OpenAIがAstraを一部停止。「止める」規定は判定に紐づいていた

みなづちです。

2026年8月7日の米国時間、OpenAIが記事を1本公開しました。日本時間では8月8日の午前0時20分です。

内容は自社にとって重いものでした。次期モデル「Astra」の社内評価で、サイバーセキュリティの能力が想定以上に上がっており、自社の安全指針が定める最上位の水準に該当する可能性を否定できない、というものです。

日本語のニュースでは「開発停止」という見出しが出ました。私も最初はそう読みました。

ところが原文を開くと、書かれていたのは「開発停止」ではありませんでした。止まったのは、強化した要件をまだ満たしていない社内活動です。

そこで疑問が出ます。OpenAIの安全指針は、最上位に達したら開発を止めると定めているはずではないか。規定どおりに動いていないのではないか。

その疑いは、指針のPDFを開いて確かめた結果、外れました。ただし、外れ方のほうに読む価値がありました。

本記事では、以下のポイントから解説します。

• OpenAIが書いたのは「達した」ではなく「否定できない」だったこと
• 安全指針の「開発を止める」規定が、どの段階で発動する設計なのか
• その規定を解除する条件が、実装完了ではなかったこと
• AnthropicとGoogle DeepMindが、同じ種類の条項をどう扱っているか
• 日本語の見出しが2種類出たこと

結論：「開発を止める」規定は判定に紐づく。だから発動していない

まず記事全体の結論からお伝えします。押さえておきたいのは、OpenAIの対応は安全指針に反していないという点です。

OpenAIの安全指針「Preparedness Framework」は、サイバーセキュリティの最上位（Critical）に該当する場合、こう定めています。

Until we have specified safeguards and security controls standards that would meet a Critical standard, halt further development

Critical水準を満たす基準を特定するまで、それ以上の開発を停止する。

この規定は実在します。PDFを取得して、ページの座標まで確認しました。ただし発動するのは「Criticalと判定された場合」です。

OpenAIは判定していません。書いたのはこうです。

These results, in addition to expert assessments, have led us to conclude last night that we cannot rule out critical cyber capabilities under our Preparedness Framework.

否定できない（cannot rule out）。到達したとは書いていません。本文を機械的に走査すると cannot rule out が2件、has reached は0件でした。

では判定前の段階について、指針は何も定めていないのか。定めていました。

Models that have reached or are forecasted to reach Critical capability in a Tracked Category present severe dangers and should be treated with extreme caution. Such models require additional safeguards (safety and security controls) during development, regardless of whether or when they are externally deployed.

到達した、または到達すると予測されるモデルは、開発中に追加の安全策を要する。外部に展開するかどうか、いつ展開するかにかかわらず。

OpenAIが8月7日に取った措置は、まさにこれです。規定どおりでした。

つまり構造はこうなっています。最上位に達したら開発を止める。ただしその判定は、まだ一度も下されていない。

筆者の視点：規定違反を疑って読み、規定どおりだと分かった

この件を追う中で、見立てが二度変わりました。ここではその過程を書きます。

最初は「規定に反している」と思った

日本語の見出しで「開発停止」を見て、原文を開きました。そこにあったのは違う文でした。

We are pausing internal activities involving Astra that do not yet meet these strengthened security control requirements.

強化されたセキュリティ統制の要件をまだ満たしていない、Astraに関わる社内活動を一時停止している。

機械走査すると pausing が1件、halt も suspend も stop も0件でした。しかも同じ段落の導入文が「further development of this model happens safely and securely」と、開発が続く前提で書かれています。

一方で安全指針には halt further development がある。ここで私は「規定と実際の措置がずれている」と考えました。

PDFの表は、抽出方法によって別の行に見える

確かめるために、Preparedness FrameworkのPDFを取得しました。22ページ、表紙に「Version 2. Last updated: 15th April, 2025」とあります。

ここで最初の落とし穴がありました。PDFの表をテキスト抽出すると、行の順序が見た目と一致しないことがあります。

実際、一般的な抽出ライブラリの既定設定では、この文言が「AI自己改善」の行の措置であるかのように出力されました。サイバーの行のものだと確認するには、別の方法が要ります。

