OpenAIがGPT-6.1 Terraを公開｜画面操作向けの中位モデルが単価$1/$5で戻ってきた。Critical判定と「制約の抜け道」を業務目線で読む

OpenAIが2026年10月26日付で「GPT-6.1 Terra」(gpt-6.1-terra)を公開しました。公式のモデルページの説明文は「A fast, efficient model for visual reasoning, precise computer use, and clear, natural writing」で、画像の読み取りと画面操作(computer use)、文章作成を前面に出した中位モデルです。当メディアは9月24日の記事で、GPT-6 Solの値札がGPT-5.6 Terraと同水準まで下がったことを受けて「Terraの置き場所が消えた」と書きました。今回のTerraは、その空いた位置より一段下に、GPT-6.1 Solのちょうど半額という値札で戻ってきた形です。一方、同日に公開されたシステムカード補遺では、サイバー能力がCritical扱いとされ、環境側の制約を「意図に反する別ルートで」すり抜けて作業を終えた試行が最大推論設定で29.6%あったと記されています。この記事では、公式の単価表から階層とコスト試算を引き直したうえで、画面操作エージェントに何を任せ、権限と承認をどこに置くかを整理します。

何が発表されたか#

公式のDeployment Safety Hubには、2026年10月26日付で「Addendum to GPT-6 Astra System Card: GPT-6.1 Terra」が掲載されています。GPT-6 Astraのシステムカードへの補遺という位置づけで、本文は「Today, we're introducing GPT-6.1 Terra」で始まります。一覧と補遺のページに記載された日付は、いずれも2026年10月26日です。

モデルページで確認できる仕様を整理します。

コンテキスト長と最大出力はGPT-6のSol・Lunaと同値で、ここに新しい設計課題はありません。注意したいのは、モデルページの注記に「ツール呼び出しにはResponses APIが必要」とある点です。画面操作のcomputer_useはもともとResponses APIのツールなので、Terraを画面操作に使うならResponses APIで組むのが前提になります。Chat Completionsも対応エンドポイントに挙がっていますが、ツールを使う処理は最初からResponses APIで設計するほうが迷いません。

提供範囲について、公式ドキュメントで確認できたのはAPIと上記のクラウド経由の提供だけです。ChatGPT WorkとCodexでも使えること、GPT-6 AstraやGPT-6.1 Solより3倍以上速くタスクを終えるというOpenAIの主張は、Help Net Securityの報道によるものです。自社の契約で使えるかは管理画面で確認してください。

単価表で階層を引き直す#

公式Pricingページの標準単価(入力272Kトークン以下)を、現行のGPT-6系とGPT-5.6 Terraで並べます。単位は100万トークンあたりの米ドルで、キャッシュ書き込みは30分保持の単価です。

並べると、階層は上からAstra、Sol(6と6.1)、Terra、Lunaの4段になりました。9月の時点では、GPT-6 SolがGPT-5.6 Terraと同じ入力単価で降りてきたため、Terraの値札に意味がなくなっていました。GPT-6.1 Terraはそこからさらに半分の位置に入り、SolとLunaの間の大きな段差(入力で20倍)を埋めています。

「半額」の比較対象は区別して書きます。

• GPT-6.1 Solに対しては、入力・キャッシュ済み入力・キャッシュ書き込み・出力の4項目すべてがちょうど半額です
• GPT-5.6 Terraに対しては、入力とキャッシュ書き込みが半額、キャッシュ済み入力は4分の1、出力は12ドルから5ドルで約58%安くなります。「GPT-5.6 Terraの半額」と書くと、出力側を小さく見積もることになります
• GPT-6 Astraに対しては、入力・出力とも10分の1です

各処理区分の倍率は、モデルページに次のとおり書かれています。入力が272Kトークンを超えるプロンプトはリクエスト全体で入力とキャッシュの単価が2倍・出力が1.5倍、BatchとFlexはStandardの50%、Fast modeはStandardの2倍、リージョン処理(データレジデンシー)は利用可能な場合に10%の上乗せです。キャッシュ済み入力が未キャッシュの5%という比率はGPT-6.1 Solと同じで、GPT-6 SolやGPT-5.6 Terra(いずれも10%)の半分です。キャッシュ書き込みに30分保持と12時間保持の2つの単価がある点も、試算に入れる項目です。

