OpenAIが8月7日、公開前のモデルAstraについて「criticalな水準のサイバー能力を排除できない」という結論を出したと発表した。同社の枠組みでこの段が使われたのは初めてだ。そして同じ発表のなかで、このモデルを一部に絞らず広く提供すると言っている。強い道具が個人の手元に届く速さを、作った側が意図的には落としていない、という話だ。
「危険だと断定した」わけではない
語を正確にしたい。OpenAIが言ったのは「Astraはcriticalだ」ではない。直近数日の内部評価と外部の専門家の見立てから、「criticalな能力を排除できない」と結論した、という言い方だ。評価は今も続いていて、現時点の結果は暫定だと同社自身が書いている。
その水準の定義は具体的だ。堅牢に守られた現実の重要システムの多くに対して、人間の介入なしに、あらゆる深刻度のゼロデイ攻撃コードを見つけて組み立てられること。あるいは、大まかな目的を与えられただけで、堅牢な標的への新しい攻撃を最初から最後まで自分で設計して実行できること。GPT-5.6-Solを含むこれまでのモデルは、ひとつ下のHighと評価されてきた。
もうひとつ補っておく。Astraはまだ公開されていないモデルで、先日のHugging Faceの一件には関与していないと明記されている。すでに何かが起きたという話ではない。
内側を締めて、外側を開く
危険が疑われる道具をどうするか。反射的に出てくる答えは「絞る」だろう。OpenAIは同じ発表のなかで逆を言った。広く使えるようにする、そして高度なサイバー能力を守る側の手に渡す、と。アルトマンCEOの投稿はもっと直截で、強力なモデルを選ばれた少数の手元に置いておくのはいい戦略だとは思わない、と書いている。
一方、内側はきちんと締めている。強化した管理要件をまだ満たさない社内の作業は止める。隔離した試験環境、ネットワークとツールの利用制限、モデルの重みの保護と暗号化、実行の隔離。Astraを使うすべての自律的な処理には、思考の過程を監視して危ない挙動を止める仕組みを入れた。政府機関や安全性の団体と組んで能力を検証するとも書いている。
締めることと開くことは、順番として説明されている。安全に配れる状態を先に作り、そのうえで配る。アルトマン氏は、サイバー能力を考えると安全にやるにはもう少し時間が要る、そう長くはならないといい、と書いた。時期は示されていない。
「守る側に渡る」は、一人の手元で何になるか
広く配ることが防御になるという論は、守る側がその道具を使えることを前提にしている。個人にとっては、ここがいちばん薄い。
攻める側は穴がひとつ見つかれば足りる。守る側は全部を塞がないといけない。この非対称は、同じ性能の道具を両方が持っても消えない。そして企業にとっての「防御にAIを使う」——自社のコードを走査する、警告の山を選り分ける、侵入の痕跡を追う——は、ノートパソコンと家のルーターといくつかのアカウントで暮らしている一人には、そのままの形では降りてこない。
分かっていないことも多い。提供の時期は示されていない。「広く」がどこまでを指すのか、開発者向けなのか誰でも使えるのか、どんな条件が付くのかも書かれていない。そもそもAstraが本当にその水準に届くのかどうかが、まだ評価の途中だ。
だから今日、手元で変わることは何もない。
待っている時間の使い道
来るまでに何ができるかと考えると、道はひとつではない。
届いたら自分で使う側に回る、という構えがある。その場合に効いてくるのは性能そのものより、自分が何を守りたいのかがはっきりしていることだ。守る対象を数え上げていなければ、強い道具が来ても向ける先がない。
自分では使わない、という選択もある。防御は製品やサービスの側に任せて、任せた先が同じ能力を取り込むのを待つ。手間はかからないが、いつ届くかを自分では決められない。
守る面積そのものを減らす、という方向もある。持っているアカウントの数、置いてあるデータの量、外から触れる機器の数。攻撃側の能力が上がるという話は、面積が広い人ほど強く効く。ただし減らすのは地味に重い作業で、しかも減らした分だけ何かが不便になる。
どれも、いま決めなくても困らない。ただ、決めないまま道具が届いたとき、それは「まだ考えていない」ではなく「使わない」という結果になる。あなたがいま守りたいものは、何と何だろうか？