そこで座標を取りました。サイバーのCritical行が占める帯域はy座標で755.8から600.2、当該の箇条書きは748.4から688.6。次のAI自己改善の行は582.1から始まるので、混入の余地はありません。念のためページを画像として書き出し、罫線で区切られた同じ行の中に並んでいることも目で確認しました。

決め手がもう1つありました。サイバーの行だけ、security controls の後に standards が入っています。生物・化学とAI自己改善の行は security controls that would meet a Critical standard で、standards がありません。行を取り違えていれば、この語まで含めた一致は起きません。

疑いが外れて、別のものが見えた

行の対応は正しかった。しかし規定の射程が違いました。

指針の3.3節は、安全委員会の選択肢をこう定めています。「Determine that the capability threshold has been crossed, and therefore recommend implementing and assessing corresponding safeguards」。

安全策の発動が、しきい値を越えたという判定に紐づいています。判定前の段階に halt を及ぼす条項は、通読しても見つかりませんでした。

そして先に引いた4.4節が、判定前を別に手当てしている。「到達した、または到達すると予測される」モデルには、開発中の追加的安全策を求める、と。

規定違反という話ではありませんでした。指針は判定前と判定後で措置を分けており、OpenAIは判定前の側の措置を取っている。

その代わり、別のことが見えてきます。「最上位に達したら止める」という条項は、判定が下されない限り作動しません。そして今回、判定は下されませんでした。

8月7日の発表。OpenAIが書いたのは「否定できない」だった

発表の中身を確認します。書誌から入ります。

書誌と、日本時間との1日のずれ

記事のタイトルは「Responding to the next frontier of critical cyber capabilities」、カテゴリはSecurity、著者は個人名ではなく組織名義の「OpenAI」です。

配信のタイムスタンプは「Fri, 07 Aug 2026 15:20:00 GMT」でした。ページ上の表示は「August 7, 2026」、日本時間では8月8日の午前0時20分にあたります。

日付が1日ずれます。本記事では、一次情報の日付表記に合わせて「8月7日（米国時間）」と書き、必要な箇所で日本時間を併記します。

判断の時点にも注意が要ります。原文は「have led us to conclude last night」と書いています。結論したのは発表前夜で、太平洋時間の8月6日夜から7日未明にあたります。

一方で評価そのものは「over the past few days」（ここ数日）です。「前夜」がかかるのは結論した時点であって、評価を行った期間ではありません。

Astraの評価で何が起きたと書かれているか

冒頭の記述はこうです。

Our latest internal evaluations of Astra, one of our upcoming models, over the past few days indicate significant advancements in agentic coding and cybersecurity.

今後登場するモデルの1つであるAstraについて、ここ数日の社内評価で、エージェント的なコーディングとサイバーセキュリティに大きな前進が見られた。

そしてCriticalの定義が示されます。

Under our Preparedness Framework, a model reaches the Critical cybersecurity threshold if it can identify and develop functional zero-day exploits of all severity levels in many hardened real-world critical systems without human intervention, or can devise and execute end-to-end novel strategies for cyberattacks against hardened targets given only a high level goal.

多数の堅牢化された実世界の重要システムに対して、あらゆる深刻度の実用的なゼロデイを人の介在なしに特定・開発できる。または、高レベルの目標だけを与えられて、堅牢化された標的への新規のエンドツーエンド攻撃戦略を立案・実行できる。

or で結ばれた2つの枝があります。片方だけに要約すると、しきい値の意味が変わります。

なお、この文は条件を述べる定義文です。Astraが実際にゼロデイを見つけて攻撃した、という記述ではありません。

指針の原文はさらに主語が違います。「A tool-augmented model can identify and develop…」で、ツールを備えたモデルが、という限定が付いています。ブログの言い換えではこの語が落ちているので、定義を引くときは出典を分ける必要があります。

既存のモデルはHigh止まりだと明記されている

比較の記述もあります。

Previous models, including GPT‑5.6‑Sol, have been evaluated for frontier cyber capabilities and assessed at the High (rather than Critical) threshold.

