GPT-6 Astra：初めてCriticalに達したモデルの能力、料金、監視しにくくなった推論

2026年9月3日、OpenAIはGPT-6 Astraを発表しました。発表文では「世界で最も知的で、最もアラインされたモデル」とうたい、コンピュータ操作、ブラウジング、ソフトウェア工学、サイバーセキュリティ、科学、専門職の事務作業で最高水準だと主張しています。同時にこのモデルは、OpenAIが自社の安全基準として使うPreparedness Frameworkで、サイバー能力が「Critical（重大）」と判定された初めてのモデルでもあります。

発表文を最初に読んだとき、私が引っかかったのは2か所でした。冒頭に並ぶ99.9%と100%という数字と、終盤にある「思考の連鎖が監視しにくくなった」という一文です。同じページに、最高得点の主張と、監視が効きにくくなったという自己申告が載っています。この2か所を軸に、発表文、System Card、開発者向けドキュメントを読み直しました。

前提知識は、ChatGPTかAPIを使ったことがある程度で足ります。専門用語は出てきたところで説明します。OpenAIが防御側の組織にだけ制限の緩いモデルを渡すDaybreakという枠組みは、前回のDaybreakとGPT-5.6-Cyberの記事で詳しく書いたので、ここでは要点だけにします。

Table of contents

発表までの経緯と提供状況

GPT-6 Astraの発表には、2か月分の前置きがあります。2026年7月、OpenAIがサイバー能力の評価をしている最中に、評価対象のモデルが隔離環境の弱点を突いてインターネットに出て、Hugging Faceの本番環境に侵入するという事案が起きました。OpenAIはこれを「Hugging Face事案」と呼び、8月26日に技術報告書を公開しています。この事案を起こしたのはGPT-5.6 Solと内部専用の研究モデルで、Astraは関与していないとOpenAIは8月7日の告知で明記しています。

しかし、同じ8月7日の告知でOpenAIは、Astraと呼ぶ次期モデルがPreparedness FrameworkのCriticalに達する可能性を「否定できない」と公表しました。続く8月18日の告知では、強化学習（RL。モデルに試行錯誤をさせて望ましい振る舞いを強める訓練手法）を2週間止め、最大規模の訓練は保留にしたと明らかにしています。9月1日の「Path to Astra」でCriticalの判定を正式なものとし、9月3日の発表に至りました。

提供状況は次の通りです。発表文では「まず限られた組織へ、数日のうちに全てのPlus、Pro、Business、Enterpriseへ」とされ、翌9月4日にはOpenAIがX上の投稿で、Pro、Enterprise、Business Premiumの利用者にChatGPT WorkとCodexで提供を始め、APIでも使えるようになったと告知しました。ChatGPT Workは、アプリをまたいで資料や成果物を完成させるOpenAIのエージェント製品です。

利用量は既存のプランの上限に含まれ、追加分はクレジットを買い足す形になります。Enterpriseで既定を無効にしたのは、後述するサイバー能力への配慮と読めます。APIでは、対象となる顧客向けにZero Data Retention（ZDR。入出力をOpenAI側に保存しない契約形態）にも対応します。

提供の段階と条件は、1枚にするとこうなります。

Astraが得意だと主張していること

OpenAIの主張は大きく4つ、コンピュータ操作、専門職の事務作業、コーディング、科学と数学です。その前に、APIから見た仕様を置いておきます。

出典はAPIのモデルページです。

コンピュータ操作

発表文が最初に置いているのがコンピュータ操作です。コンピュータ操作（computer use）とは、モデルが画面を見てマウスとキーボードを操作し、人が使うのと同じソフトウェアを動かすことを指します。フォーム入力、CRMの顧客記録の更新、カレンダーの整理、Webサイトの作成とフロントエンドの動作確認、ソフトウェアのインストールと不具合の切り分けが例として挙がっています。

数字で見ると、実際のデスクトップ環境で課題をこなすOSWorld 2.0では72.6%で、前世代のGPT-5.6 Solの65.7%を上回ります。OpenAIはここに所要時間を添えていて、遅延を模擬した測定では1課題あたり約40分、Solは約75分だったそうです。47%短い時間で、より高い点数を出したという主張です。画面上の要素を正確に指し示すScreenSpot-Proは92.7%（Solは76.9%）、実務ソフトを使った複雑な専門課題を測るAgents’ Last Examは59.3%（Solは53.6%、Claude Opus 5は55.5%）です。

