汎用の言語モデルが、ついに「サイバー攻撃能力が危険域に達した」と開発元自身に判定された。2026年9月3日、OpenAI は新しいフラッグシップ GPT-6 Astra を公開し、同社の予防枠組み（Preparedness Framework）で初めて「Critical（危機的）」のサイバー能力ティアに分類されたモデルだと明らかにした（OpenAI／CNBC）。これは単なる新モデルの発表ではない。攻撃にも防御にも使える「二面性のある能力」が、誰でも使える汎用モデルの土台に載ったという転換点だ。
homula はエンタープライズ向けの AIエージェント・インテグレーターとして、この報を「モデル選定の話」ではなく「統制設計の話」として読むべきだと考える。能力の絶対値が上がるほど、それを社内で誰が・どの条件で使えるようにするかという設計が、そのままリスク管理になる。本稿では一次情報をもとに何が起きたかを確認し、企業が今すぐ敷くべき制御点を整理する。
何が起きたか——「既定で無効」という異例の出荷
まず事実関係を押さえる。報道と OpenAI の公表を突き合わせると、輪郭はこうだ。
- 公開日: 2026年9月3日。ChatGPT の Plus / Pro / Business / Enterprise、API、AWS 経由へ「今後数日で」順次展開。ただし審査制のサイバーセキュリティ・プログラム参加企業が最初のアクセス対象になる（CSO Online）。
- 既定で無効: 企業向けでは Astra が既定でオフで、ワークスペース管理者が明示的に有効化しない限り使えない（InfoWorld）。
- 一般性能も最上位: サイバーだけでなく、コンピュータ操作・ソフトウェア開発・科学・専門業務でも最先端だとされる。
「最高性能のモデルなのに、企業では既定でオフ」という出荷形態そのものが、今回のニュースの本質を物語っている。能力が高いこと自体が、そのまま無制限に配ってよい理由にはならなくなった。
「Critical」は何を意味するのか
OpenAI の予防枠組みにおける Critical のサイバー閾値は、次のように定義される——「多くの堅牢化された実世界の重要システムに対し、あらゆる深刻度のゼロデイ脆弱性を人間の介入なしに特定・開発できる」あるいは「高レベルの目標を与えるだけで、堅牢なターゲットへの新規のサイバー攻撃戦略を端から端まで立案・実行できる」水準だ（OpenAI: Path to Astra）。
報道によれば、専門家主導の評価で Astra は運用時の安全策を外した状態なら、堅牢化されたブラウザで任意コード実行に至る未知の脆弱性を突き、堅牢化された OS の権限昇格エクスプロイトを作成できたという（CNBC）。エクスプロイト開発ベンチマークで満点を記録し、テスト中に未知のゼロデイを発見したとの報道もある（The Hacker News）。
「Critical」は将来予測ではなく、いま出荷されているモデルの分類である。ただし上記の攻撃的成果は、いずれも「運用時の安全策を外した評価環境」での結果として報告されている点に注意したい。製品として届く Astra には後述の緩和策が施されている。だからこそ、緩和策を無効化しかねない自社側の設定（過剰な権限付与、無検査のツール接続）が新たな弱点になる。
OpenAI はこの分類に伴い、リリース前だけでなく訓練中から安全策を要求する運用に切り替えたとしている。具体的には、フロンティア訓練を一時停止して防御を作り込み、より厳格な隔離、チェックポイントの暗号化、思考の連鎖（chain of thought）を含む全軌跡の監視、デプロイを止め得るアライメント評価などを導入したという（OpenAI）。
この動きは OpenAI 単独のものではない。Anthropic も責任あるスケーリング方針（RSP、v3.0 は2026年2月24日発効）で ASL のティアと能力閾値を定め、閾値を超えると要求される安全策を強める設計を採る（Anthropic）。「能力ティアが上がると統制が自動で締まる」という考え方が、業界標準になりつつある。
二面性——同じ能力が、守りにも攻めにもなる
企業にとっての本質は、この能力が防御側と攻撃側の双方に効く点にある。実際、同じ週に Tenable は OpenAI と組み、コミュニティ製の AI 部品を配備前に検査する「CyberAgents Exchange AI Inspector」を発表した。OpenAI の GPT サイバーモデルと Tenable One の解析、研究者レビューを組み合わせ、AIエージェント・スキル・MCP サーバー・マルチエージェントのプレイブックを配備前に審査する仕組みだ（Tenable）。防御側は、この能力を「守りの自動化」に使い始めている。