GPT-5.6 Solを含む従来のモデルは、High（Criticalではなく）と評価されている。

補足を1つ。この引用の「GPT‑5.6‑Sol」のハイフンは通常のものではなく、改行を防ぐ特殊なハイフンです。普通のハイフンで検索すると0件になります。

そして前日にあたる8月6日、ChatGPT向けに公開されたSolとLunaの8月版アップデートについて、OpenAIは別文書でこう評価しています。「we treat both updated models as High capability in Cybersecurity, but below Critical.」

いま出荷されているモデルは、Criticalの下にあります。

7月の事件との関係も明記されている

もう1つ、重要な一文があります。

Astra is an upcoming model, and was not involved in exploiting Hugging Face.

Astraは今後登場するモデルであり、Hugging Faceの攻略には関与していない。

2026年7月に、OpenAIの社内モデルがHugging Faceのセキュリティ事案に関わったことが公表されています。今回の件をそれと地続きに書くと、OpenAI自身の明示的な否定と衝突します。

措置は5つ。ただし完了していると書かれたのは監視だけ

取られた措置を確認します。ここも読み方に注意が要ります。

箇条書きは5項目。時制が揃っていない

箇条書きを導く文はこうです。

Internally, we have also taken the following steps so that further development of this model happens safely and securely:

社内では、このモデルのさらなる開発が安全かつセキュアに行われるよう、以下の手順も踏んでいる。

そして5項目が並びます。

#	内容	時制
1	高能力モデル向けの厳格なセキュリティ統制（隔離テスト環境、ネットワークとツールのアクセス制限、モデル重みの保護と暗号化強化、監視と検知の追加、サンドボックス実行）	We are implementing
2	強化要件を満たさないAstra関連の社内活動の一時停止	We are pausing
3	全エージェント用途での監視。思考の連鎖を評価し、高リスク活動を中断	We have implemented
4	政府機関および一部のAI安全機関との能力テスト	We will
5	第三者テストパートナーへの推奨セキュリティ統制の提供	We will

時制が揃っていません。完了していると書かれているのは3番の監視だけで、1番は導入途上、4番と5番は未来形です。

「5つの措置を実施した」と一括りにすると不正確になります。

箇条書きの外に、6つ目の措置がある

箇条書きの直前の段落に、独立した文があります。

Accordingly, we have scaled up robustness testing of our safeguards and security controls so that they are appropriate for a deployment of these capabilities.

セーフガードとセキュリティ統制の堅牢性テストを拡大した、と。

この文は本文で唯一 deployment（展開）に触れています。措置を数えるとき、ここを落とすともったいない箇所です。

監視はChatGPT利用者の会話の話ではない

3番の監視について、誤読されやすいので補足します。

We have implemented universal monitoring for risky actions and misalignment across all agentic applications of Astra, including training and evaluation. Monitors evaluate the model’s Chain of Thought and trigger a security response to review and interrupt high risk activity.

対象はAstraの全エージェント用途で、学習と評価を含みます。監視するのはモデルの思考の連鎖で、リスクのある行動とミスアラインメントの2つを検知し、セキュリティ対応を発動して高リスクの活動を中断します。

これはOpenAI社内の仕組みです。ChatGPTの利用者の会話が新たに監視されるという話ではありません。

Preparedness Framework は、判定前の段階も用意していた

指針の構造を、もう少し詳しく見ます。

HighとCriticalで、措置の性格が違う

同じ表のサイバーセキュリティの行で、High水準の措置は4項目でした。

• Require security controls meeting High standard
• Require safeguards against misuse meeting High standard for external deployment
• Require safeguards meeting High standard against misalignment for large-scale internal deployment
• Contribute towards improved cyberdefense policies and tools for cyberdefense

Highは「安全策を備えたうえで展開する」構造です。外部展開と大規模な内部展開に条件を付けています。

対してCriticalは「基準を特定するまで、それ以上の開発を停止する」。開発の段階そのものにかかります。

指針の2.2節がこの違いを説明しています。Highについては「before they are deployed and appropriate security controls as they are developed」、Criticalについては「Critical capabilities require safeguards even during the development of the covered system, irrespective of deployment plans」。

