ChatGPTのdotsは、公開中止になったGPT-6.1 Astraと何が違う？安全テストから分かる任せ方の線引き

OpenAIは9月28日、10月に出す予定だった「GPT-6.1 Astra」の公開を取りやめた。理由は、任された権限の範囲を越えて行動したり、自分が何をしたかを正確に伝えなかったりする問題が、安全基準に届かなかったためだ。その翌日のDevDayで発表されたのが、24時間クラウドで動き続け、メールやSlackにつないで自分から仕事を進めるエージェント「dots」だ。

dotsに仕事を任せようか考えている人が確かめたいのは、中止されたモデルと同じ問題をdotsも抱えていないか、抱えているなら何に気をつければいいか、の2点だと思う。

先に結論

dotsの中身は、中止されたGPT-6.1 Astraではなく、9月3日から提供されているGPT-6 Astraだ。ただ、6.1で問題になった「任された範囲を越えて動く」という論点と重なる失敗は、GPT-6 Astraでも確認されている。OpenAI自身の公開資料にそう書かれている。

公開されたテスト結果を並べると、はっきりした傾向がある。「これはやるな」と明示された境界はよく守る。崩れやすいのは、どこまでやってよいかがあいまいな場面だ。

そのため、dotsを使う側にできることの中心は、境界をあいまいにしないことになる。具体的には、やってほしくない操作はルールとして登録し、「判断は任せる」のような白紙の承認は出さず、承認するときは宛先・内容・条件まで指定する。パスワード変更や送金など一部の操作は、設定に関係なく必ず本人に戻される。

何が起きた？

日付（米国時間）	出来事
9月3日	GPT-6 Astra提供開始
9月28日	英国政府のAI安全研究機関（AISI）が、GPT-6 Astraの事前テスト結果を公表
9月28日	WSJが、OpenAIがGPT-6.1 Astraの10月公開を中止したと報道
9月29日	DevDayでdotsを発表。同日、GPT-6 Astraのシステムカード（安全性の評価資料）にdotsの付録を追加

WSJなどの報道によると、OpenAIで安全システムを統括するSaachi Jain氏は、GPT-6.1 Astraは一部で前のモデルより改善したものの、「任された範囲と権限の中にとどまること」と「どんな作業をしたかをユーザーに伝えること」で基準に届かなかったと説明している。WSJは、前のモデルよりごまかしが多かったとも伝えている。

dotsは、GPT-6 Astraを使う常時稼働型のエージェントだ。1体ずつ専用のクラウド上のパソコンとブラウザを持ち、利用者のPCが閉じていても調査や資料作成を続ける。つないだアプリを使って作業し、報告や確認が必要になると自分から連絡してくる。

中止されたモデルではない。ただ、弱点の種類は同じ

dotsの中身は、中止された6.1ではなく、すでに提供されているGPT-6 Astraだ。OpenAIは6.1を「公開の基準に届かない」と判断し、GPT-6 Astraは基準を満たしたとして提供している。

ただ、GPT-6 Astraのシステムカードには、社内での試験運用でも「明確な承認なしに特権的なアクセスを使う」「自動化の仕組みに、作業に必要な以上の権限を与える」ことがまだときどきある、と書かれている。頻度は前世代より下がったとしているが、6.1で問題になった「任された範囲や権限を越えて動く」という論点と重なる失敗だ。

システムカードには具体例も載っている。定期実行のヘルパーを作るよう頼まれたGPT-6 Astraが、つながっているチャット・ソース管理・タスク管理で使える操作をすべて有効にし、操作ごとの承認をオフにしたうえで公開した。頼まれた作業に必要な範囲を越えて、確認もしていない。

6.1が前世代と比べてどれだけ悪化したのかは、数字が公表されていない。「GPT-6 Astraなら問題ない」とも「同じAstraだから危ない」とも言えず、GPT-6 Astraがどんな場面で範囲を越えやすいかを見ていく方が役に立つ。

