AIの「Critical」判定とは｜OpenAI Preparedness Frameworkの仕組み、GPT-6 Astraが初到達した意味と、中小企業が備えるべきセキュリティ対応

2026年9月3日、OpenAIはGPT-6 Astraの発表と同時に、このモデルが自社の安全性評価でサイバーセキュリティ分野の最高区分「Critical」に初めて到達したと公表しました。AIの新モデル発表で、性能と同じ重さで「危険性」が語られたのは、これが初めてと言ってよいでしょう。

ニュースを見た経営者や情シス担当者の多くが抱いた疑問は、おそらく次の3つです。「Criticalとは何の基準なのか」「うちの会社が使って大丈夫なのか」「攻撃側にも同じAIが渡るなら、何をすればいいのか」。

この記事では、OpenAIの評価枠組み「Preparedness Framework」の仕組み、HighとCriticalの違い、GPT-6 Astraが指定に至った経緯、Anthropicの枠組みとの比較を整理したうえで、中小企業が今から備えるべき5つの対応をまとめます。モデル自体の解説はGPT-6 Astraとはをご覧ください。

Preparedness Frameworkとは｜OpenAIがAIの危険な能力を測る枠組み

Preparedness Framework（プリペアドネス・フレームワーク）は、OpenAIが新しいモデルを開発・公開する際に、「深刻な被害につながりうる能力」を事前に測定し、必要な安全対策を決めるための社内規程です。2023年末に初版が公開され、2025年4月に第2版へ改訂されました（Preparedness Framework Version 2）。

追跡カテゴリ：常に測る3分野

第2版では、次の3分野を「追跡カテゴリ」として継続的に評価します。

• 生物・化学：生物兵器や化学兵器の開発を助ける能力
• サイバーセキュリティ：システムへの侵入や攻撃を助ける能力
• AIの自己改善：AI自身がAI開発を大幅に加速させる能力

研究カテゴリ：将来に備えて監視する分野

これに加えて、長期的な自律行動、能力を意図的に隠す振る舞い（サンドバッギング）、自己複製、安全対策の回避、核・放射線といった分野は「研究カテゴリ」として、しきい値を定める前段階で監視されています。

判断の仕組み

評価は社内のPreparednessチームが行い、結果を安全諮問グループ（Safety Advisory Group）が審査し、経営陣が最終判断を下します。取締役会の安全・セキュリティ委員会が監督する構造です。つまり、Critical判定は「マーケティング上の表現」ではなく、公開・非公開や開発の継続を左右する社内手続きの結果だということです。

「Critical」判定の意味｜HighとCriticalは何が違うのか

Preparedness Frameworkは、各カテゴリにHighとCriticalの2つのしきい値を設けています。定義の違いは次のとおりです。

• High：既存の「深刻な被害への経路」を増幅しうる能力。しきい値に達したモデルは、公開前に十分な安全対策を講じる必要がある
• Critical：前例のない新しい「深刻な被害への経路」を生み出しうる能力。公開前だけでなく、開発中の段階から安全対策を講じる必要がある

サイバーセキュリティ分野のCriticalは、具体的には次のいずれかを満たす能力とされています（OpenAI - Responding to the next frontier of critical cyber capabilities）。

• 堅牢に守られた多数の実在する重要システムに対して、人の介入なしに、あらゆる深刻度の未知の脆弱性（ゼロデイ）を特定し、動作する攻撃手法を開発できる
• 大まかな目標を与えられただけで、堅牢な標的に対する新しい攻撃戦略を端から端まで立案し、実行できる

HighとCriticalの最大の違いは、「いつから」安全対策が必要になるかです。Highは「出す前に守る」、Criticalは「作っている最中から守る」。Criticalに指定されると、学習環境の隔離、モデルの重み（パラメータ）の暗号化、開発者のアクセス制限、推論過程を含む全行程の監視といった対策が、開発プロセスそのものに組み込まれます。

GPT-6 Astraが初到達した経緯｜7月の事案から9月の公開まで

GPT-6 AstraのCritical指定は、突然の発表ではありませんでした。時系列で整理します。

• 2026年7月：OpenAIのAIエージェントがテスト中に外部の本番サーバへ誤って侵入する事案が発生（当ブログの解説）。OpenAIは次期モデルの公開を延期し、安全対策を追加
• 2026年8月10日：OpenAIが「開発中のモデルがCriticalに達する可能性を否定できない」と予告。隔離環境、ネットワークとツールへのアクセス制限、重みの暗号化、監視強化などを実施し、要件を満たさない活動を一時停止したと公表（Help Net Security）
• 2026年8月下旬：安全対策を整えたうえで大規模な学習を再開したと報じられる
• 2026年9月3日：GPT-6 Astraを発表。サイバー分野のCriticalに正式に指定。米政府の自主的な枠組みに基づく事前レビューを経て公開

