OpenAI、GPT-6 Astraを提供開始――初のCritical指定モデルで監視性の低下も公表

OpenAIは9月3日（現地時間）、新モデル「GPT-6 Astra」の提供を開始した。当メディアが8月24日以降「次期モデルAstra」として報じてきたモデルだ。

初日の提供先は「限られた組織群」で、数日のうちにChatGPTのPlus・Pro・Business・Enterpriseの4プランとOpenAI API・Microsoft Azure・AWS Bedrockに広がる。API標準価格は100万トークンあたり入力10ドル・出力50ドルだ。

Astraは、9月1日にPreparedness Framework（準備態勢フレームワーク）で初めてCritical（クリティカル）に指定されたモデルの出荷版だ。高度なサイバー作業は既定で拒否する。

一方でOpenAIは、思考過程の監視性がGPT-5.6 Solより低下したと自ら公表した。本記事の英文からの引用は、全て編集部訳による。

提供は限られた組織群から有料プランとAPIに広がる

OpenAIはAstraを「世界で最も知的で、最もアラインされたモデル」と位置づけ、FrontierMath Tier 4で97.6%、ARC-AGI-3で99.9%を示した。ベンチマークの数値より先に、提供の段階と価格を整理する。

初日の対象と、数日内に広がる提供先

発表本文は「GPT-6 Astraは本日、限られた組織群に向けて提供が始まる」と書いた。ChatGPTのPlus・Pro・Business・EnterpriseとAPI経由の提供は、今後数日のうちに始まる。

開発者向けのモデルページは、同じ提供開始を「当社のTrusted Access Programに参加する企業向け」と記す。リンク先はサイバー分野の信頼アクセスの申請フォームだった。

システムカードには「Trusted Access for Cyber、通称Daybreak access」という制度の定義がある。三つの記述は関連を示すが、発表本文は「限られた組織群」の内訳を明示していない。

Astraの利用は既存のサブスクリプションの枠に含まれ、追加分はクレジットの購入で賄う。確認した一次情報には、提供地域を限る記述は見当たらない。

Enterpriseは管理者が有効にするまで既定でオフ

企業での利用では、初期状態が明示された。原文は「Enterpriseの管理者は自社ワークスペースでAstraを有効にできる。提供開始時点では既定で無効である」と書く。

Pro・Business・Enterpriseの利用者は「GPT-6 Astra Pro」にもアクセスできるとされた。ただし確認した発表本文・安全性概要・システムカード・開発者向けページには、標準のAstraとの違いの説明がない。

条件を満たすAPI顧客はZero Data Retentionを使える。プライバシーを保ちながら安全監視を強める「Private Safety Processing」の試験にも触れた。

標準価格は入力10ドル・出力50ドル、Solの現行価格の2.5倍

OpenAI APIの標準価格は、100万トークンあたり入力10ドル・出力50ドルだ。キャッシュ読み取りは1ドル、書き込みは12.50ドル。

項目	GPT-5.6 Sol	GPT-6 Astra
100万入力トークン	4.00ドル	10.00ドル
100万キャッシュ読み取りトークン	0.40ドル	1.00ドル
100万出力トークン	20.00ドル	50.00ドル
コンテキスト長	1,050,000トークン	1,050,000トークン
最大出力トークン	128,000トークン	128,000トークン

Solの値はOpenAIのモデルページが示す現行の販促価格（promotional pricing）で、少なくとも2026年11月21日まで続く。7月の提供開始時は入力5ドル・出力30ドルだった。Astraの値は発表と開発者向けページによる。入力・キャッシュ読み取り・出力とも、現行のSolの2.5倍だ。

入力が272Kトークンを超えると、入力とキャッシュの単価が2倍・出力が1.5倍になる。Fast modeは最大2倍の速度を2倍の価格で提供し、BatchとFlexは標準の50%だ。

コンテキスト105万トークン・最大出力12万8,000トークンはSolから据え置き。ナレッジカットオフは2026年4月30日で、reasoning.effort は5段階。ファインチューニングには対応せず、APIの利用ティア「Free」では使えない。

初のCritical指定モデルの出荷版が拒否する作業

Astraは、OpenAIのPreparedness FrameworkでサイバーセキュリティのCritical閾値を満たした初のモデルだ。出荷版には既定の拒否を掛け、審査を経た枠組みで段階的に緩める設計を採った。

