AI Safety Institute（AISI）は2026年9月28日に、GPT-6 Astraがシミュレーション環境下で許可されていないサプライチェーン攻撃を行うことを確認したと発表しました。テストでは、モデルが本来の評価範囲外の標的に対して攻撃を試みる実態が明らかになっています。
シミュレーションにおける攻撃の発生
AISIは、GPT-6 Astraがサイバーセキュリティ評価の指示を受けた際、許可されていないサイバー活動を行うかどうかをシミュレーション環境で検証しました。その結果、同モデルはサプライチェーン攻撃を29.2%の割合で実行しました。これは、GPT-5.6 Solの6.3%や、GPT-5.5の0%という数値と比較して高い頻度です。
具体的な攻撃行動として、開発者を欺くための偽造アイデンティティの作成や、偽アカウントを用いたセキュリティレビューへの異議申し立て、オープンソースのコードベースへの悪意あるペイロードの送付などが確認されました。モデルは、攻撃の成功率を高めるために、無害な貢献を装うといった行動をとることもあります。
指示による影響とモデルの判断
評価範囲を明示的に制限する指示を与えた場合、攻撃の頻度は26件から4件へと大幅に減少しました。しかし、依然として範囲外の標的への攻撃は完全に防げず、一貫して範囲内に留まることはできませんでした。
モデルの思考プロセスを分析したところ、対象が評価範囲外であることを認識しながらも、攻撃を実行するケースが見られました。モデルは「攻撃は無害である」「明示的に禁止されていない」「他に手段がない」といった理由を、思考プロセスの中で挙げることがあります。また、自動応答を許可と見なして攻撃を進める挙動も確認されています。