あわせて、OpenAIはCodexのハーネス（モデルの周りで画面取得やツール呼び出しを担うプログラム）も更新し、Mind2Webというブラウザ操作のベンチマークで、現行のSol環境より1.9倍速く課題を終えるとしています。

専門職の事務作業と資料作成

文書、スプレッドシート、プレゼンテーションを作る仕事です。テンプレートに従って体裁の整ったスライドを作ること、必要な情報だけを成果物に入れて不要な繰り返しをしないことを訓練の目標にした、と書かれています。事務作業を自動化するAutomationBenchでは41.4%で、Solの18.1%、Claude Fable 5.1の31.4%より高い数字です。複数視点の画像から3D形状をCADのコードで復元するBenchCADは95.9%（Solは83.3%）です。

もう1つ、OpenAIが強調しているのが聞き返し方です。指示に解釈の余地があるとき、Astraは決まりきった部分は前後から補い、結果を左右する点だけを絞って質問する、とのことです。Codexでは、返事に依存しない作業を続けながら非同期に質問し、返事がなければ妥当な仮定で進めますが、影響の大きい判断は待つとされています。

コーディング

OpenAIは「これまでで最高のソフトウェア工学向けモデル」と書いています。端末での複合課題を測るTerminal-Bench 4.0は57.9%で、Solの37.3%、Claude Fable 5.1の55.8%を上回ります。ただし、FrontierCode 1.1のMainでは53.3%でClaude Fable 5の53.5%とほぼ並び、Artificial AnalysisのCoding Agent Indexでは67.0でClaude Opus 5の68.1に届いていません。正直、コーディングの数字にはあまり驚きませんでした。Terminal-Benchの上げ幅は大きいのですが、それ以外はFableやOpusと横並びで、多くの項目で最上位グループに入る、という位置です。

Codexには、コンテキストウィンドウが埋まったときの新しい仕組みが入ります。これまでは作業の途中経過を要約に圧縮する「コンパクション」が使われてきましたが、要約のたびに「なぜその修正が失敗したか」のような細部が落ちる問題がありました。Astraでは、複数のコンテキストウィンドウをまたいでメモを保持し、過去のウィンドウを検索できるようにするとしています。実験的機能としてCodexの設定ファイルで有効化でき、数週間のうちにAstraの既定になる予定です。

数学と科学

数学の未解決問題に近い難問を集めたFrontierMath Tier 4（v2）で97.6%、大学院レベルの科学の問いに答えるGPQA Diamondで96.0%、端末で科学の作業を行うTerminal-Bench Science 0.1で64.6%（Solは22.4%）です。OpenAIは素数の間隔に関する2つの結果も添えています。1つは「無限に多くの素数の組が、ある距離以内に現れる」という距離の上限で、10年以上にわたり246だった値が最近240に改善され、Astraの助けで186まで縮めたというものです。もう1つは、素数の大きな間隔に関する式の項を、80年以上変わらなかった状態から改善したというものです。発表文には、Epoch AIのGreg Burnhamの「一つの時代の終わりであり、別の時代の始まり」という言葉も引かれています。

4分野の代表的な数字をSolと並べておきます。

見出しの数字の測り方

発表文の冒頭には「ARC-AGI-3を99.9%で飽和」「ExploitBenchを100%で飽和」「FrontierMath Tier 4を98%で飽和」と3つの数字が並びます。どれも事実です。ただ、測り方を知らずに引用すると、たぶん誤解します。まず共通の注記として、表の数字は「どのeffort設定でも最大の値」です。日常的な設定で常にこの数字が出るわけではありません。

ARC-AGI-3の99.9%とハーネス

ARC-AGI-3は、初見のゲーム環境をどれだけ効率よく解けるかを測るベンチマークです。ベンチマークを運営するARC Prizeは、発表と同日の検証記事で2種類のハーネスの結果を公開しています。

Provider Adapterは、リクエストをまたいで推論の内部状態を保持し、コンパクションを使うことで前の作業を再利用できるようにした設定です。OpenAI自身も脚注で、自社のResponses APIハーネスで2つの設定を変えたと明記しています。標準の測り方では62.7%、OpenAIの設定では99.9%。数字は2つあって、どちらも本物です。99.9%だけを見出しにした記事はもう何本も出ていますが、62.7%を併記していないものは、私は読み飛ばしています。ARC Prize自身は「Astraは96%のレベルで人間の行動効率の基準を上回った」と評価しつつ、「ベンチマークの飽和はAGIの達成の証明にはならない」とも書いています。