公開版には、次のような制限と対策が組み込まれています（OpenAI 安全性の概要、The Hacker News）。

• 攻撃的な要求の拒否：脆弱性の実証コード（PoC）作成などを拒否。用途を安全なコードレビューやパッチ適用に限定
• 審査制の能力開放：高度な防御業務に必要な能力は、審査を通過した組織にのみ提供
• 防御側への投資：重要インフラの防御者を支援する「Daybreak for Frontline Defenders」に10億ドルを投じ、公共部門や水道システムの防御者と先行連携
• 実行中の監視：危険な操作を検知した場合、作業を途中で停止する監視の仕組み

一方で、懸念も報じられています。Astraが採用したとされる新しい推論方式について、AIの思考過程が外から見えにくくなり、監視のしやすさが前世代より低下したという指摘があります（Wikipedia: GPT-6 Astra）。また、研究者からは「各社が懸念に対応するために減速しているようには見えない」という批判も出ています（Al Jazeera）。Critical指定は「安全になった証明」ではなく、「危険な能力があることを認めたうえで対策を講じた」という意味だと理解するのが正確です。

他社の枠組みとの比較｜AnthropicのASLとの違い

AIの危険な能力に応じて安全対策を段階的に引き上げる考え方は、OpenAIに限りません。Anthropicは「責任あるスケーリング方針（Responsible Scaling Policy）」のもと、AI安全性レベル（ASL）という区分を使っています（Anthropic - Responsible Scaling Policy）。

• Anthropic（ASL）：ASL-1からASL-4以上までのレベルでモデル全体を分類。Claude Fable 5はASL-3の安全対策（分類器による防御、審査済み利用者への例外措置、脆弱性報奨金、重みの保護など）のもとで提供。より強力なMythosは審査を通過した組織にのみ提供
• OpenAI（Preparedness Framework）：生物・化学、サイバー、AI自己改善のカテゴリごとにHigh・Criticalを判定。Criticalは開発段階からの対策を要求

区分の付け方は違いますが、両社に共通する構造があります。最上位モデルの攻撃的なサイバー用途を制限し、審査を通過した組織にだけ能力を開放するという点です。AnthropicもClaude Fable 5.1について「脆弱性の発見は許可するが攻撃コードの開発は許可しない」方針を示しています。詳しくはClaude MythosとはとGPT-6 AstraとClaude Fable 5.1の比較をご覧ください。

中小企業にとっての意味｜攻撃側も強くなる「防御の窓」

ここまで読んで「大手AI企業の話で、うちには関係ない」と感じた方もいるかもしれません。しかし、Critical判定が中小企業に突きつけている現実は明確です。

OpenAIは公開版で攻撃的な用途を制限していますが、同等の能力を持つAIが、制限のない形で攻撃者の手に渡る可能性は否定できません。オープンウェイトのモデルの進化、制限の回避、他社・他国のモデルなど、経路はいくつもあります。OpenAI自身が「防御側の窓（defender's window）」という言葉で、攻撃者がAIを使いこなす前に防御を固める時間は限られていると述べています。

中小企業への影響として現実的に想定されるのは、次のような変化です。

• 脆弱性が公表されてから悪用されるまでの時間が短くなる：パッチ適用の遅れが、これまで以上に直接的なリスクになる
• 標的型メールの精度が上がる：自社サイトや求人情報をもとにした、見分けのつきにくいメールが増える
• 「小さいから狙われない」が通用しなくなる：攻撃の自動化が進むほど、規模に関係なく手当たり次第に狙われる

裏を返せば、基本的な防御を確実に実行している企業ほど、相対的に安全になるということでもあります。特別な新技術は必要ありません。既知の対策を、実際にやり切れているかどうかが問われます。

今から備える5つの対応

対応1：脆弱性対応の「速度」を上げる

OSやソフトウェアの更新、ルーターやVPN機器のファームウェア更新を、「気づいたときに」ではなく「公表から何日以内に」という基準で運用します。IPA（情報処理推進機構）が公開する注意喚起を定期的に確認する担当者を決めるだけでも、対応速度は大きく変わります。

対応2：パスキー・多要素認証でパスワード依存を減らす

精度の上がった標的型メールへの最も効果的な対策は、そもそもパスワードを盗まれても意味がない状態にすることです。パスキーによるパスワードレス化で解説した手順で、主要なクラウドサービスから順に切り替えていきます。

対応3：AIエージェントに渡す権限を最小限にする

自社でAIエージェントを使う場合、渡した権限の範囲では人と同じことができてしまいます。専用アカウントの作成、閲覧のみの権限、削除や送金といった取り消しにくい操作の禁止といった設計を、AIエージェントのID管理を参考に整えておきます。

対応4：社内のAI利用ルールを整える

「AIに入力してよいデータの範囲」「セキュリティ関連の作業をAIに任せる場合の確認手順」「AIの出力を鵜呑みにしない検証ルール」を1枚にまとめます。生成AI利用ガイドラインの作り方のひな形に、セキュリティに関する項目を加える形で十分です。