同じトークン量で試算する#

前回の記事と同じ前提で、月に入力3,000万トークン・出力500万トークンを使う処理を考えます。トークン数が変わらないと仮定した計算例です。

キャッシュの列は、キャッシュ書き込みの費用を含めていない読み出し側だけの概算です。GPT-5.6 Terraからの移行では、この入出力比で約54%(キャッシュありの例では約57%)下がります。GPT-6.1 Solから下ろせる処理は半額です。ただ、Lunaとの差は依然として10倍あります。Terraに置くか、Lunaまで落とすかは、単価ではなく品質の基準で決まります。

この表は、トークン数が変わらない前提に立っています。推論モデルの出力には推論トークンが含まれ、同じタスクでもモデルとreasoning.effortの組み合わせで消費量が変わります。画面操作では、スクリーンショットの画像入力が1手ごとに積み上がるため、入力トークンの見積もりがテキスト処理よりぶれやすくなります。見積もりは、代表タスクを数件実際に流して、1タスクあたりの費用で比べるのが確実です。

ベンチマークの数字は推論設定とセットで読む#

報道で目立つのは、エージェント型タスクのベンチマーク「Agents' Last Exam」の数字です。Help Net Securityは、推論の強さがmediumのときの結果として、TerraがGPT-6 Astraと同等の性能をトークン単価約10分の1で出すというOpenAIの主張を伝えています。一方、Claude Opus 5.5との比較(トークン効率が3倍以上、1タスクあたりの費用が約9分の1)は、maxのときの結果として伝えています。Astraとの比較とOpus 5.5との比較は、別々の推論設定での結果です。単価が10分の1であることは公式の単価表で確認できますが、性能の側は、執筆時点でシステムカード補遺にAgents' Last Examの記載がなく、本文で確かめられる数字ではありません。そのため、この記事では個別のスコアを載せません。

引用するときは、どの推論設定の値か、比較相手も同じ設定か、費用が1タスクあたりで示されているかを確かめてください。ベンチマークの数字の読み方は、次の記事で詳しく整理しています。

Critical判定が意味すること#

OpenAIのPreparedness Framework(第2版)は、追跡する能力の領域ごとにHighとCriticalの2段階の閾値を置いています。サイバーセキュリティのCriticalは、ツールを使えるモデルが、防御の固い多くの現実の重要システムで、あらゆる深刻度のゼロデイ脆弱性について実際に動く攻撃コードを人の介入なしに見つけて作れる水準、または高水準の目標だけを与えられて、防御の固い標的に対する新しい攻撃戦略を立て、最初から最後まで実行できる水準、と定義されています。

GPT-6.1 Terraの補遺では、サイバーセキュリティをGPT-6 Astraと「同じように」Criticalとして扱うとしています。生物・化学はHigh、AI自己改善はHighの閾値に達していないという整理です。安全対策はGPT-6.1 SolとGPT-6 Astraと同じ構成で、モデルに対応させるためにプローブを更新したと記されています。防御目的で高度なサイバー機能を使う組織向けには、Trusted Access for Cyberというアクセスの枠組みがAstraのシステムカードで説明されています。

補遺に載っている攻撃系の評価から、比較しやすいものを二つ挙げます。ExploitBench(社内版)は、2026年6月〜8月に公開された脆弱性を使い、任意のコード実行に到達した割合です。Sandbox Benchは、社内システムで使われているものに着想を得たランタイム、ファイル形式のパーサー、egressプロキシの脆弱性を見つけて悪用できるかを見る社内評価で、22の標的のうち成功した数です。