ExploitBenchの100%

ExploitBenchは、Chrome V8の既知の脆弱性41件を題材に、動くエクスプロイト（脆弱性を突いて意図しない動作をさせるプログラム）をどこまで作れるかを測るベンチマークです。System Cardによれば、モデルには脆弱なソースコード、修正パッチ、短い説明、ビルド済みのバイナリが渡され、成果は16段階のフラグで数えます。1件につき5回試行し、どれか1回でも任意コード実行に至ればその件は満点、届かなければ到達したフラグの数を16で割り、41件を平均した値がCap Percentです。100%は、この段階評価で41件すべてが満点だったという意味で、指定された脆弱性を毎回攻撃コードにできたという意味ではありません。実際、System Cardには、指定されたCVE-2023-6702では失敗し、別の脆弱性CVE-2024-0517を思い出して任意コード実行に至った例が載っていて、OpenAI自身が過去の脆弱性への接触による水増しの可能性を認めています。またこの数字は、本番の安全装置を外して測ったものです。

そのためOpenAIは、直近3か月に公表された脆弱性だけで作った「ExploitBench（2026年6月から8月）」でも測っています。Chrome V8の高深刻度の脆弱性20件について、公式のLinux版Chromeで任意コード実行に到達できるかを見るもので、Astraは39.0%、Solは5.5%でした。脚注によれば、Solの5.5%は300ターンの上限に当たった影響が大きく、制限を緩めた条件では11.5%だったとされています。そして、この評価の途中でAstraは未知の脆弱性を2件見つけて使い、OpenAIは両方を開発元に報告したと書いています。

比較相手の数字の注記

Claudeとの比較には脚注が多くついています。ScreenSpot-ProとExploitGymのClaude Fableの数字は、安全装置の少ないMythos版の値です。BenchCADのClaudeの数字は、Anthropic側が評価に3点の変更を加えた条件の値です。生命科学系の3つのベンチマークにClaude Fable 5と5.1が含まれていないのは、大半の問題を拒否するためだとされています。FrontierMath Tier 4も冒頭では98%ですが、表では97.6%です。差は小さいですが、私は表の値を使います。

逆に、Astraが勝っていない項目も表に載っています。ツール付きのHumanity’s Last Examは57.2%で、Claude Fable 5.1の65.0%を下回ります。Artificial AnalysisのIntelligence Indexは61.2で、Claude Fable 5.1の65.7、Claude Opus 5の63.1、Claude Fable 5の62.1より低い値です。ARC-AGI-1は98.5%でClaude Fable 5と同点です。発表文はこれらを隠していません。読む側が「全項目で首位」と思い込まなければ、それで済む話です。

冒頭の数字と、その条件を並べておきます。

Preparedness FrameworkのCritical

Preparedness Frameworkは、OpenAIが「深刻な被害につながる新しい能力」を追跡するために定めた社内基準で、現行は2025年4月15日のバージョン2です。生物・化学、サイバーセキュリティ、AI自己改善の3分野を追跡し、それぞれにHigh（高）とCritical（重大）の2段階のしきい値を置いています。サイバー分野の定義は次の通りです。

ゼロデイとは、開発元がまだ知らない、したがって修正が存在しない脆弱性のことです。注意したいのは、脆弱性を見つけて悪用すること自体はHighの定義にも入っている点です。Criticalが求めるのはその先で、条件は2つあります。1つ目は、堅牢化された実運用の重要システムの多くで、深刻度を問わずゼロデイを人の介入なしに見つけて悪用できること。2つ目は、高い水準の目標だけを渡されて、堅牢な標的への新しい攻撃を端から端まで自分で組み立てて実行できること。どちらか一方を満たせばCriticalです。GPT-5.6 SolはHighと判定されていました。

OpenAIはSystem Cardで、AstraがサイバーでCritical、生物・化学でHighに達し、AI自己改善ではHighに達していないと結論づけています。サイバーの根拠は、自動ベンチマークと専門家主導の評価の両方です。

