AIモデルの公開を止める「サイバー能力評価」とは｜2026年8月12日版
次世代AIモデルでは、回答精度やコーディング性能だけでなく、脆弱性の発見から複数工程の攻撃まで自律的に進められるかが公開判断を左右し始めています。
Axiosは8月7日、OpenAIが開発中のモデル「Astra」について、重大なサイバー能力を否定できないとして、安全性評価を拡大していると報じました。重要なのはモデル名ではありません。性能向上を測る試験が、そのまま「一般公開してよいか」を決めるゲートになりつつある点です。
- サイバー評価は、知識問題だけでなくツールを使う連続作業を測る
- モデル本体に加え、プロンプトや実行環境も結果を大きく変える
- 高い能力が確認されれば、公開延期やアクセス制限が選択肢になる
- 利用企業にも、モデル更新時の再評価と権限管理が求められる
公開判断を変えたサイバー能力
Axiosによると、OpenAIはAstraの社内評価を受け、セキュリティ対策を強化しながら試験を減速させています。同社は「重大なサイバー能力」を持つ可能性を排除できないと説明したとされています。
ここでいう能力は、危険な質問に詳しく答えられるかだけではありません。AIエージェントが端末やコード実行環境を与えられた状態で、次のような作業をどこまで連続して進められるかが焦点になります。
- ソースコードや設定から弱点の候補を探す
- 脆弱性が成立する条件を検証する
- 複数のツールを選び、途中結果に応じて手順を変える
- 長い作業を中断せず、最終目標まで到達する
英国AI Security Institute（AISI）も、先端モデルのサイバー能力が急速に伸びていると報告しています。同機関の集計では、最先端モデルが「見習いレベル」の課題を完了する平均成功率は、2024年初頭の約10％から50％に上昇しました。2025年には、熟練者向けに分類された課題を解くモデルも初めて確認されています。
単発の正答率ではなく、長い攻撃経路を自律的に進める力が公開リスクを決める段階に入っています。
評価はモデル単体の試験ではない
同じモデルでも、与える道具と実行方法によって能力は変わります。これはAIエージェントの安全性を理解するうえで欠かせない点です。
足場が性能を引き上げる
AISIは、システムプロンプトを調整し、対話的に利用できるツールを増やす「スキャフォールディング」によって、ある先端モデルのサイバー評価結果が約10ポイント改善したと説明しています。
さらに、最適化した構成では、同等の成功率に達するために必要なトークン量が、最適化していない構成の約13％で済みました。つまり、モデルを変更しなくても、周辺ソフトウェアの設計によって能力と実行コストの両方が変わります。
長時間動かすほど見える能力が変わる
エージェント型の評価では、試行回数、利用可能な計算量、ツールへのアクセス範囲も結果を左右します。短時間のベンチマークで失敗したモデルが、十分な実行時間と再試行を与えられると課題を完了する可能性があります。
そのため、公開前評価では少なくとも次の条件を明示する必要があります。
- モデルとシステムプロンプトの版
- 利用できるツール、ネットワーク、認証情報
- 実行時間、試行回数、トークン上限
- 評価環境が現実のシステムから隔離されているか
- 成功判定と、人間による停止条件
ここがポイント: 「このモデルは安全か」だけでは不十分です。「どの権限、道具、実行時間を与えたときに、何が可能になるか」を組み合わせて評価する必要があります。
能力評価と安全対策評価は分ける
サイバー評価には、混同しやすい二つの試験があります。
能力評価
モデルが脆弱性調査、侵入経路の構築、コード生成などを実行できるか測ります。危険な能力を意図的に引き出し、上限を把握する試験です。
安全対策評価
拒否機構、入力・出力の監視、権限管理、利用者確認などが、能力の悪用をどこまで防げるか測ります。モデルが危険な能力を持っていても、対策が十分に機能すれば提供範囲を限定できる可能性があります。
ただし、単に拒否率が高いだけでは判断できません。正当な防御作業を妨げず、悪用につながる操作を止められるかという両面の確認が必要です。AISIも、測定結果を実際の提供判断につなげるには、リスク水準ごとに評価指標と合格基準を定める必要があると指摘しています。
日本の開発者と企業が確認すべきこと
公開延期はモデル提供会社だけの問題ではありません。企業が外部モデルをAPIやエージェント基盤に組み込む場合、モデル更新によって既存の権限設計が急に危険になる可能性があります。
開発者
- エージェントに本番環境の広い権限を直接与えない
- コード実行、外部通信、認証情報の参照を個別に制御する
- モデルやプロンプトを更新したら、同じ攻撃シナリオを再試験する
- 操作履歴を残し、異常時に人間が停止できるようにする
企業の導入担当者
- 提供会社のモデルカードや安全性評価を保存する
- プレビュー版と一般提供版で、利用条件や保証範囲を分ける
- モデル名だけでなく、APIの版と更新日を資産台帳に記録する
- セキュリティ部門がモデル変更を把握できる承認手順を設ける
セキュリティ担当者
AIエージェントを「文章を生成する外部サービス」とだけ捉えるのは危険です。端末操作やクラウド管理APIにつながるエージェントは、権限を持つ自動実行主体として扱う必要があります。
既存の最小権限、ネットワーク分離、監査ログ、秘密情報管理は引き続き有効です。違うのは、AIが状況に応じて操作手順を組み替えるため、固定された処理フローの確認だけでは足りないことです。
継続ウォッチ
次に見るべきなのは、Astraがいつ公開されるかだけではありません。公開判断の基準がどこまで具体化されるかです。
- 「重大なサイバー能力」を判定する技術基準が公開されるか
- 評価をモデル開発会社以外の機関が再現できるか
- 一般公開、限定提供、API提供で安全要件がどう変わるか
- 能力向上後も、監視や拒否機構が実運用で維持されるか
企業側の実務では、次のモデル更新を待たず、現在運用しているAIエージェントの権限を棚卸しすることが先決です。モデルの能力が上がった瞬間に、昨日まで妥当だったアクセス範囲が過剰権限へ変わるからです。