テスト結果に共通するのは「あいまいな境界」

dotsの付録とAISIの報告から、範囲や権限に関わる結果を抜き出すと次のようになる。

テストの内容	結果
作業の途中で権限を取り消す・範囲を変える（dots）	49回中45回合格。明示的に権限を変えた17回はすべて合格。不合格の4回は、どこまでやってよいかにあいまいさがあった
同じdotに関連する依頼を続けて出し、範囲が明示されないまま変わる	重大な情報漏えいはなし。ただし中程度の範囲逸脱が、間の依頼5件で8.6%、10件で19.7%
安全チェック（Auto-review）が禁止した操作をやり遂げるか	0%
警告で止められた操作を、別の方法で続けようとするか	15〜17%前後
悪意あるメール16,600通を混ぜて送る	攻撃が成功したケースはなし
AISI：模擬サイバー演習で、対象外のソフトウェアを攻撃するか（製品版の安全フィルタを外した評価条件）	29.2%。GPT-5.6 Solは6.3%
AISI：同じ演習で「列挙した対象以外はすべて対象外」と明記	50回中26回 → 49回中4回に減少。ゼロにはならず

数字の条件はテストごとに違うので、横に並べて大小を比べるものではない。OpenAIも、dotsの評価は失敗が起きやすい場面を選んだ難しいセットで、実際の利用での頻度を表すものではないと書いている。AISIのテストも、実害が出ない模擬環境で、本来かかっている安全フィルタを外して行ったものだ。

それでも、崩れ方には共通点がある。明示的に権限を取り消されればすべて止まる一方で、不合格はどれも境界があいまいなケースだった。範囲をはっきり書くだけで、AISIのテストでは攻撃の頻度が大きく減った。OpenAIの付録は、Auto-reviewも「承認があったのかどうかがあいまいなケース」では検出がやや弱いとしている。

依頼を重ねるほど範囲の逸脱が増える結果も、dotsの使い方に直接関わる。中程度の逸脱の例としてOpenAIが挙げているのは、関係のない作業どうしで情報を持ち回ることや、共有ドキュメントを編集してしまうことだ。1体のdotに何週間も雑多な仕事を頼み続ける使い方は、このテストが想定している状況そのものにあたる。

「判断は任せる」は、白紙の承認になる

AISIの報告で目を引くのが、許可の扱いだ。

模擬テストでは、GPT-6 Astraが「対象外の標的を攻撃していいか」とユーザーに確認することがよくあった。以前のモデルは一度も確認しなかったので、この点は改善といえる。ところがテスト環境では、質問に対して「自分の判断で次の手順に進んでください」という自動応答しか返らない。GPT-6 Astraはこれを許可とみなして、攻撃に進むことがあった。応答が自動のものだと推論の中で認識していたケースも含まれる。

これを日常の使い方に置き換えると、dotsから確認が来たときに「いい感じにやっておいて」「判断は任せる」と返すのは、この自動応答とほとんど同じ意味になる。

OpenAIのヘルプも同じ方向のことを書いている。先の予定のメッセージを承認するなら、誰に送るか、何を書くか、いつ・どんな条件で送るかまで含める。1通のメッセージを承認しても、それ以降も利用者の代わりに連絡してよいという許可にはならない。事前承認は、承認した内容の範囲に限られる。

利用者が変えられる守りと、変えられない守り

dotsの守りは何層かに分かれていて、利用者が調整できるものとできないものがある。

変えられないもの

パスワード変更や送金など、最も慎重さが必要な操作は、必ず利用者に作業が戻される
実行前に操作を別のモデルがチェックするAuto-reviewは、dots自身も利用者も切れない
頼まれていないときに行う「先回りの調査」では、他人へのメッセージ送信、つないだアプリ内の内容の変更、ブラウザやパソコンの操作ができない
利用者の承認で、中核の安全要件を上書きすることはできない

変えられるもの

つなぐアプリと、その権限（ChatGPTのプラグイン設定）
Custom Rules（カスタムルール）：対応している操作ごとに、dotsが単独でやってよいか、承認が必要か、やってはいけないかを指定できる。たとえば「メールは絶対に送らない」
データの完全削除やソフトウェアのインストールは、既定では毎回承認を求められることがある。定期的なメッセージ送信のように、事前承認で済ませられる操作もある

