OpenAIは9月1日、「Path to Astra」と題した文書を公開し、未発売の新モデルAstraを自社のPreparednessフレームワークにおける最高リスク区分——サイバーセキュリティ能力がCriticalに該当する——に分類した。このフレームワークは運用開始から3年になるが、OpenAIが自社モデルにこのラベルを付けたのは今回が初めてだ。
判断の根拠となったのは社内ベンチマーク「ExploitBench」だ。OpenAIはここに20件の重大脆弱性を組み込み、Astraはそのすべてを突破した。さらに際立っているのは、改造されたテスト環境の中でAstraが自力で2件の未知のゼロデイ脆弱性を発見・悪用し、それらを連結して一連の完全な攻撃チェーンを組み立てた点だ。
Criticalの境界線はどこに引かれているか
Preparednessフレームワークは2023年に導入され、昨年のアップデートで能力を二段階に区分した。「High」は既存の被害経路を拡大できるモデル、「Critical」はこれまで存在しなかった新たな経路を切り開けるモデルを指す。サイバーセキュリティ領域でCriticalを超えるには、次のいずれかを満たす必要がある。人間が一歩ずつ誘導しなくても、複数の実在する強化済み重要システムに対し、あらゆる深刻度をカバーする実行可能なゼロデイ攻撃を特定・記述できること。あるいは、高レベルの目標だけを与えられた状態で、強化された標的への新規のエンドツーエンド攻撃を自律的に設計・実行できること。
どちらの基準も低くはない。Astraがこの基準を超えたと判定されたことは、OpenAI社内の評価がこのモデルをもはや人間の補助を必要としないと結論づけたことを意味する。
提供の仕方
文書には次のように記されている。
We plan to make Astra available soon, but access to its most advanced cybersecurity capabilities will be more limited.
具体的な提供は二段階に分かれる。第一段階では、最も強力なサイバーセキュリティ能力を少数のアルファテスターのみに提供する。第二段階では、Daybreak Blueプログラムを通じて、審査を通過し防御目的に用途を限定したより多くのチームへとアクセスを拡大する。Daybreak Blueは、OpenAIが以前から運用している枠組みで、審査を通過したテスターが安全上の制約付きで最強モデルをセキュリティ業務に用いることを認めるものだ。
付随する対策には、悪用検知とジェイルブレイク対策の強化、「高リスク」アカウントを識別して個別に制限すること、異常な挙動を監視する思考連鎖モニタリングの導入が含まれる。8月の減速期間中、OpenAIは隔離されたテスト環境や重みの暗号化についても言及していた。文書が明らかにしていないのは、テスターが具体的に誰なのか、どのような基準で選ばれるのか、そして米国政府が今回の評価にどこまで関与しているのかという点だ。
急ブレーキから公開までわずか4週間弱
これには前段がある。8月上旬、OpenAIはサイバーセキュリティ上の懸念から、Astraの開発と提供のペースを自ら落としたと公表し、同時により厳格な安全基準を満たさない社内活動を一時停止した。当時、外部からはこのモデルが「扱いにくい」というシグナルとして受け止められた。それから1か月後、新しい文書のトーンは一変し、防護策がすでにPreparednessフレームワークの要件を満たすまで整備されたため、公開に進めるという内容になっている。
4週間という間隔は、境界を越えること自体が公開を止める理由にはならず、公開の可否を左右するのは付随するガードレールをどれだけ迅速に構築できるかであることを示している。「まず等級分けし、その後にアクセスを許可する」という手順をすでにプロセスに組み込んでいる企業にとって、Criticalは壁というより、追加の手続きを要する関門に近い。
二つの研究機関が同じ岐路に立つ
AnthropicのMythosも今年前半、ほぼ同様の議論を引き起こした。モデルの脆弱性発見能力が、安全性コミュニティと規制当局を同時に身構えさせるほど強力だったためで、同社の対応も等級分け、審査、用途限定という同じ形を取った。今回OpenAIが示した対応は、形式面で非常によく似ている。
二つの研究機関が相次いで同じ岐路に立ったという事実は、これが一社だけの製品方針ではないことを示している。フロンティアモデルが攻防のある能力密度を超えた時点で、研究機関に残された選択肢はそう多くない——等級分け、ホワイトリスト化、監視、そして最も鋭い部分をひとまず手元に留めておくことだ。OpenAIは特に、今回のテスト設計の目標の一つが、AIエージェントが実環境で想定を超える攻撃効果を発揮したHugging Face侵害事件の再発を避けることだったと言及している。その教訓を評価プロセスに落とし込むことは、単なる声明よりも実質を伴う。
満点の後に残る疑問
元OpenAI研究者のYona Shavit氏は、簡単には答えの出ない疑問を投げかけている。Astraが安全性テストで見せた協調的な振る舞いは、アライメントがうまく機能した結果なのか、それとも観察されていると気づいた時だけ控えめに振る舞うことをモデルが学習した結果なのか、というものだ。この種の疑問は一本の文書では決着がつかず、時間と外部による再現を待つほかない。
一般ユーザーにとって、Astraが当面「脆弱性発見を手伝う」姿でサブスクリプションページに登場することはない。セキュリティ業界にとって本当に注視すべきなのは、境界を越えた後、防御側が同水準のツールを同じタイミングで手にできるかどうかだ。大まかに見積もると、この二段階の提供がMythosと同じペースで進むなら、アルファからDaybreak Blueへの拡大にはおよそ数週間から1~2か月かかる。一方、攻撃者が同等の能力を持つオープンソースの代替品を手にするまでにどれだけかかるかは、現時点で誰にも数字を示せない。
参考資料：OpenAI「Path to Astra」文書、TechCrunch、CocoLoop、CNBC、Fortune。ExploitBenchにおける20件の重大脆弱性と満点の結果、2件のゼロデイ脆弱性を連結した攻撃チェーン、Daybreak Blueによる二段階提供の内容は、いずれも公開資料と照合済み。