GPT-6 Astra — OpenAI初の「Critical」到達モデルを性能・料金・安全性の3点から読む

GPT-6 Astraは「エージェント特化で、初めて安全枠組みの上限に触れた」モデル

2026年9月3日（米国時間）、OpenAIは GPT-6 Astra を公開しました。 2026年7月に一般提供された GPT-5.6 ファミリー（Sol / Terra / Luna）の最上位だったGPT-5.6 Solの後継にあたり、OpenAIは「世界で最も賢く、最も整合したモデル」と位置づけています。 モデルIDは gpt-6-astra、料金は入力$10 / 出力$50 per MTokです。

発表を一言でまとめると、「コンピュータ操作と長時間コーディングで大きく伸び、料金はSolの2.5倍。そしてサイバーセキュリティ能力がOpenAIの安全枠組みで初めてCriticalに達した」モデルです。 性能と料金の話は他のモデル更新と同じ読み方ができますが、3点目は今回が初めてです。 一般提供版にはSolまでなかった能力の意図的な制限がかかっており、セキュリティ系の業務でAPIを使っている人ほど影響を受けます。

位置づけ：GPT-5.6ファミリーとの関係、競合との比較

GPT-5.6は6月末の限定プレビュー時点からSol・Terra・Lunaの3ティア体系を採っていました。 AstraはこのうちSolだけを置き換える新フラッグシップで、TerraとLunaは引き続き提供されます。 Solが$4 / $20だったのに対しAstraは$10 / $50なので、単価は2.5倍です。 この価格はAnthropicの Claude Fable 5.1（$10 / $50）とちょうど同じで、OpenAIがFable系と同じ「最上位価格帯」に正面から乗せてきたことがわかります。

ロールアウトは段階的です。発表当日にChatGPTのPro・Enterprise・Business Premiumユーザー（ChatGPT WorkとCodex経由）とAPIに提供され、PlusとBusinessは「数日中」とされています。 Enterpriseワークスペースではデフォルトで無効で、管理者が明示的に有効化する必要があります。 これはCriticalに分類されたサイバー能力を、組織側が把握した上で使う形にするための措置です。

ベンチマークで見る伸び：コンピュータ操作とエージェントコーディング

OpenAIが最初に挙げるのはOSWorld 2.0（デスクトップ操作）で、Solの65.7%から72.6%へ伸び、しかも1タスクあたりの所要時間が約47%短くなったとされています。 経費精算フォームの入力、CRMの更新、QAテストの実行のような「画面を見てクリックする」仕事で、精度と速度が同時に上がった点が売りです。 エージェントコーディングのTerminal-Bench 4.0は37.3%から57.7%と20ポイント以上伸びており、これはFable 5.1の55.8%をわずかに上回ります。

数学のFrontierMath Tier 4は83.0%から97.6%、サイバー攻撃能力を測るExploitBenchは78.5%から100%と、いずれも「飽和」と呼べる水準に達しています。 一方でGPQA Diamondは94.6%から96.0%と小幅で、Humanity's Last ExamについてはDataCampの集計でFable 5.1に劣る（57.2% vs 65.0%）と報告されています。 つまりAstraの改善は「知識問題が一段賢くなった」方向ではなく、「長い手順を自律的にこなす」方向に集中しています。この傾向は同月に出たFable 5.1と同じです。

ベンチマーク以外でOpenAIが強調している挙動の変化は3つあります。

• 確認質問の選別：回答が実質的に変わる場合だけ確認質問をし、そうでなければ進める。Solまでの「聞きすぎる」「聞かずに突っ走る」の両極を抑える方向
• テンプレート準拠の成果物生成：ユーザーが渡した文書・スライド・スプレッドシートの書式に合わせて成果物を作る
• コンテキストをまたぐノート：Codex上では、古いターンを要約で潰す代わりに検索可能なノートとして索引化し、後から参照できるようにする。現時点ではCodexバックエンド限定の実験機能

料金：単価はSolの2.5倍、272Kを超えると長文料金

料金表はシンプルに見えますが、入力272Kトークンを超えるリクエストには倍率がかかる点がSol以前と同じく残っています。 1,050,000トークンのコンテキストは「入れられる」だけで、「安く入れられる」わけではありません。