だが同じ能力は、社内のエージェントが乗っ取られた瞬間に攻撃側へ反転する。とくに企業環境では次の経路が現実的なリスクになる。
- プロンプトインジェクション: 外部データやWebページに仕込まれた指示でエージェントが誘導され、強力な推論能力が意図せぬ攻撃行動に転用される。
- 汚染された MCP サーバー / スキル: 素性の不確かなツール接続やスキルを通じて、エージェントの権限が悪用される（シャドーMCPの発見、スキル検査の限界で扱った論点だ）。
- 過剰権限: 共有アカウントや広すぎるスコープで動くエージェントが、能力の高いモデルと結びつくと被害範囲が跳ね上がる（非人間IDと最小権限）。
つまり、モデル側がいくら安全策を積んでも、企業側の設定・接続・権限が緩ければ、Critical 級の能力がそのまま自社の攻撃面になる。守りに使うにせよ、統制の質が結果を分ける。
企業が敷くべき3つの制御点
汎用モデルが能力ティアで管理される時代に、企業側で対応すべき制御点を整理する。
| 制御点 | 何を決めるか | 実装の勘所 |
|---|---|---|
| 能力ティアの有効化統制 | どのモデルを・誰が・どの業務で有効化できるか | 「既定でオフ」を活かし、管理者権限と承認フローで有効化を管理。有効化そのものを監査対象に |
| 部品の配備前検査 | エージェント／スキル／MCPサーバーを入れる前に何を確認するか | 出所・権限要求・外部通信を検査。AI Inspector のような第三者審査や社内レビューを通す |
| 実行時の最小権限と可観測性 | 動いているエージェントが何にアクセスでき、何をしたか | 専用ID・最小スコープ・DLP、そして誰が何を実行したかを残す監査ログ |
最初の「有効化統制」は、今回の出荷形態が企業に与えた実務上のレバーだ。既定でオフである以上、有効化の判断を個人任せにせず、組織の承認・権限設計に組み込むことが第一歩になる。誰が Critical 級モデルを、どの業務で、どのツール接続とともに使えるのか——ここを曖昧にしたまま能力だけを取り込むのが、最も危うい。
homulaの観点——能力ではなく「統制」を導入する
homula はエンタープライズ企業向けの AIエージェント・インテグレーターとして、モデルの能力を追いかけるより、その能力を安全に業務へ載せる統制を設計することに価値の中心を置いている。今回のような能力ティアの引き上げは、まさに統制側の設計力が問われる局面だ。
- Agens Control は、承認フロー・DLP・RBAC・5年分の監査ログを提供する。「どのモデルを誰が有効化できるか」「どのエージェントがどの権限で動くか」を組織のルールとして敷き、有効化と実行を後から追跡できる形にするための土台になる。
- MCP 活用支援では、200以上のツールと構築ゼロで接続できる Agens の利点を活かしつつ、接続先 MCP サーバーの素性・権限・通信を配備前に見極める検査を組み込む。便利さと検査は両立できる。
- AIエージェント・ブートキャンプでは、業務棚卸しからプロトタイプ、ROI試算までを3〜5日で回す中で、「どの業務に、どの能力ティアを、どの制御とともに載せるか」という判断軸そのものを自社に残す。
能力は買えるが、統制は設計しなければ手に入らない。ここが内製化支援の核心だ。
まとめ
GPT-6 Astra が「Critical」の一線を越えたことは、AI 業界にとっての節目であると同時に、企業のガバナンスにとっての実務課題だ。要点は3つ。第一に、能力ティアで管理する考え方が業界標準になり、「既定でオフ・管理者が有効化」という出荷が現れた。第二に、同じ能力が守りにも攻めにも効くため、自社側の設定・接続・権限の緩さがそのまま攻撃面になる。第三に、対応の中心は「能力の導入」ではなく「能力ティアの有効化統制・部品検査・実行時の最小権限」という統制設計にある。
強力なモデルほど、無防備に配るのではなく、統べて配る。それが、能力が上がり続ける時代の企業の勝ち筋だ。
自社で「どのモデルを・誰が・どの業務で有効化するか」を決める仕組みは、能力が上がるほど後回しにできません。統制の設計から一緒に始めましょう。