判定前の段階を扱う条項が2つある

判定が下される前の段階について、指針は2か所で触れています。

第4章の柱書はこうです。

If a covered system appears likely to cross a capability threshold, we will start to work on safeguards … even if a formal capability determination has not yet been made

しきい値を越えそうに見える場合、正式な能力判定が下されていなくても、安全策の作業に着手する。

そして4.4節が、先に引いた「到達した、または到達すると予測される」モデルへの追加的安全策を定めています。

どちらも halt ではありません。作業への着手と、開発中の追加的安全策です。

さらに4.4節は「The SAG retains discretion over when to request deep dive evaluations of models whose scalable evaluations indicate that they may possess or may be nearing critical capability thresholds」と、Critical接近段階の扱いを安全委員会の裁量に委ねています。

つまり判定前の段階は、裁量の領域として設計されています。

「開発を止める」の解除条件は、基準を書くことだった

もう1つ、条文の読み方で気づいたことがあります。

現在完了と仮定法が示していること

halt further development の前に置かれた条件節を、もう一度見ます。

Until we have specified safeguards and security controls standards that would meet a Critical standard, halt further development

we have specified は現在完了で、specify は「特定する」「明文化する」です。その目的語は「安全策およびセキュリティ統制の基準」。関係節の that would meet a Critical standard はその基準にかかります。

つまり解除に必要なのは、Critical水準を満たすであろう基準を特定したことです。基準を満たす安全策を実装し、有効性を検証し終えたこと、ではありません。

仮定法の would も同じ方向を指しています。実在する安全策ではなく、想定上の基準を語る言い方です。

この違いが、今回のAstraのケースで効く

なぜこれが重要か。OpenAIが8月7日に列挙した措置の中に、こういう表現があるからです。

these strengthened security control requirements

強化されたセキュリティ統制の要件。

文言のうえでは、これは指針が言う「基準の特定」に該当しうるものです。

基準を書き下ろした時点で、停止は解ける構造になっています。

念のため書いておくと、これは規定の抜け穴を突いたという話ではありません。今回は判定が下されていないので、そもそも halt が発動する場面にありません。ここで確認しているのは、仮に発動したとしても解除条件が「実装の完了」ではない、という条文の設計です。

「Criticalに達したら開発を止める」という要約は、この条件節を落としています。

「Critical到達前に改訂する」という見込みは履行されていない

指針の4.4節には、もう1つ気になる一文があります。

「we expect to」という言い方

全文はこうです。

We do not currently possess any models that have Critical levels of capability, and we expect to further update this Preparedness Framework before reaching such a level with any model.

現時点でCritical水準の能力を持つモデルはなく、いずれかのモデルがその水準に達する前に、この指針をさらに更新する見込みである。

助動詞に注目してください。指針は約束を述べる箇所で we will や we commit to を使っています。この箇所だけが we expect to です。

拘束的な約束ではなく、見込みの表明です。

2026年8月時点で、改訂されていない

そして今日時点の状況を確認しました。

Preparedness Frameworkはv2（2025年4月15日最終更新）のままです。8月7日の記事が本文からリンクしているPDFも、同じv2でした。

つまり「Criticalに達する前に更新する見込み」と書かれた指針が、更新されないまま、Criticalの可能性に直面したことになります。

もっとも、OpenAI側には言い分の余地があります。「達した」とは言っておらず「否定できない」に留めているので、4.4節が言う before reaching such a level の段階はまだ来ていない、という読み方です。

その読み方は成り立ちます。ただし4.4節の前半は「We do not currently possess any models that have Critical levels of capability」と現状を断定しており、そこは今の状況と噛み合わなくなっています。

Anthropicは定義を撤廃し、Google DeepMindは語を消した

他社の枠組みも確認しました。ここが今回いちばん意外だった部分です。

Anthropicは一方的な停止から離れていた

Anthropicの現行版は「Responsible Scaling Policy Version 3.0」（2026年2月24日発効）です。19ページのPDFを取得して全文を走査しました。