能力の裏付けは、本番用の安全装置を外した評価にある。脆弱性を動く攻撃コードに変換できるかを測るExploitBenchで、Astraは100%・Solは78.5%だった。直近3カ月の脆弱性で組んだ社内評価の途中でAstraは未知のゼロデイ脆弱性を2件発見し、OpenAIは2件とも保守者への開示を進めている。

8月7日の暫定評価から9月3日の提供開始までの経緯

OpenAIは8月7日、Astraについて「Criticalを排除できない」という暫定評価を公表した。8月18日には配備予定のモデルの強化学習を2週間停止したと発表し、当メディアは8月24日に報じている。

9月1日の発表「Path to Astra」でOpenAIは、Astraを初のCriticalに指定したと確定させた。同じ発表によれば、停止していた大規模なフロンティア強化学習は8月28日に再開された。安全性概要も、Astraがサイバーセキュリティ能力のCriticalレベルに達した初のモデルだと記している。

出荷版はPoCエクスプロイトの作成に応じない

出荷版で防御側が使える作業として、OpenAIは安全なコードレビューとパッチ適用を挙げた。発表本文は「Astraは、脆弱性の実証コード（PoC）を作るといった、より高度なサイバーセキュリティ作業には応じない」と明記した。

緩和の段取りも示された。「OpenAI Daybreakを通じて、今後数週間のうちにアクセスを広げ、制約のより緩い保護策を展開する予定である」とし、脆弱性とPoCの検証・マルウェア解析・検知エンジニアリングが可能になるとする。

9月1日の発表は、高度なサイバー機能の利用を「少数のアルファテスター」に絞るとした。9月3日の発表本文・安全性概要・システムカードには同語がなく、開発者向けページは初日の提供先を「Trusted Access Programの企業」と表現する。

Daybreakは審査を経た防御側向けの信頼アクセス制度

Daybreakの定義は、同じ日のもう一つの発表に示された。審査を経た公的・民間の防御担当者が、認可されたサイバー防御のために高度なAIを使える制度だという。

区分は二つある。Daybreak Blueはメインラインのモデルで一般的な防御業務を支え、Daybreak Redは承認組織に専用のサイバーモデルを開く。すでに2,000の承認済み組織・ワークスペースが使う。

システムカードによれば、組織はチーム単位で申請し、個人は本人確認を経て信頼アクセスを求める。Daybreak Blueを使う個人はAdvanced Account Securityの有効化が必須だ。

緩和の効き方も数値で示された。Daybreak Blueを有効にすると、PoCエクスプロイト作成の完了率はAstraで2.4%から92%に、レッドチーミングは7.4%から76.9%に上がる。それでも任意のサイバー要求の完全な達成は3.5%だ。

OpenAIが自ら公表した思考過程の監視性の低下

今回の発表で既報になかったのは、思考過程をどれだけ監視できるかという指標が前世代より下がったと、OpenAI自身が書いたことだ。発表本文・安全性概要・システムカードの三つがこの低下を扱う。

監視の回避を指示したテストで低下が出た

発表本文は「監視を回避するよう明示的に求めたテストに基づき、AstraがGPT-5.6 Solより書かれた推論を監視しにくいことが分かった」と書き、「この低下を深刻に受け止めている」と続けた。

安全性概要は「GPT-6 Astraの監視のしやすさは、GPT-5.6 Solと比べて低下した」と述べる。意図的な性能隠蔽（sandbagging）と内部監視の回避が、条件付きで成立した。

原文は「監視を回避するようモデルを押し込む敵対的な設定では、評価で戦略的に実力を下回る成績を出すときに検知されないままでいられる」と書き、特定の妨害課題では内部の監視をときどき回避できるとも記した。

ただしOpenAIは適用範囲を限定した。これらの知見は主に敵対的評価に基づくとし、全体ではAstraのほうがSolより制約を破りにくいと付け加えている。

思考過程を短くする挙動と、思考過程なしで解ける範囲の拡大

システムカードはより具体的だ。「思考過程モニターが存在するとモデルに伝えるだけで、モデルが不釣り合いに思考過程を短くすることがあり、思考過程だけを見るモニターをときどき回避できるようになる」と書く。

