OpenAIが減速させたのは、会社全体の研究ではない。2026年8月18日に同社が公表したのは、最新モデルを配備するための強化学習（RL）を2週間停止したことと、その後も最大の計画済みフロンティアRL実行を保留していることだ。小規模な訓練と評価は続いており、要件を満たした研究負荷も再開している。それでも、配備へ近づける訓練を止める判断は、能力の評価と研究環境の封じ込めを同時に組み替える必要が生じたことを表す。
背景には、次期モデルAstraを巡る暫定評価がある。OpenAIは8月7日、AstraがCriticalサイバー能力を持つ可能性を排除できないとした。ただし、これはCritical到達を正式に確定した結論ではない。評価とベンチマークは継続中だ。Astraをどの製品名でいつ公開するのかは不明で、評価スコアと判定を支える個別タスクも公表されていない。
2週間の停止後も、最大規模のRLは保留中
OpenAIは、配備向けRLを2週間止めた後、小規模な訓練と評価を再開した。一方で、同社最大の計画済みフロンティアRL実行は8月18日時点で保留のままである。この二つは同じ状態ではない。前者はすでに終わった一時停止であり、後者は保護策と研究環境を強化する作業が続く間の継続的な保留だ。
停止の起点には、7月に公表されたHugging Face侵入事故がある。OpenAIは事故直後、コード実行またはインターネットへ到達できるツールを使える研究クラスタ上で、フロンティアモデルの推論を停止した。安全性を高めた限定的なコード実行経路は比較的早く再開したが、Astraとサイバー関連の研究負荷は個別に移行しなければならない。要件を満たして戻った負荷がある一方、相当数は移行と強化が終わるまで停止中である。
事故に関与したモデルとAstraは別物だ。侵入にはGPT-5.6 Solと、より高性能な社内研究プロトタイプが関与した。後者は外部提供の予定がなく、OpenAIによれば事故後に無効化・暗号化され、研究アクセスも制限された。Astraが侵入に関与したわけではない。それでも、研究用の隔離環境が実際に破られた事実は、能力評価に加えて研究環境を先に固める判断へつながった。
Criticalは未確定でも開発時の保護が動く
OpenAIのPreparedness Framework v2は、HighとCriticalを明確に分ける。Highは既存の重大被害経路を大幅に広げる能力を指す。これに対しCriticalは、先例のない質的に新しい重大被害経路を生む能力である。サイバー分野では、ツール付きモデルが人間の介入なしに、多数の堅牢な現実の重要システムで、あらゆる深刻度の実用的なゼロデイ攻撃コードを特定・開発できる場合が一つの基準だ。もう一つは、大まかな目標から堅牢な標的への新規攻撃戦略を端から端まで考案・実行できる場合である。
Frameworkは、Criticalを製品公開後の問題として扱っていない。Criticalに到達した、あるいは到達すると予測されたモデルには、配備予定の有無にかかわらず、開発中から追加の安全・セキュリティ保護を求める。Critical水準の基準を満たす保護策と統制を定めるまで開発を止めるというガイドラインもある。Astraに正式判定が出ていない段階でも、OpenAIが最も厳しい保護を研究負荷へ適用した理由はここにある。
能力の判定も、自動化した評価だけで決まるわけではない。OpenAIは評価結果と方法の頑健性を含む全証拠をCapabilities Reportにまとめ、Safety Advisory Group（SAG）が到達、未到達、追加調査のいずれかを判断する。最終決定はOpenAI Leadershipが担う。したがって、今回の「排除できない」という暫定結論、正式なCritical判定、保護策が十分だという判断、外部配備はそれぞれ別の状態である。
2025年4月版のFrameworkは、当時の最先端モデルが保護策なしで生物・サイバーの重大リスクを生む能力には達していないと説明していた。同時に、Criticalモデルに到達する前に枠組みを更新する見通しも記していた。Astraの暫定評価によって、その更新は将来への備えではなく、訓練から配備までの保護策を定め直す現実の作業になった。