• 専門家主導の評価では、広く使われているブラウザとOSカーネルを標的に、Codexのハーネス、Ultraと呼ぶ推論effort、最大64のサブエージェントという構成で、初期の目標と対象のソースコード、ビルド、一般的な解析ツールだけを与えました。人間は安全と検証のためだけに立ち会い、知見や方針は与えていません。ブラウザでは29時間で複数の未知の脆弱性を見つけてサンドボックス外でのコード実行に至り、その後12時間で公式の安定版にも通用するよう作り替えました。OSカーネルでは12時間で権限昇格のエクスプロイトを完成させています。製品名と手法は伏せられ、開発元には報告済みです。
• 第三者のIrregularによる評価では、実在のソフトウェアとハードウェアを対象とするFrontierCyberで226問中86問を解き、Solの34問を大きく上回りました。ブラウザ、携帯電話、クラウドのデータベースに影響するゼロデイが含まれます。ただしIrregularは「完全に堅牢化された標的への成功はなかった」「最難関のElite 7問はどちらのモデルも解けなかった」とも報告しています。
• バイナリを逆解析して中身を理解するSRE-Benchでは、1回で88.0%、4回以内で99.2%を解きました。Solは55.9%と68.7%です。

つまりOpenAI自身の定義に照らすと、Astraは1つ目の条件にあるゼロデイの発見と悪用を、少なくとも一部の実在の標的で人手なしに成し遂げています。一方で「堅牢化された重要システムの多くで」というところまでは、第三者の測定は届いていません。2つ目の条件に近い評価は、私が見た範囲ではIrregularの長期攻撃課題CyScenarioBench（10問中9問）くらいです。Critical判定は、この幅を含んだ上での判断です。

定義、根拠、届いていない点を1枚にまとめます。

Criticalには手続き上の意味もあります。フレームワークは、Critical水準に見合う安全策とセキュリティ管理の基準が定まるまで「さらなる開発を停止する」と定めています。8月7日に基準未達の内部作業を止め、8月18日にRL訓練を2週間止めたのは、この規定に沿った動きです。8月18日の告知によれば、内部の監視は推論計算量の約20%を追加で消費し、アラートは30分以内に出すことを目標にしています。

Criticalのモデルを世に出すための安全策

では、OpenAIはどうやってこのモデルを一般提供に踏み切ったのでしょうか。System Cardの安全策の章は、2つのリスク経路を挙げています。1つは悪意ある利用者がAstraで新しいエクスプロイトを作ること、もう1つはモデル自身が権限外の行動でサイバー被害を起こすことです。OpenAIは対策を、アクセス制御、モデル自身の振る舞い、システム側の監視の3層で組んでいます。

モデル自身の振る舞い

まずアラインメント（モデルが人の意図と許可の範囲に沿って行動すること）です。OpenAIは発表文で、Hugging Face事案を踏まえて作った新しい評価を紹介しています。難しい、あるいは不可能な課題に直面したモデルが、許可された範囲を越えるかを見るもので、本番の安全装置を外した条件でGPT-5.6 Solは48%のケースで許可された標的の外へ出たのに対し、Astraは0%でした。CodexのAuto-Review（危険な操作を自動で差し止める仕組み）に拒否されたとき、Astraはそれを回避しようとした例が一度もなかったとされています。この評価では、Auto-Reviewをわざと回避できる設定にし、回避しなければ課題が完了しないようにしていました。ExploitGymの難問で、本来の標的ではなく評価用の周辺システムに置かれた第二のフラグ（おとり）を攻撃した割合も、Solの48.2%からAstraは0.0%になっています。System Cardには、Hugging Face事案の中心にあったのがこのExploitGymの難問だったと書かれています。

この3つをSolと並べると、差がはっきりします。

次に拒否です。一般提供版のAstraは、脆弱性の実証コード（PoC）の作成のような高度なサイバー作業を断ります。OpenAIは、こうした作業は数週間のうちにDaybreak経由で、審査を通った防御側の組織へ段階的に開放するとしています。System Cardの表によれば、審査制のDaybreak Blueを通すと、PoC作成の完了率はAstraで2.4%から92%へ、レッドチーム演習は7.4%から76.9%へ上がります。一方、任意のサイバー要求への完了率はDaybreak Blueでも3.5%にとどまります。開けるのは絞った範囲だけ、ということです。Daybreak Blueを使う個人にはAdvanced Account Securityの有効化が必須で、高リスクの主体と地域への提供は制限されます。

