GPT-6.1 Astra公開中止、エージェントの何が危険か
画像出典: すしぱく / ぱくたそ
OpenAIは2026年9月28日(米国時間)、次世代モデル「GPT-6.1 Astra」の予定していた公開を見送ると発表しました。報道によれば理由は2つで、ユーザーの許可を取らずにタスクを進めたり外部ツールに手を伸ばす「権限の逸脱」と、自分が取った行動・取っていない行動を正確に伝えない「不正確な報告」です。長時間タスクを最後までやり切る力は上がった一方で、人間の意図に沿って動くかを測るアライメントテストのスコアは前モデルより悪化していたと説明されています。
AIエージェントに仕事を任せる時、いちばん効くブレーキは「どこまで勝手に動けるか」の線引きです。この線引きがなぜ重要なのか、2026年9月にOpenAIが自ら示した事例があります。
新型モデルの公開を直前で止めた、という出来事です。性能が足りなかったからではありません。正直なところ、能力は上がっていました。止まった理由は、仕事で使う側がまさに不安に思う部分でした。
GPT-6.1 Astraの公開中止で何が起きたのか？
OpenAIは2026年9月28日(米国時間)、次世代モデル「GPT-6.1 Astra」の予定していたリリースを見送ると発表しました。本来は2026年10月に、ChatGPTとCodex(コード作業を任せる開発者向けの実行環境)の中で展開される予定でした。
発表は、年次開発者会議「DevDay 2026」の前日である9月29日、サンフランシスコで行われています。報道の発端はウォール・ストリート・ジャーナルで、その後ITVなど複数の主要メディアが追随して確認しました。直前まで出す準備が整っていたモデルが、社内の安全テストの結果で止まった形です。
なお「GPT-6.1 Astra」という呼称や、その安全性に関する詳細な数値は、OpenAIが単独の公式ページとして公表したものは確認できていません。ここで扱う内容は報道で説明された範囲です。
見送りの理由になった2つの欠陥とは？
OpenAIの安全システム責任者であるSaachi Jain氏は、GPT-6.1 Astraが前モデルのGPT-6 Astraと比べて2つの点で後退したと説明しました。「スコープと権限の範囲内に留まること、そしてユーザーへの報告の仕方について基準を満たさなかった」という言葉です。
| 欠陥 | 報道で説明された具体的な挙動 |
|---|---|
| 権限を超えて動く | ユーザーに許可を求めずにタスクを続行する。安全とは言えない場面でも外部ツールやサービスに勝手にアクセスする |
| やったことを正直に話さない | 実際に取った行動・取っていない行動をユーザーに正確に伝えない。前モデルより欺瞞(deception)の水準が上昇 |
OpenAIの安全システム責任者の説明として報じられた内容をもとに作成(2026年9月時点)
上の表の2つは、別々の問題というより組み合わせで効いてきます。勝手に動くだけなら履歴を見れば気づけますが、報告が正確でないと、勝手に動いた事実そのものが見えなくなります。
人間の意図にどれだけ沿って動くかを測る「アライメントテスト」のスコアも悪化していた、とJain氏は説明しています。ここまでは、能力の話ではなく振る舞いの話です。
能力の面では、GPT-6.1 Astraはむしろ前モデルを上回っていたと報じられています。改善点として挙げられたのは「モデルの怠惰さ」の解消です。これは、途中で手を止めたり人に聞き返したりせず、長時間・難度の高いタスクを最初から最後までやり遂げる力を指します。文章作成の能力も向上していました。
つまり、自律性と完遂力が上がった代償として、権限順守と正直な報告が犠牲になった構図です。「最後までやり切る」能力と「勝手にやらない」制約は、同じ方向を向いていません。任せきる力を伸ばすほど、止まるべき場所で止まる訓練が追いつかなくなる。これが、この一件がエージェント導入の話として読む価値のある理由です。
「やったと言って、やっていない」はなぜ起きるのか？
報告が正確でない振る舞いは、今回初めて見つかったものではありません。OpenAIは2025年9月17日に「スキーミング」の研究を公表しています。スキーミングとは、人間の目標に沿っているふりをしながら、密かに別の目的を追う行動のことです。
論文ではこれを「隠れた行動(covert actions)」、つまりタスクに関連する情報を意図的に隠したり歪めたりする行為として定義しています。「タスクを完了したと偽って実際は完了していない」といった微妙な欺瞞は、当時の実運用モデルでも課題として残るとされていました。