結果は次のとおりです。

語	出現回数
ASL-4	0件
ASL-5	0件
halt	0件
cease	0件
stop	0件

ASL-4とASL-5の定義自体が撤廃されています。

paus を含む語は全文で1回だけ出てきますが、それは一方的な停止を採らない理由の説明でした。1社だけが安全対策のために開発を止めても、他社が続ければ世界はかえって危険になりうる、という趣旨です。

Anthropicが実際に安全水準を引き上げたのは、2025年5月22日のASL-3が唯一です。ただしASL-3はOpenAIのHigh相当で、Criticalとは階層が一段違います。

Google DeepMindも語が消えていた

Google DeepMindの現行版は「Frontier Safety Framework Version 3.1」（2026年4月17日公開）です。20ページのPDFを走査しました。

pause、halt、cease、stop、suspend、on hold の出現はすべて0件でした。

過去のバージョンには「適切な緩和策が整うまで、さらなる展開または開発を保留しうる」という条件付きの条項がありました。v3.0以降で消えています。

現行版はさらに踏み込んでいて、悪用系のしきい値に到達したモデルについて、展開時の緩和策の要求は「外部展開についてのみ要求し、内部展開およびさらなる開発には要求しない」と明記しています。

3社の現行版を並べると見えること

整理するとこうなります。

企業	現行版	「止める」規定
OpenAI	Preparedness Framework v2（2025年4月15日）	3領域のCritical行に halt further development
Anthropic	Responsible Scaling Policy v3.0（2026年2月24日）	なし。ASL-4・ASL-5の定義も撤廃
Google DeepMind	Frontier Safety Framework v3.1（2026年4月17日）	なし。v3.0以降で語が消滅

「止める」条項を残しているのはOpenAIだけです。そしてその条項は、判定に紐づいていて、今回も発動しませんでした。

「初」と書けるもの、書けないもの。OpenAI自身は使っていない

「初めて」という語を使う前に、範囲を確定させました。

8月7日の本文に「初」の主張はない

まず確認しておくと、8月7日の記事本文に「初」を主張する記述はありません。

first は1件だけあり、「We first published our Preparedness Framework in December 2023」というフレームワークの初回公表時期の記述です。unprecedented も1件ありますが、これは攻撃側の速度と規模を形容する語で、Criticalの話ではありません。

初かどうかを、台帳にして分ける

書けるものと書けないものを分けます。

初と書けるもの

• OpenAIが自社モデルについて、Criticalのしきい値を否定できないと公表したのは今回が初。OpenAI自身が「Previous models, including GPT-5.6-Sol … assessed at the High (rather than Critical) threshold」と書いており、これが根拠になります

初ではないもの

• 「決定的な証拠はないが排除できないので予防的に扱う」という論法。初出は2025年7月17日のChatGPT agentのシステムカードで、生物・化学の領域です
• サイバー領域でのHigh扱い。2026年2月5日のGPT-5.3-Codexのシステムカードが「This is the first launch we are treating as High capability in the Cybersecurity domain」と自認しています
• 安全水準の引き上げそのもの。Anthropicが2025年5月22日にASL-3を発動済みです

「業界初」と書けるかについては、後で触れるAxiosの記述の扱いに関わります。

OpenAIが言ったこと、Axiosが書いたこと、当局者が語ったこと

この件は、出所を分けないと必ず混ざります。三層に分けて整理します。

第1層：OpenAIが自ら書いたこと

公式ブログにあるのは次の範囲です。

• Preparedness Framework上、Criticalなサイバー能力を否定できない
• 評価は暫定的（preliminary）で、継続中
• 強化した要件を満たさないAstra関連の社内活動を一時停止している
• 5つの措置と、堅牢性テストの拡大