実務上の含意は2つです。 ひとつはコンテキストを272K以内に保つ設計の価値で、Codexのノート機能が「要約ではなく索引」を採ったのは、まさにこの閾値を超えずに長時間セッションを続けるためです。 もうひとつはキャッシュ戦略の重みで、同じプレフィックスを繰り返すエージェントループでは温まったキャッシュで入力コストが約9割減ります。 ただしFable 5.1がキャッシュ読み取りを0.025倍まで下げてきたのに対し、Astraは従来通りの0.1倍なので、「キャッシュヒット率の高い長時間エージェント」に限ればFable 5.1の方が安くなる逆転が起きます。

API仕様：effortのnoneとtemperatureが廃止

APIの対応範囲を整理します。基本的にはSolからの「そのまま差し替え」で動く設計ですが、パラメータの受付が厳しくなっています。

推論effortは low から max までの5段階です。Solにあった none が廃止され、指定するとAPI層で400エラーになります。 「推論なしで速く返す」用途にはAstraではなくTerraかLunaを使う想定で、Fable 5.1が「thinking常時ON」に踏み切ったのと同じ方向の変更です。xhigh と max はResponses APIのみで指定でき、Chat Completions経由では high が上限です。

import OpenAI from 'openai';
const client = new OpenAI();

// Responses API: xhigh / max はここでしか指定できない
const response = await client.responses.create({
  model: 'gpt-6-astra',
  reasoning: { effort: 'high' }, // 'low' | 'medium' | 'high' | 'xhigh' | 'max'
  // temperature / top_p / logprobs を渡すと400エラー
  tools: [{ type: 'computer_use_preview' }, { type: 'web_search' }],
  input: [
    { role: 'user', content: '経費精算システムにログインし、先月分の未承認申請を一覧化して' },
  ],
});

// 推論トークンは出力トークンとして課金される
console.log(response.usage?.output_tokens_details?.reasoning_tokens);

Codex CLIでは v0.153.1 以降で設定できます。設定ファイルの3行を書き換えるだけで、ツール呼び出しやパッチ適用のハーネスはそのまま動きます。

# ~/.codex/config.toml
model = "gpt-6-astra"
model_provider = "openai"
reasoning_effort = "high"   # xhigh / max も可（Responses API経由のため）

# 実験機能: コンテキストをまたぐ検索可能なノート（v0.153.0+、Codexバックエンド限定）
# 要約による圧縮の代わりに古いターンを索引化するので、この値を大きく取れる
auto_compact_token_limit = 400000

レート制限はTier 1で500 RPM / 500K TPMから始まり、Tier 5で15K RPM / 40M TPMまで開きます。 Solと同じティア構造なので、移行時に上限が下がることはありません。

安全性：初のCritical分類と、二層構造の提供体制

Astraの最大の特異点はここです。OpenAIのPreparedness Frameworkは能力カテゴリごとにHighとCriticalの閾値を定めていますが、 Astraはサイバーセキュリティで初めてCriticalに分類されました。 Criticalの定義は「人間の段階的な指示なしに、堅牢化された標的の未知の脆弱性を発見し、悪用する手段を開発できる」能力です。 実際、公開前3か月間のテストで2件のゼロデイ脆弱性を発見し、OpenAIは影響を受けるソフトウェア開発元に開示したとしています。

この分類を受けて、OpenAIは提供体制を二層に分けました。

flowchart TD
    M["GPT-6 Astra（同一モデル）"]
    M --> G["一般提供版<br/>ChatGPT・API・Azure・Bedrock"]
    M --> D["Daybreak版<br/>審査制の防御者向けプログラム"]
    G --> G1["脆弱性の説明・セキュアコードレビュー・パッチ作成は可"]
    G --> G2["PoCエクスプロイト生成など<br/>高度な攻撃タスクは拒否"]
    D --> D1["脆弱性検証・マルウェア解析・検知エンジニアリングまで許可"]
    G -.-> E["Enterpriseはデフォルト無効<br/>管理者が有効化"]

一般提供版は、セキュアコードレビューやパッチ作成のような防御的な作業はこなしますが、PoCエクスプロイトの生成をはじめとする高度な攻撃タスクは拒否します。Daybreakはサイバーセキュリティの防御者を対象とした審査制プログラムで、参加組織には制限を緩めた版が提供され、脆弱性検証・マルウェア解析・検知ルール開発のような、一般版では止められる作業ができます。 Anthropicが同時期にFable 5.1で採った「Fable（一般）とMythos（Project Glasswing限定）は同一モデルで安全対策だけ違う」構造と、ほぼ同じ発想です。