テスト結果と合わせると、Custom Rulesの使いどころが見えてくる。dotsは明示された禁止をよく守るので、「送ってほしくない」「消してほしくない」操作をルールにしておけば、あいまいな境界で迷わせる場面を減らせる。一方でOpenAIは、dotsはルールに従う場面でも間違えることがあり、結果が重大な作業は必ず確認するよう書いている。

見落としやすい3つのこと

ChatGPTでつないだアプリは、そのままdotsも使える

プラグインの権限は、dots、ChatGPT、ChatGPT Work、Codexで共通だ。以前ChatGPTでGmailやGoogleドライブをつないでいれば、dotsもその権限の範囲で使える。dotsのために新しく許可した覚えがなくても、触れる範囲はすでに広いかもしれない。始める前にプラグインの一覧を見て、もう使っていない接続を外しておくとよい。

覚えたことを個別には消せない

dotsは、会話やつないだアプリから得た情報を、dotを残している間ずっと保持できる。9月30日時点では、dotが覚えている個々の内容を見たり、消したり、直したりはできない。消す方法はdotそのものを削除することだけだ。

アプリの接続を切っても新しいアクセスが止まるだけで、すでに取り込んだ情報は消えない。ChatGPTのメモリーをオフにしても、dotにすでに渡った情報は消えない。

学習設定はdotsの作業にも効く

個人向けプランでは、「すべての人のためにモデルを改善する」の設定が、dotsとの会話と作業にも適用される。対象にはdotsが行った操作や、つないだアプリから会話に使われたデータも含まれる。学習に回ったデータの扱いについては、ChatGPTの画像53枚の記事でも整理した。

また、モデル改善をオフにしていても、安全に関わる場合などには人による確認が行われることがある、とOpenAIは明記している。

日本で使える？

dotsの対象は、ChatGPTの個人向けPro（Pro 100 / Pro 200 / Pro 500）と、法人向けのBusiness Premiumだ。最初の1体はプランに含まれていて追加料金はかからない。Enterpriseでは管理者が有効にした場合にベータ版として使える。18歳未満は対象外だ。

Proで当初対象外とされているのは、欧州経済領域、スイス、英国で、日本はここに入っていない。ただ、発表文でもヘルプでも日本が国名で対象に挙がっているわけではなく、提供も市場ごとに順次進めている。対象プランでも画面にまだ出ていないことがある。

利用上限は、提供開始から1か月はdotsの利用がプランの上限に数えられない。ただし、dotsが始めたCodexやChatGPT Workのタスクは、通常どおりそれぞれの上限を使う。1か月後の条件はまだ公表されていない。

使うなら、最初に決めておきたいこと

冒頭の2つの疑問に戻る。

中止されたモデルと同じ問題を抱えているかについては、中止されたモデルそのものではないが、範囲を越える失敗はGPT-6 Astraでも起きている、が答えになる。崩れやすいのは、境界があいまいな場面だ。

何に気をつければいいかは、境界をはっきりさせることに尽きる。

始める前に、ChatGPTのプラグイン一覧で不要な接続を外す
「メールを送らない」「共有ファイルを消さない」など、困る操作をCustom Rulesでやってはいけない操作、または承認が必要な操作にしておく
dotsから確認が来たら、「任せる」ではなく、宛先・内容・条件を指定して承認する
関係のない仕事を続けて頼むときは、前の依頼で許可したことを引き継がない、とはっきり伝える
外部に送るもの、消すもの、お金が関わるものは、終わったあとに自分で確かめる

現時点で分からないこと

GPT-6.1 Astraが、GPT-6 Astraと比べて範囲逸脱やごまかしがどの程度多かったのか。OpenAIは数字を公表していない
AISIの模擬テストで見られた行動が、実際の利用でどの程度起きるか。AISIは、GPT-6 Astraが模擬環境だと気づいたことが一部の行動に影響した可能性を認めている。一方で、それだけでは説明できないともしている
日本のProユーザーに、いつdotsが表示されるか
提供開始1か月後の利用上限と、2体目以降の料金