未知の穴を自分で見つけるAIが、初めて基準の一番上に来た。それでも僕が見ていたのは残りの8.5%のほうだった

OpenAI が9月1日に出した文章を読んで、しばらく画面を閉じられなかった。

自分たちの安全基準で、いちばん上の段に届いたモデルが出た、という話だ。
届いた分野が、よりによってサイバーセキュリティだった。

大きい会社の、大きい話に見える。
それでも、うちみたいな一人で回している小さいサイトのほうが、この話は効いてくると思った。

何があったのか

モデルの名前は Astra という。
OpenAI が持っている Preparedness Framework という枠組みの中で、サイバーセキュリティの「Critical」という段に初めて指定された。

Critical の条件は、公式ページにこう書いてある。
よく守られた実世界の重要システムの多くに対して、人が一手ずつ導かなくても、あらゆる深刻度の未知の脆弱性を見つけて動く攻撃コードにできること。
または、大まかな目的だけを与えられて、堅く守られた標的への攻撃を端から端まで自分で組み立てて実行できること。

どちらか一つを満たせば、その段に入る。
これまでのモデルは、前世代の GPT-5.6 Sol も含めて、一つ下の「High」だった。

評価の中身も出ている。
ExploitBench という、既知の脆弱性から攻撃コードを作れるかを測るベンチマークで100%。
答えが混ざっている可能性を考えて、最近公開された V8 の重大な脆弱性20件で内製の版を作り直したら、そちらでも前世代より高い成功率を、しかも少ない出力で出した。

その評価の途中で、モデルは未知の脆弱性を二件、自分で見つけて攻撃の連鎖に組み込んだ。
この二件は、いま開発元へ報告している最中だと書いてある。

人の手による評価のほうも読める。
堅くしたブラウザに対して、HTML ファイルを一つ開かせるところから、サンドボックスを抜けて土台のマシンでコマンドを実行するまでの連鎖を組み立てた。
堅くした OS では、複数の欠陥を見つけて、権限のない利用者から root までの昇格の道を作った。

守る側の話も同じページにある。
サイバー関連の脱獄を試すテストで、Astra は91.5%を拒否した。
GPT-5.6 Sol は59%だったので、そこは大きく上がっている。

公開の仕方は段階を踏む。
いちばん強いサイバー能力は、まず限られたテスターに、そのあと Daybreak Blue という枠組みを通して守り側の利用へ広げていく、と書かれている。

八月末に評価用の環境から抜け出したAIの話を前に書いたけれど、あれとこれは別の話だ。
公式ページに「Astra はあの件には関わっていない」とわざわざ書いてある。
同じ会社の話が続くので混ざりやすいけれど、そこは分けておきたい。

僕がひっかかったところ

いちばん引っかかったのは、91.5%という数字だった。

59%から91.5%へ上がったのだから、進歩としては大きい。
それは分かる。

ただ、この数字は裏から読むと別の顔になる。
百回試したら、八回か九回は通る。

守る側の九割と、攻める側の九割は、同じ重さではない。
守る側は毎回止めないといけない。
攻める側は、一回通ればそれでいい。

そして攻める側には、何回でも試せるという条件が最初から付いている。
拒否率を並べて安心する話ではなくて、「何回投げられるか」のほうを考える数字だと思った。

もう一つ引っかかったのが、公開の順番だ。

強いサイバー能力は、まず選ばれたテスターに渡って、そのあと守り側へ広がっていく。
慎重で、まっとうなやり方だと思う。

それでも、この発表自体が「そこまでできる段階に来た」という情報を世界に配ってしまっている。
能力そのものは配られなくても、その能力が存在するという事実は誰でも読める。
守る側が審査と順番待ちをしているあいだ、攻めようとしている側は待たない。

三つめ。
これは公式ページの終盤にあった一節で、正直かえって怖かった。

安全のための追加チェックが、正当な作業を遅らせたり、止めたりすることがある、と書いてある。
防御のためのセキュリティ作業も含めて、だ。
ChatGPT や Codex なら確認を求められ、API では止まる。

強い力を守り側にも渡そうとすると、その渡し口が細くなる。
細くなった側にいるのは、たぶん僕みたいな人間のほうだ。

で、僕はどうするか

ここまでを、自分のサイトの話に落とす。

僕が長いあいだ持っていた感覚に、「うちみたいな小さいサイトを、わざわざ狙う人はいない」というのがあった。
この感覚が成り立っていたのは、攻める側にも手間の上限があったからだ。
調べる時間、書く時間、試す時間。
それに見合う獲物でなければ、割に合わない。

未知の欠陥を自分で見つけて連鎖まで組める道具が出てくると、その上限が下がる。
割に合うかどうかの線が、下へ動く。

だから、やることを四つに決めた。

更新をためない。
自分で書いたコードより、載せている出来合いの部品のほうが先に狙われる。
穴が公表された部品は、公表された瞬間から全世界の共有物だ。
月に一度、更新を見る日を決めた。

管理画面を人目に出さない。二要素を入れる。
ログインした後の状態を丸ごと持ち出された事件を前に書いたけれど、入口を守るだけでは足りない。
それでも、入口が見えているサイトは総当たりの対象になる。
見えなくするだけで、投げられる回数が減る。

ログを見る頻度を上げる。
いままで、何かおかしいときにだけ見ていた。
いまは週に一度、何もなくても開く。
普段の形を知らないと、変わった日に気づけない。

使っていないものを消す。
これがいちばん効いた気がする。
もう誰も見ていない古いページ、テスト用に置いたままのファイル、いつか使うつもりで入れて放置した部品。
自分が把握していない場所は、守りようがない。

四つとも、AI が出てくる前から言われてきたことだ。
新しい対策は一つもない。

変わったのは、やらなかったときの結果が出てくるまでの時間だと思っている。
いままでは、放っておいても何年か何も起きなかった。
その猶予が、たぶん短くなる。

基準の一番上に届いたモデルの話を読んで、僕が実際にやったのは、放置していた古いページを数えて消しはじめたことだけだ。
ずいぶん地味な反応だけれど、いまの僕にできることの中では、これがいちばん効く。

出典

• OpenAI「Path to Astra: critical capabilities and frontier safeguards」（2026年9月1日）
• OpenAI「Responding to the next frontier of critical cyber capabilities」（2026年8月7日・Critical の定義と最初の判断）
• SecurityWeek「OpenAI's Astra Becomes First Model to Cross 'Critical' Cybersecurity Threshold」
• Axios「OpenAI to limit access to Astra's most powerful cyber capabilities」

※ 数値と引用は2026年9月5日時点で各ページを確認したものです。