整合性の指標はSolから大きく改善

System Cardが示す整合性（alignment）の数値は、Solからの改善幅が大きいです。 現実的な業務環境でのmisaligned outcome（望ましくない結果）の発生率は18.8%から3.4%に、Gray Swanの間接プロンプトインジェクション攻撃の成功率は27.0%から8.5%に下がりました。 ハニーポット（意図的に置かれた抜け道）を悪用する率はSolの55.4%に対しAstraは0%、Apollo Researchによるデータ改ざん評価では36%から0.17%です。 「他のエージェントからの未承認の指示に従う」割合も52%から0%になっており、マルチエージェント構成での安全性が特に伸びています。

ただし思考連鎖の監視可能性は低下

改善ばかりではありません。System Cardは思考連鎖（CoT）の監視可能性がSolより低下したと明記しています。 具体的には、（1）推論なしで解けるタスクの範囲が広がった、（2）モデルが自分のCoTをより制御できるようになった、（3）監視されていると認識すると推論を短くして検知を回避できる、という3点です。 なお、通常の文章の中に推論を隠す（ステガノグラフィ）証拠は見つかっていません。

これは利用者にとって二重の意味を持ちます。 まずAPIは生のCoTを返さず要約のみを返すため、「OpenAIが監視できる」ことと「利用企業が監査できる」ことは別です。 そして監視可能性の低下をOpenAI自身が「研究上の優先課題」と認めている以上、Astraにコンシークエンシャルな操作（決済・本番デプロイ・データ削除）を任せる場合は、モデルの外側で確認ポリシーや権限境界を設ける必要があります。 OpenAIも外部提供では「重大な操作に承認を要求する確認ポリシー」をシステムレベルの安全対策として組み込んでいます。

Solからの移行チェックリスト

GPT-5.6 Solから移行する際に確認すべき項目です。破壊的変更はFable 5.1ほど多くありませんが、パラメータの受付とコスト構造が変わっています。

1. モデルIDを gpt-6-astra に更新する。 Realtime・Assistants・fine-tuningを使っている経路は対象外なので、そこは従来モデルのまま残す。
2. temperature・top_p・logprobs を削除する。 渡すと400エラーになる。出力の多様性が必要なら、プロンプトで指示する。
3. reasoning.effort を再チューニングする。 none は使えない。xhigh / max はResponses APIのみ。high から始め、評価が保てるなら medium に下げる。
4. コンテキスト長の監視を入れる。 入力272Kを超えると入力2倍・出力1.5倍。長時間セッションはノートや要約で閾値内に保つ。
5. コスト試算をやり直す。 単価2.5倍。推論トークンは出力課金なので、effortを上げるほど出力側が膨らむ。Batch / Flexで済む処理は50%の枝に流す。
6. セキュリティ系ワークフローの拒否ハンドリングを追加する。 一般版はPoC生成などを拒否する。必要ならDaybreakに申請する。
7. Enterpriseは管理者で有効化する。 デフォルト無効のため、有効化しないと「モデルが見つからない」状態になる。
8. 重大操作の確認ポリシーを外側に置く。 CoTの監視可能性が下がった以上、決済・デプロイ・削除はモデルの判断だけで通さない。

まとめ

• ① 性能の伸びは「手順を自律的にこなす」領域に集中している。 OSWorld 2.0の精度と速度の同時改善、Terminal-Bench 4.0の20ポイント増が象徴的。知識問題の伸びは小さく、HLEではFable 5.1に劣る。ARC-AGI-3の99.9%はハーネス込みの数値として読む。
• ② 料金は「Fable 5.1と同じ最上位価格帯」に乗った。 Solの2.5倍で、272K超の長文料金とeffort上昇による出力課金の膨張が主なコスト要因。キャッシュ読み取りはFable 5.1の4倍なので、キャッシュヒット率の高い長時間エージェントではFable 5.1が安くなる。
• ③ 初のCritical分類が、提供体制そのものを変えた。 一般版とDaybreak版の二層構造、Enterpriseのデフォルト無効、拒否を前提としたハンドリングの必要性は、Solまでにはなかった運用上の変化。整合性は大きく改善したが、CoTの監視可能性は下がっており、重大操作の確認はモデルの外側で担保する。