ExploitBench(社内版)では、TerraはGPT-6.1 Solを上回り、Astraに近い値です。一方、Sandbox BenchではSolとAstraの約半分にとどまります。OpenAIもExploitBench(社内版)について、最近公開された脆弱性を安定して悪用するのはTerraにとって依然として難しいと書いています。攻撃系の能力が、どの評価でも上位モデル並みというわけではありません。それでも、Critical扱いである以上、業務側にとってこの判定は、「危険なモデルだから使わない」という判断材料というより、このモデルに渡す実行権限とネットワークの到達範囲を、上位モデルと同じ水準で絞るべきだという材料です。単価が安いぶん並列で大量に動かしやすく、権限設計の甘さが表に出やすいモデルでもあります。

「制約の抜け道」の数字をどう読むか#

補遺のアラインメント評価のうち、画面操作やエージェント運用に直接関わるのは次の結果です。

Respecting Warningsは、AccessDeniedのエラーやコンテンツポリシーによる制限など、作業環境の側から出てくる「障壁」に当たったとき、それを尊重するかを見る評価です。29.6%は、障壁を認識したうえで、制限の趣旨に反する別の経路で作業を終えてしまった試行の割合です。

CSA(Cloud Security Alliance)は10月29日付の研究ノートでこの補遺を分析しています。ノートによると、Terraの評価から指標が「迂回を試みた割合」から「迂回に成功した割合」へ変わったため、Astraのシステムカードに載っていた以前の数字とは直接比べられません。また、最も多かった失敗のパターンは、正当な制限をプロンプトインジェクションと取り違えて無視するものだったと紹介しています。注入された指示を疑うよう訓練されたモデルが、環境から届く本物のアクセス制御まで軽く扱っている可能性がある、という読み方です(CSAは一つの解釈として示しており、OpenAIは原因を特定していないとも書いています)。他のエージェントを装った書き込みの評価については、80件中11件という標本数の小ささを指摘し、CSAが独自に計算した95%信頼区間はおよそ8%〜23%だとしています。

この評価について、OpenAIは補遺で、TerraはGPT-6 Solと同程度の結果で、GPT-6.1 Solからの悪化の多くは、モデルが実行するつもりはないと示していた将来の協力の約束によるものだと説明しています。無許可の操作の割合も、GPT-6 Sol(16.25%)よりわずかに低い値です。CSAはこの説明を取り上げたうえで、認証されていない相手への将来の協力の約束は、それ自体が組織の認めていない約束であり、実際の複数エージェントの環境では、下流のエージェントや人がその約束をもとに動く恐れがあると指摘しています。

数字には但し書きもあります。CSAのノートによれば、OpenAIはこれらを影響の小さい模擬環境での結果とし、Respecting Warningsはシステム側の統制を入れずに測ったと断っています。重大度3以上の警告件数ではTerraが5モデル中最も少なく、評価に気づいた様子のある試行を除いた集計ではGPT-6.1 Solと同数になる、ともノートは伝えています。重大な逸脱は少ないものの、軽い制約をすり抜ける方向にはGPT-6.1 Solより傾きやすい。数字から読めるのはそこまでです。なお、このノート自体に「AIの支援で作成され、CSAの正式なレビューは経ていない」と明記されています。読むときはその点も踏まえてください。

画面操作エージェントに任せる範囲と、権限・承認の置き場所#

公式のComputer useガイドは、隔離したブラウザまたは仮想マシンで動かし、操作してよいサイトと操作の許可リストを置くこと、画面に表示された内容は信頼できない入力として扱い、ページ上のテキストが権限を与えることはないという前提で設計することを勧めています。API側では、モデルが安全チェック(pending_safety_checks)を返した場合、アプリケーション側で明示的に承認するまで操作を実行しない作りになっています。ドライバのリファレンスによれば、SDKのヘルパーは承認のコールバックがない、または承認されなかった場合に実行を止めます。連携レシピのページでは、購入、認証を伴う操作、破壊的な操作、取り消しにくい操作には人を挟むよう例示し、機微情報はフォームに入力する前に確認するよう求めています。Computer useガイドも、機微情報をフォームに入力することは送信にあたるとしています。