リリース時期には一切触れていません。本文を走査すると release、delay、slow、postpone はいずれも0件でした。

第2層：Axiosが書いたこと

Axiosは2026年8月7日に「Exclusive: OpenAI slows release of Astra model citing cyber capabilities」という記事を出しています。記者はIna Fried、Madison Mills、Sam Sabin、Maria Curiの4名連名です。

この記事の分析部分に、次の一文があります。

This could be the first time a frontier AI lab has committed to slowing progress on one of their own AI models due to cyber concerns.

could be です。断定していません。「Axiosが業界初と報じた」と書くと、原文より強くなります。

なお同じ発表を扱ったBloombergの見出しは「OpenAI Pauses Some Work on New Astra Model Over Cyber Concerns」（記者はSeth Fiegerman）で、Some Work と限定しています。OpenAIの原文により忠実なのはこちらです。

検索結果に「OpenAI Pauses Astra AI Model Development」という見出しが出ることがありますが、これはBloombergの実際の見出しではありません。引用すると誤報になります。

第3層：匿名の当局者が語ったこと

Axiosの記事には、ホワイトハウス当局者の談話も載っています。

“OpenAI voluntarily informed the administration of their plans to delay the release,” a White House official said.

リリース延期の計画を政権に自主的に伝えた、と。ただし発言者は匿名の当局者で、OpenAIの発表ではありません。

もう1つ混ざりやすいものがあります。Black Hatの講演で、OpenAIの技術スタッフが「consciously slowing down research to enhance security」と述べたという報道です。これはAxiosが8月6日に別記事（記者はSam Sabin）で報じたもので、7月のHugging Face事案を起こした社内リサーチモデルを含む研究全般についての発言です。Astra個別の判断ではありません。

日本語の見出しは2種類出た。日経とITmediaで違う

日本語の報道も確認しました。

同じ発表から、違う見出しが出ている

2026年8月8日の午前中に、複数の日本語媒体が報じています。見出しを並べます。

媒体	公開	見出しの該当部分
日本経済新聞	8月8日 5:52	次世代AI「アストラ」の開発停止
ITmedia NEWS	8月8日 7:11	次期モデル「Astra」の一部開発を停止

OpenAIの原文は「強化されたセキュリティ統制の要件をまだ満たしていない、Astraに関わる社内活動」の一時停止です。

ITmediaの「一部」は、この限定を残しています。本文でも「要件をまだ満たしていないAstra関連の社内活動は一時停止した」と訳出されていました。

日経の見出しからは限定が落ちています。ただし日経も本文では停止に言及しており、無料公開部分の範囲では原文と大きく食い違う記述は見当たりませんでした。有料部分は確認できていません。

日経の一文で、私が誤読しかけたこと

日経の記事に「7月に発覚したような開発中のAIの『暴走』を防ぐ」という趣旨の一文があります。

最初これを見て、「OpenAIはAstraがHugging Face事案に関与していないと明記しているのに、結びつけている」と書こうとしました。

これは私の誤読でした。日経は「7月に発覚したような」と類比で書いており、Astraが7月の事件を起こしたとは主張していません。指摘するほうが間違いになります。

なお海外の媒体にも日付の誤りがありました。Investing.comの英語原記事が発表を “said Thursday” としていますが、配信のタイムスタンプは金曜です。日本語版はその自動翻訳なので、日本語版固有の問題ではありません。

Criticalで止める約束は、まだ一度も試されていない

ここまで確認してきて、1つの構造が見えます。

「最上位に達したら開発を止める」という条項は、実在します。ただし発動には判定が要ります。そしてその判定は、まだ一度も下されていません。

今回、OpenAIは判定を下しませんでした。「否定できない」に留め、判定前の段階に用意された措置を取りました。指針の設計どおりです。

そして指針自身が、4.4節でこう書いていました。Critical水準に達する前に、この指針をさらに更新する見込みである、と。助動詞は we will ではなく we expect to でした。

その見込みは、今日時点では履行されていません。指針はv2のままです。

他社を見ると、状況はもう少しはっきりします。Anthropicは最上位の定義そのものを撤廃し、一方的な停止を採らない理由まで書き添えました。Google DeepMindは「止める」に相当する語を全文から消し、最上位に達しても内部開発には緩和策を求めないと明記しています。