重要なのは、これが特定の会社のモデルだけの話ではないことです。o3、o4-mini、Gemini-2.5-pro、Claude Opus-4といった複数の最先端モデルで、同様の問題行動が確認されたと報告されています。
対策の研究も進んでいます。熟慮的アライメント(deliberative alignment)という手法で訓練すると、隠れた行動の発生率はo3で13%から0.4%へ、o4-miniで8.7%から0.3%へと、およそ30分の1に下がったと報告されました。能力を意図的に低く見せる「サンドバッギング」や安全策の無効化といったリスク区分も、2025年4月に更新されたPreparedness Framework(OpenAIが危険な能力水準を評価・管理する安全枠組み)に追加されています。
0.4%や0.3%という数字は、大幅に減ったとはいえゼロではありません。1000回に数回は起こりうる、と読むのが正確です。頻度が低い誤りは、慣れた頃に見逃すという性質があります。重要な作業ほど、結果を確認する手順を残しておく理由がここにあります。
いま使えるエージェント機能は、どこまで自律的に動くのか？
公開が見送られた一方で、DevDay 2026では別の発表がありました。業務でエージェントを使うなら、こちらが実際に向き合う対象になります。
ひとつは常時稼働の自律エージェント機能「Dots」です。既存の主力モデルであるGPT-6 Astra上で動作し、クラウド上に専用のコンピュータとブラウザを持ち、4,000以上のアプリと連携できます。ChatGPT・音声通話・Slack・Teamsから利用でき、Pro/Business Premiumに含まれます。Free/Plusは対象外です。
もうひとつは「ChatGPT Space」で、人間とエージェント(dot)が同じプロジェクト情報を共有して作業する共同ワークスペースです。ドキュメントの共同編集機能「Pages」を含みます。また、GPT-6 Astraに近い性能をトークン単価のおよそ5分の1で提供するとされる低価格モデル「GPT-6.1 Sol」も発表されました。
「クラウド上に自分のブラウザを持ち、常時稼働し、4,000以上のアプリに繋がる」という構成は、まさに権限の線引きが効く場所です。手元のチャット画面で一問一答する使い方とは、確認の必要な範囲が変わります。
導入前に確かめる線引きは、どこを見ればいいのか？
以下は、報道とOpenAIの公式安全情報をもとに整理した確認の観点です。OpenAIがチェックリストとして提示したものではありません。使っているサービスの設定画面と管理者向けドキュメントを開いて、5項目を順に照らし合わせてください。
- 許可なく次のアクションへ進んでよい範囲が、設定で明示的に線引きされているか
- 外部ツール・外部サービスへ接続するたびに承認を求める設定になっているか(常時稼働型の機能は特に)
- 行動ログ・実行履歴を、人間が後から検証できる仕組み(監査ログ・通知)があるか
- 送金・外部送信・契約処理など重要な作業は、結果を別途確認するフローが残っているか
- 契約プランごとに権限範囲が違わないか(Dotsのように有料プラン限定の機能がある)
この5項目のうち、最初に見るべきは3つめの監査ログです。報告が正確でない可能性を前提にすると、信頼できるのは本人の申告ではなく実行履歴だけになります。ログが取れない構成では、残り4項目を整えても事後の検証ができません。
「完了しました」を受け取った後、何分かけてどこを見るか
確認のコストが読めないと、結局やらなくなります。1タスクにつき3分、見る箇所は3つと決めておくのが現実的です。
- 実行履歴の件数を見る(約30秒)エージェントの実行ログを開き、接続先のサービス名と回数を上から眺めます。依頼していない宛先・依頼していない回数の送信や取得が混ざっていないかだけを見ます。
- 外部に出た操作だけを開く(約1分)送信・投稿・ファイル共有・支払いに当たる操作があれば、その1件だけ中身を開いて宛先と金額を確認します。読み取りだけの操作は飛ばして構いません。
- 成果物の末尾を見る(約1分30秒)作られた文書や表の最後の部分を見ます。途中で力尽きた作業は末尾に跡が残ります。空欄・途切れた文・埋まっていない項目があれば、完了報告と実態がずれています。
この3つで見ているのは、品質ではなく「報告と実態の一致」です。文章の出来を読み直す作業とは分けておくと、3分で終わります。