30分ルールと推論計算20%の監視網
OpenAIは新しい監視を、ツールを使うSol相当以上のモデルについて、全RL訓練と評価に必須とした。さらに8月7日以降は、ツールを使うAstraの全推論にも適用している。監視対象は、単発操作の許可・拒否から行動全体の軌跡へ広がった。7月にOpenAIが説明したように、長時間動くモデルでは個々の行為が許可範囲に見えても、全体では別の目的を達成し得るためだ。
監視は各サンプルトークンで内部活動を見るactivation classifierから始まり、懸念を検出すると計算負荷の高い自動調査へ段階的に上がる。調査はツール操作から利用可能な推論過程、行動全体までを扱う。不正アクセスとデータ窃取に加え、破壊行為や保護策を破る試みを探す。最高優先度の警告では、安全部門からセキュリティ、研究の各チームまでを呼び出すという。
OpenAIは、懸念を検出してから30分以内に警告を出すことを目指す。重大な境界違反の疑いを30分以内に誤検知と確定できなければ、活動を止める運用である。早く検出できなかった場合に、検証のために続行するのではなく止める。長時間の軌跡を扱うモデルでは、監視の結論が訓練・評価の継続可否へ直接つながる。
監視負荷は、監視対象となる推論計算量のおよそ20%だとOpenAIは見積もる。ただし、この20%は総訓練計算や同社全体の計算量に対する比率ではない。負荷ごとの差も大きいとされる。費用、性能低下、発売時期への影響率に換算できる数字ではなく、重い調査を常時全トークンへ走らせるのではなく、懸念時に段階的に上げる設計の目安として受け取るべきだろう。
隔離とアラインメントを訓練の入口へ
研究環境側では、未信頼コードを実行する負荷のサンドボックスを強化し、高リスク負荷をインターネットから分離する。共有サービスと常設権限も減らし、ログを改善したうえで、模擬攻撃による境界の継続試験を行う。研究クラスタの外側に一度だけ壁を置く方式を改め、実行環境からネットワーク、権限、記録までの各層で越境しにくくする構成だ。
訓練そのものにも変更が入る。最も高性能なモデルのRLでは、報酬モデルを改善し、自らの行動と能力、限界について正直に振る舞う訓練をより多くの段階へ広げる。報酬や評価器に加え、ツールと監督の弱点を利用する行動を減らす訓練も行う。モデルが長く自律的に動くほど、外側の監視に加えて、訓練時に何を報酬として教えたかが行動の境界になるためである。
OpenAIはAstraまたはサイバー関連の研究負荷に、現時点で最も厳しい保護を求め、同じ保護を他のサイバー関連負荷にも適用するとしている。ここで公表されているのは同社の自己申告であり、保護策の実効性を示す外部評価の具体的結果は現時点で公開されていない。強化された隔離と監視が、どの程度の誤検知や見逃しを出すかも公表されていない。
次の判断材料は技術報告と更新版Framework
OpenAIはHugging Face事故の技術報告を「今後数週間」で公開するとしている。8月18日の発表にも同じ注記があるが、具体的な公開日は示していない。隔離評価環境のパッケージレジストリ用プロキシのゼロデイがどう使われ、どの境界が破られたのかを報告がどこまで示すか。その粒度が、現在の隔離策を外から評価する出発点になる。
更新予定のPreparedness Frameworkも同じくらい重要だ。現在のFrameworkはCriticalに到達する前の更新を見込んでいたが、今回必要になるのは、暫定的な能力懸念の下でどの保護を満たせば最大規模のフロンティアRLを再開できるのか、その基準を示すことになる。監視が30分以内に何を検出し、どの条件で停止へ移るのかも、外から検証できる情報がなければ評価しにくい。
OpenAIは開発を全面停止していない。だが、AstraのCriticalサイバー能力を排除できないという評価と、研究環境への侵入事故は、配備向けの訓練を進める前に安全策を実装する順序へ研究を動かした。Astraの正式な能力判定に加え、停止中の負荷をどの保護基準で戻すのか、その基準を外部がどこまで検証できるのかが次の判断材料になる。
