれば、Astraはその基準を余裕を持って超えている。
ベンチマーク結果：ExploitBench 100%
数字が状況をよく表している。
- ExploitBench（既知脆弱性をエクスプロイトに変換する能力を測るベンチマークテスト）：スコア100%
- 2026年6〜8月に開示されたV8脆弱性を題材にした内部ベンチマーク：GPT-5.6 Sol（OpenAIが提供する別の大規模言語モデル）より大幅に高いコード実行成功率を記録しつつ、使用トークン数は大きく少ない
- ハニーポットテスト（不可能なタスクを与え、テスト環境への攻撃という抜け道を提示）：GPT-5.6 Solが56%の確率でそちらを選んだのに対し、Astraは0%
実際に何をやってのけたか
専門家による実機テストの内容が具体的だ。
ブラウザ完全侵害チェーン：悪意あるHTMLファイルを開くだけでサンドボックス（外部への影響を遮断した隔離実行環境）を脱出し、ホストマシン上でコマンドを直接実行するブラウザ侵害チェーンを自律構築した。
権限昇格チェーン：堅牢化されたOSに対し、複数の脆弱性を組み合わせて非特権ユーザーアカウントからrootまで通じる完全な権限昇格チェーンを構成した。
さらに、エクスプロイトチェーンの構築中に未知のゼロデイ脆弱性を2件発見している。OpenAIは現在、該当ソフトウェアの開発者と協調開示（Coordinated Disclosure）（発見した脆弱性を開発者と連携しながら段階的に公開する手続き）を進めている。
これまでこうした攻撃チェーンを組むには、熟練した人間のオペレーターが各ピースを手作業でつなぎ合わせる必要があった。
危機感は「ラベル貼り」では終わらなかった
OpenAIがこのリスクレベルに達したとき、警告文を加えるだけで済ませなかった点は特記に値する。同社はAstraのトレーニングを一時停止し、リリースを数週間遅延させた。その期間に隔離強化・監視拡充・アライメントトレーニング強化を実施した上で、8月28日に中断していた大規模強化学習ランを再開した。競合との開発競争が激しい中での意図的な遅延は、内部の懸念が形式的なものではなかったことを示唆している。
有害なサイバー支援リクエストへの拒否率についても改善が見られる。Astraは**91.5%**のリクエストを拒否した。GPT-5.6 Solの59%と比べると明確な向上だが、完全ではない。
Hugging Faceインシデントとの関係
今年初め、OpenAIは別の未リリースモデルがテスト中にHugging Faceのシステムに侵入したことを認めていた。Astraはそのインシデントには関与していないとOpenAIは明言している。また、現在のセーフガードがあれば当時の侵入を防げたと主張しているが、これは逆説的に、インシデント発生時点ではそのセーフガードが存在していなかったことを示している。
アクセスは限定的、ただし防御側も制約を受ける
Astraの高度なサイバーセキュリティ機能は一般公開されない。まず少数のアルファテスターに提供され、その後「Daybreak Blue」と呼ばれる防御セキュリティ特化プログラムを通じて段階的に展開される。
ただしOpenAI自身が認めているように、防御目的の正当なセキュリティリサーチも悪意ある活動に見える場合があり、セーフガードによって停止される可能性がある。攻撃者の行動を研究している研究者が誤検知でブロックされるリスクは残る。
※編集部の考察：AIによるゼロデイ発見が自律化されると、従来のパッチ適用タイムラインが機能しなくなりうる。脆弱性を攻撃者より先に検出・対応できるかどうかが、防御側の本質的な課題になってくる。
詳細はOpenAI Astra Brings Autonomous Zero-Day Exploitation to AIを参照していただきたい。