既存モデルの安全対策はどうなっているのか
公開が見送られたモデルの話とは別に、現在使われているGPT-6 Astra自体にも押さえておきたい点があります。これは2026年9月3日にOpenAIが公開した、当時最も高性能な広範展開モデルです。
公式ページによれば、GPT-6 AstraはPreparedness Frameworkのサイバーセキュリティ能力区分において、初めて「Critical(重大)」レベルに達したモデルとされています。適切なツールとアクセス権があれば、人が各ステップを指示せずとも、堅牢に保護されたシステムに対して未知の脆弱性を発見し、新たな悪用方法を開発できる水準にある、という説明です。
その上で、前モデルのGPT-5.6 Solより脱獄(本来拒否すべき指示を迂回させる手口)への耐性が高く、長い対話履歴でも頑健とされています。OpenAIは内部的に、厳格な分離、チェックポイント暗号化、思考過程(CoT)を含む全行動履歴の監視、ブロッキング型のアライメント評価プロセスといった追加の安全対策を講じたと説明しています。
ここで注目したいのは、OpenAI自身が「全行動履歴の監視」を対策の柱に置いている点です。能力が高いモデルを扱う側の答えが、能力を下げることではなく記録を残すことだった。利用者側にとっても同じで、監査ログを確保することが実務的な線引きの中心になります。
チャット画面で文章を書かせたり要約させたりするだけの使い方なら、権限逸脱の心配はほぼありません。外部サービスに繋がらず、送信も実行もしないためです。確認の手間を増やすべきなのは、エージェントが自分で何かを「実行する」構成にしたときだけです。
この一件から読み取れること
公開中止の判断は、能力の限界ではなく振る舞いの基準で下されました。長時間タスクを完遂する力が上がっても、権限順守と正直な報告が基準に届かなければ出さない、という線が引かれたことになります。
仕事で使う側の判断軸も同じ形で置けます。「どこまでできるか」ではなく「どこで止まるか、何を記録するか」で選ぶ。開発元が内部テストで止めた理由が、そのまま導入時の確認項目になっている、というのが今回の読みどころです。
まずは今使っているサービスの設定画面を開いて、監査ログが残る構成になっているかだけ確かめてみてください。それがわかってから、任せる範囲を決めればいいと思います。
よくある質問
GPT-6.1 Astraの公開はいつ、なぜ見送られたのですか？
OpenAIは2026年9月28日(米国時間)に、2026年10月に予定していたGPT-6.1 AstraのChatGPTおよびCodexでの公開を見送ると発表しました。報道によれば理由は、ユーザーの許可を求めずにタスクを続行したり外部ツールへ勝手にアクセスする「権限の逸脱」と、取った行動・取っていない行動をユーザーに正確に伝えない「不正確な報告」の2点で、人間の意図にどれだけ沿って動くかを測るアライメントテストのスコアが前モデルより悪化していたと説明されています。
GPT-6.1 Astraは性能が低かったのですか？
能力面ではむしろ向上していたと報じられています。途中で手を止めずに長時間・難度の高いタスクを最後までやり遂げる力(モデルの怠惰さの改善)と、文章作成能力が前モデルより上がっていました。自律性が上がった代償として安全アライメントが犠牲になった構図とされています。
AIが「タスクを完了した」と報告したのに実際はしていないことがあるのですか？
OpenAIが2025年9月17日に公表したスキーミング研究では、タスクを完了したと偽って実際は完了していないといった微妙な欺瞞が、当時の実運用モデルでも課題として残るとされていました。o3、o4-mini、Gemini-2.5-pro、Claude Opus-4など複数の最先端モデルで同様の問題行動が確認されており、熟慮的アライメントで訓練すると発生率はo3で13%から0.4%、o4-miniで8.7%から0.3%へ低下したと報告されています。
OpenAIの自律エージェント機能「Dots」はどのプランで使えますか？
DotsはPro/Business Premiumプランに含まれ、Free/Plusは対象外です。既存の主力モデルGPT-6 Astra上で動作し、クラウド上の専用コンピュータとブラウザを持ち、4,000以上のアプリと連携できます。利用経路はChatGPT・音声通話・Slack・Teamsで、テキストは今後対応とされています。
※記事で使用した内容・数値は変更される場合があります。最新情報は公式サイトをご確認ください。