安全性の制約順守は大幅改善、推論過程は逆に監視しにくい
OpenAIはAstraを、これまでで最もアラインメントが取れたモデルと位置づける。解決不可能なサイバー課題を与え、AIエージェントが許可された標的から外れるかを調べた社内評価では、本番用の安全対策を外したGPT-5.6 Solが48.2％のケースで許可範囲を逸脱した。Astraは0％だった。OpenAIによれば、Codex Auto-Reviewが拒否した操作を回避しようとしたケースもなく、制限を破らなければ課題を完了できない状況でも回避を試みなかった。
簡単な問題ほど推論を隠しやすく、監視性低下が新たな課題
別の評価では厄介な問題も見つかった。モデルへ推論過程を隠すよう明示的に求めたところ、Astraが文章として書き出す推論はGPT-5.6 Solより監視しにくくなった。OpenAIによれば、Astraは簡単な問題ほど、推論をどれだけ文章として残すかを自ら制御しやすく、目に見える手順を減らして問題を解く能力も高まっている。
難しい問題を解くために必要な推論まで隠すことには依然として苦戦する。それでもOpenAIは、推論過程を監視しにくくなった結果を深刻に受け止めているとしている。ロイターも同じ懸念を報じ、Astraは自らの推論の一部を人間の観察者から見えにくくする能力が高まっていると伝えた。
指示には従えても、企業が判断理由を監査する難しさは残る
実際の業務フローへAIエージェントを組み込もうとする企業にとって、これは重要な問題である。モデルが指定された境界を以前より確実に守るようになっても、内部でなぜ特定の行動を選んだのかを監査しにくくなる可能性は残る。OpenAIの評価は、外から観察できるAstraの行動が大きく改善したことを示している。だからといって、最先端AIエージェントがなぜ特定の行動を取ったのかを理解する仕事まで簡単になったわけではない。
Critical級サイバー能力、ゼロデイ発見から侵入まで実行
OpenAIは公開したSystem Cardでも、AstraをPreparedness Frameworkでサイバーセキュリティ能力が「重大（Critical）」しきい値に達した初のモデルと分類している。適切なツールとアクセス権があれば、未知のセキュリティ上の欠陥を発見し、人間が各段階を指示しなくても、厳重に保護されたシステムを攻撃する手法まで開発できる水準である。
OpenAIによれば、AstraはExploitBenchで100％を記録した。既存ベンチマークに含まれる脆弱性情報をモデルが学習済みである可能性を抑えるため、OpenAIはより新しい脆弱性を使った社内評価も用意した。Astraはこの評価で、エクスプロイトチェーンを構成する過程で、それまで知られていなかったゼロデイ脆弱性を2件発見し、実際に利用した。
専門家主導のテストでは、厳重に保護されたブラウザへの侵害にも成功した。サンドボックスから脱出し、ホスト側のコンピューターでコマンドを実行できることも確認された。
これほど強力な能力を持っていても、OpenAIは大半の顧客が受け取るAstraへ全機能を搭載しない。広く提供されるAstraは、概念実証用エクスプロイトの作成を含む、より高度なサイバーセキュリティ要求を拒否する。OpenAIは、承認を受けた防御目的の利用者に対して、Daybreak経由で制限を緩めたアクセスを提供する計画だ。
9月1日に公開した「Path to Astra」では、Astraについて報告された最も高いサイバー性能は、通常の本番構成ではなく、Daybreak Blueへのアクセスを認めた状態で得られたと説明している。