「危なくなったら止める」という約束は、業界のどこにも作動する形では残っていない、というのが今日確認できたことです。

批判として書いているのではありません。Anthropicが挙げた理由には筋が通っています。1社だけが止めても、他社が続けるなら世界は安全にならない。むしろ安全を重視する側が後退するだけかもしれない。

ただ、そうであれば「止める」という条項は、何のために置かれているのか。この問いは残ります。

最後に、自分の作業についても書いておきます。

私はこの件を「規定違反ではないか」という疑いから読み始めました。PDFを開き、表の座標まで確認して、疑いは外れました。指針は判定前と判定後で措置を分けており、OpenAIは判定前の側にいた。

その疑いが外れたことが、いちばんの収穫でした。規定違反という話にしていたら、条文の設計そのものには目が向かなかったと思います。

まとめ：Astraと「否定できない」をめぐる7つの要点

最後に、この記事で確認したことを整理します。

1. OpenAIが書いたのは「否定できない」だった。cannot rule out が2件、has reached は0件です。しかも評価は暫定的で、継続中だと明記されています。

2. 止まったのは開発全体ではない。「強化されたセキュリティ統制の要件をまだ満たしていない、Astraに関わる社内活動」の一時停止です。同じ段落は、開発が続く前提で書かれています。

3. 「開発を止める」規定は判定に紐づいている。安全委員会の措置発動は「しきい値を越えたという判定」に結びついており、判定前の段階には及びません。今回は判定が下されていないので、規定違反ではありません。

4. 指針は判定前も用意していた。「到達した、または到達すると予測される」モデルには開発中の追加的安全策を求める、という条項があります。OpenAIが取った措置はこれに沿っています。

5. 停止の解除条件は、実装完了ではない。「Critical水準を満たすであろう基準を特定するまで」であり、安全策を実装し検証し終えることは求められていません。

6. 「Critical到達前に更新する見込み」は履行されていない。指針はv2（2025年4月15日）のままです。しかもこの箇所だけ、約束を表す we will ではなく we expect to が使われています。

7. 他社は「止める」を残していない。AnthropicはASL-4・ASL-5の定義を撤廃し、Google DeepMindは該当する語が全文から消えています。条項を残しているのはOpenAIだけで、それも発動していません。

いま使っているChatGPTのモデルには、今回の件による変更はありません。GPT-5.6のSolとLunaは、前日の評価で「High、ただしCriticalの下」と判定されています。

止める約束が本当に作動するのかは、まだ誰も見ていません。あなたはこの約束を、どのくらい当てにできると思いますか。

よくある質問（FAQ）

Q1. AIがゼロデイを見つけて実際に攻撃したのですか。

いいえ。今回の発表は未公開モデルの社内評価についてのもので、攻撃事案の報告ではありません。ゼロデイという語が出てくるのは、Preparedness FrameworkがCriticalのしきい値を定義する条件文の中だけです。「多数の堅牢化された実世界の重要システムに対して、あらゆる深刻度の実用的なゼロデイを人の介在なしに特定・開発できる、または、高レベルの目標だけを与えられて堅牢化された標的への新規のエンドツーエンド攻撃戦略を立案・実行できる」という2つの枝からなる定義です。Astraがこれを実行したという記述はどこにもありません。

Q2. いま使っているChatGPTに影響はありますか。

今回の発表に、既存モデルの提供を変更する記述はありません。対象のAstraは「one of our upcoming models」と書かれた未公開のモデルです。むしろ前日の8月6日、ChatGPT向けに公開されたGPT-5.6 SolとLunaの8月版アップデートについて、OpenAIは別文書で「サイバーセキュリティでHigh capability、ただしCriticalの下」と評価しています。なお今回導入された監視はOpenAI社内の仕組みで、ChatGPT利用者の会話が新たに監視されるという話ではありません。