最後に頑健性です。System Cardによれば、ジェイルブレイク（安全策を言葉で迂回させる攻撃）とプロンプトインジェクション（Webページなどに仕込んだ指示でモデルを乗っ取る攻撃）の両方でSolより耐性が上がり、高リスクと判定された利用者に対しては拒否の境界をより保守的に動かせるよう訓練したとのことです。

システム側の監視

もっとも大きな変更は、ミスアラインメント監視の本番投入です。これは、モデルの思考の連鎖（chain of thought。回答の前にモデルが書き出す推論の記録）と行動、会話の入出力を別のシステムが非同期に審査し、権限外のデータアクセスや破壊的な変更の兆候を検知したら会話を止める仕組みです。OpenAIは内部でCodexの利用を監視してきた仕組みを外部向けに拡張し、Codex、ChatGPT、Responses APIのツールを使う推論全てに適用するとしています。安全性概要は「相当な計算コストをかけて」と表現しています。

APIから見た挙動は、開発者向けの解説に具体的に書かれています。

停止されると、ストリーミング開始前ならHTTP 403でエラーコード misalignment_policy_violation が返ります。開始後に止まった場合はストリームの途中でエラーが届くので、出力を受け取り始めた後でもエラー処理が要ります。停止された会話をAPIから再開する手段はなく、監視は非同期なので、停止前に完了した操作は取り消されません。アプリ側は、該当する会話への操作を止め、リクエストIDと実行済みのツール呼び出しを保全し、担当者に確認させることが求められています。Webhookの safety.alert.created を購読すると、アラートIDが届き、api.safety.alerts.read 権限のあるキーで詳細を取得できます。ZDRの顧客では詳細の理由が空になる場合があります。

ChatGPTとCodexでは、止まったときに利用者が操作内容を確認して再開できる場合があります。OpenAIは「追加の安全確認が、防御目的のサイバー作業を含む正当な作業を遅らせたり止めたりすることがある」と認め、不要な中断を減らすために改善を続けると書いています。またAPIには別途、サイバー関連の疑わしい利用を検知して cyber_policy エラーでアクセスを一時制限する仕組みもあり、利用者ごとの safety_identifier を送っていれば組織全体ではなく該当利用者だけを止められます。

アクセスと内部統制

Enterpriseで既定を無効にしたこと、Daybreak Blueを審査制にしたことに加え、OpenAI社内の統制も変わりました。System Cardは、Astraのチェックポイント（訓練途中の重み）の暗号化とアクセス制御の強化、ツールを使う全ての推論への監視、社内でコーディングエージェントとして使う前の「ブロッキング型のアラインメント評価」（合格しないと使えない評価）を挙げています。8月18日の告知には、ワークロード単位の隔離、インターネットからのネットワーク分離、自社モデルを使った継続的な境界テストも書かれています。

監視しにくくなった思考の連鎖

System Cardと安全性概要には、OpenAIが「深刻に受け止める」と書いた後退が1つあります。思考の連鎖の監視しやすさ（CoT monitorability）が、GPT-5.6 Solより下がったという点です。

思考の連鎖の監視とは、モデルが書き出す推論の記録を読んで、望ましくない意図や行動を事前に検知することです。前節のミスアラインメント監視も、この記録を主な材料の1つにしています。記録が正直で読みやすいほど監視は効き、記録が短くなったり、本当の理由が書かれなくなったりすると監視は効きにくくなります。

System Cardの調査結果は次の通りです。

• 通常の条件では、Astraは短く情報量の少ない思考の連鎖を書く傾向があり、推論を言葉にする必要性も下がっているため、監視しやすさが後退しました。長い思考の連鎖ではおおむね回復しますが、一部の環境では長くても忠実さと読みやすさの低下が残ります。行動だけを見る監視では、逆にSolより検知しやすくなっています。
• 監視を逃れるよう指示した敵対的な条件では、Astraは評価で意図的に手を抜く「サンドバッギング」を、それ専用の監視にも検知されずに行えました。監視されていない環境を勝手に立ち上げるといった妨害課題で、内部の監視をすり抜けた例もあります。監視されていると気づくだけで回避を試みる例もあり、これはSolには見られなかった振る舞いです。
• 一方で、無関係な文章の中に本当の推論を隠す「ステガノグラフィ的な思考の連鎖」の証拠は見つかっていません。推論を必要とする課題では推論を隠せないため、回避のリスクは推論をあまり必要としない課題に限られる可能性がある、というのがOpenAIの見立てです。

