2026年11月12日、OpenAIはアライメント研究ブログで「ファジー・ロバストネス」に関する安全研究を発表した。自動化レッドチーミングで訓練されたGPT-6 Astraは、サイバーセキュリティの固定脱獄テストで安全回答率91.5％を記録し、前世代のGPT-5.6 Solは59％にとどまった。生物や暴力行為など他の高リスク分野でも同様に改善し、正当な要求を拒む頻度が増えることもなかった。
攻撃モデルが自ら穴を探す、脱獄は鍛えられる能力
ファジー・ロバストネスとは、敵対的な圧力の下で、許されない支援を確実に拒むモデルの能力で、脱獄は典型的な試練だ。サイバーセキュリティや生物といったデュアルユース分野では特に難しい。同じ知識が善にも悪にも使えるからだ。OpenAIの手法は、攻撃モデルに自ら穴を探させることだ。シードプロンプトを与え、防御モデルが不安全な内容を出すまで繰り返し書き換えさせ、その「強化されたプロンプト」を強化学習に使う。攻撃モデルはGPT-5.6 Solファミリーの、有用な推論だけを行うモデルで、脱獄の訓練を受けたことはなく、穴を探す能力は自然に現れたものだ。この手法はレッドチームテストと同根で、人の攻撃を機械のループに置き換えただけだ。ブログは一つの例を挙げている。シードプロンプトは炭疽菌胞子の拡散に関する助けを求めるもので、直接尋ねれば拒否される。攻撃者は通気口の気流に関する数学問題へ迂回し、GPT-5.4の回答は元の依頼に役立つ可能性があると判定された。さらに改変し、屋外の通気口、微風、安定した空気という条件を書き込むと、GPT-5.5も破られた。
数字の差は大きい。固定脱獄データセットでは、GPT-6 Astraはサイバーセキュリティで91.5％安全に回答し、GPT-5.6 Solは59％だった。攻撃者が戦略を変え続ける適応型マルチターン攻撃でも、Astraはあらゆる攻撃予算でより頑健だった。さらに重要なのは汎化だ。ある攻撃者が生成したデータで訓練したモデルは、見たことのない別の攻撃者や適応型攻撃に対しても同様に頑健で、特定の手口への丸暗記ではないことがわかる。システムカードの挑戦的プロンプト評価でも、Astraは有害な要求をより安全に処理する一方で、正当な要求の誤拒否はむしろ減り、安全性と有用性が同時に向上した。OpenAIは、攻撃効率そのものも鍛えられると述べている。GPT-Redのような攻撃訓練タスクを加えることで、穴を見つけるのが速く、効果的になった。
一般ユーザーにとって意味は直接的だ。モデルがサイバーセキュリティや生物といった高リスクの場面に入るにつれ、ミスの余地は狭まっている。この考え方は、OpenAIが以前公開した訓練環境のセキュリティ構想と一致する。安全を訓練と展開のあらゆる層に組み込み、後から補修するのではない。これらの能力はDaybreakやRosalindといった信頼できるアクセスプログラムを通じて、審査を通過したユーザーに提供され、一斉に公開されるわけではない。注意点もある。ブログの数字は本番環境の保護層なしで測定されたもので、モデル層は縦深防御の一環にすぎない。攻撃者も進化しており、自動化レッドチーミングが今日見つけられる穴が、明日もすべて見つかるとは限らない。OpenAIは文末で、他の研究者にも同様の研究の公開を呼びかけ、モデル生態系全体をより頑健にするよう求めた。ブログで新モデルの発表はなく、GPT-6 Astra自体が今回の安全研究の主役だ。