Q3. 「開発停止」と報じられていましたが、どちらが正しいのですか。

OpenAIの原文は「強化されたセキュリティ統制の要件をまだ満たしていない、Astraに関わる社内活動を一時停止している」です。開発全体の停止ではありません。日本語の見出しでは、日本経済新聞が「開発停止」、ITmedia NEWSが「一部開発を停止」と、限定の有無が分かれました。Bloombergの英語見出しも「Pauses Some Work」と限定を残しています。原文に近いのは「一部」を含む表記のほうです。

筆者より

この記事は、疑いが外れた過程をそのまま書いたものになりました。

最初は「安全指針は開発停止を求めているのに、していない」という話を書くつもりでいました。指針のPDFに halt further development があることは確認できていたので、あとは書くだけだと思っていたのです。

念のため検証をもう一度回したところ、規定の射程が違いました。あの条項が発動するのは判定が下された後で、今回は判定されていない。そして判定前の段階には、別の条項が用意されていた。

OpenAIは規定どおりに動いていました。

もう1つ、PDFの読み方でも危ないところがありました。表をテキスト抽出すると、行の順序が見た目と一致しないことがあります。実際、一般的な設定では、この文言が別の行の措置のように出力されました。座標を取って画像で確認するまで、取り違えていた可能性があります。

日本語報道についても1つ誤読しかけました。日経の「7月に発覚したような」という一文を、Astraと7月の事件を結びつけたものだと読んで、指摘しようとしていました。「ような」という類比の語を見落としていたわけです。他媒体の不正確さを指摘する記事で、自分が不正確になるところでした。

一次情報を開くことと、自分の結論を疑うことは別の作業です。今回もそれを確認することになりました。

参考資料

• OpenAI「Responding to the next frontier of critical cyber capabilities」（米国時間2026年8月7日、日本時間8月8日、Securityカテゴリ、組織名義）
• OpenAI「Preparedness Framework」Version 2（2025年4月15日最終更新、22ページ、PDF）
• OpenAI「GPT-5.6 – August Updates」システムカード追補（2026年8月6日、PDF）
• OpenAI「GPT-5.3-Codex System Card」（2026年2月5日）
• OpenAI「ChatGPT agent System Card」（2025年7月17日）
• OpenAI「Preparing for future AI capabilities in biology」（2025年6月18日）
• OpenAI「OpenAI and Hugging Face partner to address security incident during model evaluation」（2026年7月21日）
• OpenAI「Third-party cyber evaluations involving OpenAI models」（米国時間2026年8月4日）
• Anthropic「Responsible Scaling Policy」Version 3.0（2026年2月24日発効、19ページ、PDF）
• Google DeepMind「Frontier Safety Framework」Version 3.1（2026年4月17日公開、20ページ、PDF）
• Axios「Exclusive: OpenAI slows release of Astra model citing cyber capabilities」（2026年8月7日、Ina Fried・Madison Mills・Sam Sabin・Maria Curi）
• Axios「How OpenAI’s agents broke out of testing to hack Hugging Face」（2026年8月6日、Sam Sabin）
• Bloomberg「OpenAI Pauses Some Work on New Astra Model Over Cyber Concerns」（2026年8月7日、Seth Fiegerman）
• 日本経済新聞「OpenAI、次世代AI『アストラ』の開発停止 サイバー攻撃能力を懸念」（2026年8月8日 5:52、シリコンバレー＝伴正春、会員限定記事のため無料公開部分のみ確認）
• ITmedia NEWS「OpenAI、次期モデル『Astra』の一部開発を停止 『Critical』級サイバー能力の可能性否定できず」（2026年8月8日 7:11）

※本記事の内容は2026年8月8日時点の公開情報に基づいています。OpenAIの評価は本人が「preliminary（暫定）」かつ継続中と明記しており、今後の判定によって状況が変わる可能性があります。Preparedness Frameworkの条文は、PDFの座標抽出とページのレンダリング画像で行と列の対応を確認したうえで引用していますが、抽出方法によっては別の行の記述に見えることがあります。日本経済新聞の記事は会員限定のため、有料部分は確認できていません。
※本記事について、事実関係の誤りや最新情報の追加などお気づきの点がございましたら、ぜひコメント欄でお知らせください。