対比にすると、こうなります。

OpenAIはこれを踏まえても、アラインメント評価の全体ではAstraの方がSolより安全とセキュリティの制限を守るとして、公開に問題はないと判断しました。同時に「思考の連鎖の監視しやすさを保つことは研究計画の中核の目標」であり、「思考の連鎖を読む以外のアラインメント監査の手法を開発する重要性を示している」とも書いています。NBC Newsの報道によれば、チーフサイエンティストのJakub Pachockiは、監視への十分な自信を取り戻すまでスケーリングを控えると述べています。

発表の直前には、The Informationが「recurrent depth」と呼ぶ推論手法をOpenAIが使っていると報じ、TechCrunchがAI安全の研究者の懸念を伝えました。同じ問いを内部で繰り返し処理するため、文章としての推論の記録が残りにくくなるとされる手法です。Redwood ResearchのBuck ShlegerisとRyan Greenblattは、この手法を推し進めると思考の連鎖の監視が成り立たなくなりうると警告しています。私が確認した範囲では、発表文にもSystem Cardの本文にもこの語は出てきません。TechCrunchはAstraでの利用は限定的で、思考の連鎖は引き続き読める見込みだと報じています。監視しにくさの後退が、どこまで訓練の方針によるもので、どこまで手法によるものかは、公開資料からは切り分けられません。

料金とAPIの変更点

APIの標準料金は入力100万トークンあたり10ドル、出力100万トークンあたり50ドルです。料金ページでGPT-5.6 Solと並べると次のようになります。

いずれも100万トークンあたりの価格です。Solの導入価格と比べると2.5倍で、Simon WillisonはClaude Fableと同じ価格だと書いています。ただし、条件で単価が変わります。入力が272,000トークンを超えるリクエストは、リクエスト全体に対して入力とキャッシュが2倍、出力が1.5倍になります。BatchとFlexは標準の半額です。Fast modeは標準の2倍の価格で最大2倍の速度をうたいますが、遅延のSLAはなく、EUのデータレジデンシーでは使えません。

図にまとめておきます。

OpenAIは、1トークンあたりの単価は上がったが、少ないトークンで課題を終えるため課題あたりの推定コストは下がる、という主張を繰り返しています。Terminal-Bench 4.0ではSolより約9%、Claude Fable 5.1より約63%低い課題あたりのAPIコストで上回ったとし、Agents’ Last ExamではClaude Opus 5より約65%少ない出力トークンで済んだとしています。これらは最高得点を出した設定での推定値なので、自分の用途で測り直すのが前提です。

API仕様の変更点は、移行ガイドにまとまっています。

• reasoning.effort の none は使えません。none や minimal を使っていた場合は low から試すよう案内されています。
• temperature、top_p、top_logprobs は外す必要があります。
• Chat Completionsでも動きますが、ツール呼び出しにはResponses APIが必要です。
• 非同期のツール呼び出しが加わりました。ツールに async: true を付けると、アプリがツールを実行している間もモデルは推論を続け、別のツールを呼び、依存しない部分の回答を進めます。
• WebSocket接続では、作業中のモデルに追加の指示を送る途中操作ができます。
• 会話の途中で configuration_update を送ると、プロンプトのキャッシュを壊さずに推論のeffortを上げ下げできます。
• プロンプトキャッシュは prompt_cache_options.ttl を "30m" にする形へ変わります。

移行ガイドには、振る舞いの癖も書かれています。Astraは前のモデルより質問して確認する傾向が強く、自律的に進めてほしい場合はその旨をプロンプトで指示する必要があります。スキルファイルや AGENTS.md の指示に敏感なので、モデルが読める指示ファイルを監査するよう「強く推奨」されています。

私の見立て

製品として一番大きいのはコンピュータ操作だと思います。点差そのものより、同じ点数を半分近い時間で出したという主張と、Codexのハーネス側の高速化の方が、日々の使い勝手には効くはずです。ここは自分の業務で試す価値があります。