対応5：取引先・クラウドサービスの体制を確認し、事故時の手順を決める

自社が守れていても、取引先やクラウドサービスの侵害を経由して被害を受けることがあります。主要なサービスのセキュリティ体制と連絡窓口を確認し、「誰が」「何時間以内に」「どこへ」報告するかを決めた手順書を用意しておきます。改正個人情報保護法への対応と一体で整備すると効率的です。

まとめ：Critical判定は「危険を認めて対策した」印。企業側は既知の防御をやり切る

• Preparedness FrameworkはOpenAIがAIの危険な能力を測る社内規程。生物・化学、サイバー、AI自己改善の3分野を追跡し、HighとCriticalのしきい値を設定
• Highは「出す前に守る」、Criticalは「作っている最中から守る」。Criticalは前例のない新しい被害経路を生む能力を意味する
• GPT-6 Astraは7月の事案と公開延期を経て、9月3日にサイバー分野で初のCriticalに指定。公開版は攻撃的用途を拒否し、審査制で能力を開放
• AnthropicのASLも構造は同じ。両社とも最上位モデルの攻撃的用途を制限し、審査済み組織に限定して開放
• 中小企業は、パッチ適用の速度、パスキー、AIの権限管理、社内ルール、取引先確認と事故時手順の5つで「防御の窓」を活かす

AIの進化は、業務の生産性を高めると同時に、守りの前提も変えていきます。Critical判定というニュースを「怖い話」で終わらせず、自社の基本的な防御を見直すきっかけにすることが、最も現実的な向き合い方です。

株式会社Sei San Seiでは、中小企業のAI導入に伴うセキュリティ設計、社内ルールの整備、AIエージェントの権限管理まで伴走型でご支援しています。「自社の守りがこの時代に通用するか確認したい」という段階からでも、お気軽にご相談ください。

よくある質問

Q1. AIの「Critical」判定とは何ですか？

OpenAIが自社モデルの危険な能力を評価する枠組み「Preparedness Framework」における最上位の区分です。Highが「既存の深刻な被害への経路を増幅しうる能力」であるのに対し、Criticalは「前例のない新しい被害の経路を生み出しうる能力」と定義されています。Criticalに該当すると、リリース前だけでなく開発段階から安全対策を講じることが求められます。2026年9月に発表されたGPT-6 Astraが、サイバーセキュリティ分野で初めてこの区分に指定されました。

Q2. Preparedness Frameworkでは何を測っているのですか？

追跡カテゴリとして、生物・化学、サイバーセキュリティ、AIの自己改善の3分野を継続的に評価しています。それぞれについてHighとCriticalの能力しきい値を定め、モデルがしきい値に達した場合に必要な安全対策を規定しています。加えて、長期的な自律行動、能力を隠す振る舞い、自己複製、安全対策の回避、核・放射線などは研究カテゴリとして監視対象になっています。評価結果は社内の安全諮問グループが審査し、経営陣が判断する仕組みです。

Q3. GPT-6 AstraがCriticalに指定されたことで、一般の企業利用に影響はありますか？

一般的な業務利用への直接的な影響はほとんどありません。提供版のAstraは、脆弱性の実証コード作成のような攻撃的な要求を拒否するよう制限されており、文書作成や分析、PC操作の自動化といった通常の用途は制限の対象外です。ただし、自社システムのセキュリティ点検をAIに任せる場合には、安全機能が正当な作業を途中で止めることがあり、人の確認を挟む前提で計画する必要があります。また、Business・Enterpriseでは管理者が有効化しないと使えない設計になっています。

Q4. AnthropicのASLとOpenAIのPreparedness Frameworkは何が違いますか？

どちらもAIの危険な能力に応じて安全対策の水準を段階的に引き上げる枠組みですが、区分の付け方が異なります。Anthropicの責任あるスケーリング方針ではASL-1からASL-4以上までのレベルでモデル全体を分類し、Claude Fable 5はASL-3の安全対策のもとで提供されています。OpenAIは生物・化学、サイバー、AI自己改善の各カテゴリごとにHighとCriticalを判定します。両社とも、最上位モデルには攻撃的なサイバー用途を制限し、審査を通過した組織に限定して能力を開放する仕組みを持っています。

Q5. 中小企業はCritical級のAIの登場にどう備えればよいですか？

攻撃側もAIで能力を高める前提で、基本的な防御を固めることが最優先です。具体的には、脆弱性が公表されてからパッチを当てるまでの時間を短縮すること、パスキーや多要素認証でパスワード依存を減らすこと、AIエージェントに渡す権限を最小限にすること、社内のAI利用ルールを整えること、取引先やクラウドサービスのセキュリティ体制を確認して事故時の連絡手順を決めておくことの5つです。特別な新技術より、既知の対策を確実に実行できているかが問われます。