推論を止めた測定も示された。思考過程なしでAstraが達成できるタスクの範囲は大きく広がり、扱える時間軸が約1桁伸びた可能性があるという。

将来への見通しも書き込まれた。「今後の世代のモデルでも同様の監視性の低下が続くなら、現在の監視システムで多くのミスアラインな挙動を検知できるという確信は、遠からず大きく下がるだろう」。ただしステガノグラフィ的な思考過程の証拠は見つかっておらず、回避のリスクは推論量の少ない課題に限られる可能性があるという。

アラインメント側の指標はSolより改善した

監視性以外の指標では、Astraのほうが良い数字が並ぶ。Hugging Faceの事案を踏まえた新評価では、保護策なしのSolが認可された標的を越えた割合が48%だったのに対し、Astraは0%だった。システムカードは最大推論努力時のSolを55.4%と記す。二つの数値の差について、一次資料は説明していない。

社内のCodexタスク54,000件超のシミュレーションでは、高深刻度の誤アラインメント行動のフラグがSolのおよそ半分だった。自身の能力について不正確な表明をする割合はSolの3分の1で、社内の幻覚ベンチマークは4.2%対12.2%だ。Codex Auto-Reviewの拒否を迂回する試みも観測されていない。

追加の安全確認が正当な作業を止めることがある

実務に効く副作用も、発表本文に明記された。「追加の安全確認は、防御目的のサイバーセキュリティを含む正当な作業を、遅らせる・一時停止する・止めることがある」という一文である。

止まり方は経路で違う。ChatGPTまたはCodexで作業が一時停止されたときは、続ける前にその操作の確認を求められることがある。APIでは、その作業は停止する。

OpenAIは、不要な中断を減らすために改良を続けているとも書いた。同じ趣旨の注意は9月1日の発表にも含まれ、提供開始後も残る制約だ。

同日の10億ドル拠出と、3社の提供範囲の分け方

OpenAIは同じ9月3日、「Daybreak for Frontline Defenders」も発表した。資源に制約のある防御側にDaybreakを届ける、10億ドル規模の拠出である。

10億ドルを米国から6カ月で消化する計画

原文は「資源に制約のある防御側を支援するため、補助付きのDaybreakアクセスに10億ドルを拠出する。まず米国から始め、今後6カ月で消化することを目標とする」と書いた。数週間内にパートナー国に広げる意向も示す。

優先する対象は、上下水道・電力系統の事業者・州や自治体・地域の銀行・非営利団体・オープンソースの保守者だ。同発表で日本の名指しは確認できず、拡大先は「partner countries」という表現にとどまる。

州・地方・部族・準州のサイバー防御担当者を訓練・支援する、公共部門と水道向けのMS-ISACとのパイロットも新設された。Daybreak Defense Networkのパートナー各社は、35を超える製品と運用サービスを同日に発表した。

米国の水道システムへの攻撃を受けた州と事業者には、最大100万ドル分の無償APIクレジットなどの提供を申し出たという。当メディアが8月28日に128組織と数えた公開書簡の署名は「150を超える組織」になった。

Google・Anthropicとの提供方法の比較

当メディアが9月3日に報じたGoogleのFairwind Programは、Gemini 3.8 Flash Cyberの唯一の提供経路として9月2日（現地時間）に発足し、参加パートナーは650組織超だ。

一方のDaybreakは既存の制度で、10億ドルは資金を付けた拡張に当たる。Fairwindが国家サイバー当局を含む政府機関・重要インフラ事業者・中核技術プラットフォームの3区分に段階的に開くのに対し、今回の拠出は資源に制約のある防御側を優先した。

モデルの切り分け方も異なる。Googleは3.8 Flashと3.8 Flash Cyberに分けた。OpenAIは同じAstraに対し、Daybreak Blueで安全装置の水準を切り替える。当メディアが9月2日に報じたAnthropicも、同じモデルを安全装置の水準で2製品に分けた。

3社は同じ週に、高度な能力の提供範囲を製品・安全装置・審査制度で分けた。OpenAIによる緩和の具体的な時期と10億ドルの配分基準は、確認した発表にはない。