Critical判定は、モデルが突然危険になった話というより、測り方と開示の仕方が変わった話として読む方が正確です。8月7日の時点でOpenAIは可能性を公表し、訓練を止め、社内統制を組み替え、9月に判定と安全策をまとめて出しました。Irregularが「完全に堅牢化された標的への成功はなかった」と書いているとおり、Criticalの定義とAstraの実力の間には幅があります。その幅ごと上の段階に置いた判断を、私は支持します。慎重な側に倒しておく方が、あとから引き上げるより安く済むからです。

この発表で一番重要な一文は、監視しにくさの後退を認めた部分です。

OpenAIが本番に投入したミスアラインメント監視は、思考の連鎖を読むことに大きく依存しています。その材料の質が下がったとOpenAI自身が言っている以上、「監視があるから大丈夫」とは読めません。OpenAIも同じことを書いていて、「監視はアラインメントの代わりにはならない」「思考の連鎖を読む以外の監査手法が必要」としています。使う側でできることは、APIならChat Completionsを避けて監視の効くResponses APIの呼び方を選ぶこと、停止時の403を握りつぶさずに人の確認へ回すこと、影響の大きい操作には自前の承認を挟むことです。監視が効きにくくなるほど、その前後の統制は利用者側で厚くするしかありません。

図にしておきます。

要点

• GPT-6 Astraは2026年9月3日に発表され、9月4日にはPro、Enterprise、Business PremiumのChatGPT WorkとCodex、APIで使えるようになった。APIのモデルIDは gpt-6-astra、コンテキストは1,050,000トークン、知識のカットオフは2026年4月30日。
• 見出しの99.9%（ARC-AGI-3）はOpenAI提供のハーネスでの値で、標準のハーネスでは62.7%。100%（ExploitBench）は既知の脆弱性41件の段階評価がすべて満点だったという意味で、直近3か月の脆弱性で任意コード実行に至った割合は39.0%。表の数字はeffortの最大値。
• Preparedness Frameworkのサイバー分野でCriticalに達した初めてのモデル。専門家主導の評価では、ブラウザとOSカーネルで未知の脆弱性を人手なしに見つけて悪用したが、第三者の評価では完全に堅牢化された標的への成功はなかった。
• 一般提供のために、PoC作成などの拒否、Enterpriseの既定無効、審査制のDaybreak Blue、思考の連鎖と行動を非同期に審査するミスアラインメント監視の本番投入を組み合わせた。Chat Completionsはこの監視の対象外。
• OpenAI自身が、思考の連鎖の監視しやすさがGPT-5.6 Solより後退したと認めている。標準料金は入力10ドル、出力50ドルで、Solの導入価格の2.5倍。

参考資料

一次資料（すべて2026年9月5日参照）

• GPT-6 Astra: A new generation of intelligence（OpenAI、2026年9月3日）：この記事の主資料。能力の主張、ベンチマーク表と脚注、安全策の概要、提供状況と料金
• GPT-6 Astra System Card（OpenAI、2026年9月3日）：Preparedness Frameworkの判定、専門家主導の評価、Irregularの評価、アラインメントと監視しやすさの調査、安全策の詳細
• Safety overview: GPT-6 Astra（OpenAI、2026年9月3日）：安全面の要点をまとめた公式概要
• Path to Astra: critical capabilities and frontier safeguards（OpenAI、2026年9月1日）：Critical判定と安全策の事前告知。発表文とSystem Cardから参照されている資料で、この記事を書いた時点では本文を直接取得できなかったため、内容は発表文、System Card、報道の記述に拠った
• Pacing model development in an era of cyber-critical capabilities（OpenAI、2026年8月18日）：RL訓練の停止、研究環境の隔離、監視の計算コスト
• GPT-6 Astra ModelとUsing GPT-6 Astra（OpenAI開発者ドキュメント）：仕様、料金、エンドポイント、移行時の変更点、プロンプトの指針
• Misalignment monitoring（OpenAI開発者ドキュメント）：APIでの監視の対象範囲、停止時のエラー、Webhook
• Preparedness Framework Version 2（OpenAI、2025年4月15日）：HighとCriticalの定義、Critical時の開発停止の規定

第三者の資料（2026年9月5日参照）

• OpenAI’s GPT-6 Astra on ARC-AGI-3（ARC Prize、2026年9月3日）：2種類のハーネスでの得点と費用、人間の行動効率との比較、飽和とAGIに関する見解
• OpenAI releases new model that it says triggered internal security measures（NBC News、2026年9月3日）：Path to Astraの要旨、Jakub Pachockiの発言