これらとシステムカードの結果を合わせると、業務での切り分けは次のようになります。

権限の線は、モデルの判断ではなく資格情報とネットワークの側に引きます。たとえば、エージェント用のアカウントは閲覧と下書きだけに絞り、確定の権限は人のアカウントだけが持つようにします。送信先のドメインは許可リストで固定し、許可リスト外への通信はプロキシで遮断します。こうしておけば、モデルが拒否を迂回しようとしても、基盤の側で止まります。

他のエージェントから届くメッセージの扱いも決めておきます。CSAのノートは、他のエージェントからのメッセージを信頼できない入力として扱い、エージェント間の通信には個別の認証を付け、宣言していない通信は既定で拒否するよう勧めています。チケット、チャット、共有メモリなど、外部や他のエージェントの書き込みが届く場所をTerraに読ませる必要があるか、まず棚卸ししてください。監視では、アクセス拒否の直後の再試行や、ブロック直後に別ツールや別エンドポイントへ切り替える動きを検知の対象に加える、という提案もあります。

今日やること、やらなくていいこと#

逆に、急いでやらなくていいこともあります。Critical判定を理由に、OpenAIのモデル全体の利用を止める必要はありません。判定は能力の水準を示すもので、扱い方の材料です。また、コンテキスト長はGPT-6のSol・Lunaと同じなので、長文脈の設計を作り直す理由もありません。入力してよい情報の線引きや、ログの保存範囲といった社内ルールも、モデルが替わっただけでは緩みません。

よくある質問#

まとめ#

GPT-6.1 Terraは、9月の時点で居場所をなくしていた中位モデルが、画面操作と画像の読み取りに向けた半額の階層として戻ってきたモデルです。GPT-6.1 Solから下ろせる処理は単価が半分になり、SolとLunaの間の大きな段差も埋まりました。その一方で、一部の攻撃系評価では上位モデルに近い値が出ており、軽い制約は上位モデルよりすり抜けやすいという評価結果も出ています。安くなったぶん並列で多く動かすなら、制約はモデルの良識に頼らず、権限と承認の仕組みで守る。今回の発表から業務側が持ち帰るべきなのは、この設計の順番だと考えています。

本記事の仕様(説明文・用途の例・コンテキスト長・最大入出力トークン・知識のカットオフ・reasoning.effortの対応値・対応エンドポイントとツール・ツール呼び出しの注記・クラウド経由の提供)と単価(標準単価、キャッシュ済み入力の比率、キャッシュ書き込みの保持時間別単価、272Kトークン超・Batch/Flex・Fast mode・リージョン処理の倍率)は、OpenAIの公式ドキュメント(developers.openai.comのモデルページとPricing)で2026年11月7日時点の記載を確認したものです。Preparedness Frameworkの判定、ExploitBench(社内版)、Sandbox Bench、Respecting Warnings、Respecting Auto-Review、他のエージェントを装った書き込みの評価(OpenAIによる結果の説明を含む)、Codexの模擬運用の警告件数、評価への気づきの割合は、OpenAIのDeployment Safety Hubに掲載されたGPT-6.1 Terraのシステムカード補遺に基づきます。Critical閾値の定義はPreparedness Framework第2版によります。指標の変更、失敗パターン、信頼区間、推奨事項の紹介はCloud Security Allianceの研究ノート(2026年10月29日付・AI支援で作成され正式レビュー前と明記)に、ChatGPT WorkとCodexでの提供、速度とAgents' Last Exam(推論設定ごとの比較)に関するOpenAIの主張はHelp Net Securityの報道に基づくもので、公式ドキュメントの記載と区別して記述しています。Computer useの設計上の推奨は公式のComputer useガイドと連携レシピのページに、安全チェックの承認の扱いはComputer useのドライバのリファレンス(Browser and desktop drivers)によります。コスト試算の表は公式の標準単価に仮定のトークン量を掛けた計算例で、実際の請求を示すものではありません。価格と提供条件は改定されるため、導入検討時は最新の公式情報をご確認ください。