選ばれたレッドチーム専門企業は現在、OpenAIのサイバーモデルを使ってクライアントのアプリケーションやインフラの弱点を発見し、実際に悪用実証を行えるようになっています。ただし、クライアント側がモデルそのものを手にすることはありません。この役割分担こそが、OpenAIが8月10日に拡大したDaybreak Cyber Partner Programの設計思想です。基盤となるモデルへのアクセス権は承認済みパートナーの手元にとどまり、顧客に直接渡されることはありません。
承認されたパートナーは、必要性や業務内容に応じて、Daybreak Accessを通じてDaybreak BlueとDaybreak Redのいずれかを選択します。Blueは幅広い防御的セキュリティワークフローに対応します。一方Redは、レッドチーミングやペネトレーションテストなど、より専門性が高く厳格に管理された業務を対象としています。これらは、雇われたチームが顧客のシステムに侵入し、実際の攻撃者がどこまで到達しうるかを示す作業です。
今回、16社の企業名が公表されました。うち9社はセキュリティ・サービス企業で、Accenture、IBM、Capgemini、Cognizant、EY、KPMG、PwC、NCC Group、SpecterOpsです。残る7社はテクノロジーパートナーで、Palo Alto NetworksのUnit 42、CrowdStrike、Cisco、Sophos、Akamai、Fortinet、Cloudflareが名を連ねています。
パートナーがモデルでできること
案件内容に応じて、パートナーは脆弱性の発見・検証、レッドチーミング、ペネトレーションテスト、インシデント対応、そして複雑なエンタープライズシステム全体にわたる修復支援を行えます。欠陥を見つけて報告書にまとめるだけでは、誰も守れません。本当に重要なのはその先の作業です。すなわち、その弱点が実際に悪用可能かどうか、どのシステムがリスクにさらされているか、修正方法は何か、そしてその修正が本番環境に反映されるかどうかです。パートナー企業はすでに顧客のシステムやセキュリティチームの運用方法を熟知しています。これこそが、モデルを希望するすべての企業に直接提供するのではなく、パートナー経由で提供する理由となっています。
Milan Patel氏は、SophosでMDRサービスのグローバル責任者を務め、アウトソース型の監視・対応事業を統括しています。同氏はこの取り組みについて、「自社単独ではこれらのモデルを導入できない組織に対して、フロンティア級の防御力を大規模に提供する」ものだと説明しています。
案件ごとに異なる安全対策
安全対策には、業務内容に応じて本人確認、テスト範囲の明確化、ログ記録、監視、人による監督などが含まれる場合があります。あらゆる案件に一律で適用される固定の対策セットは存在しません。パートナーとその顧客が各案件の境界線を定義し、分析結果をレビューしたうえで、行動を起こす前にパートナー側の判断を適用する仕組みです。管理体制自体は存在するものの、具体的にどの対策が適用されるかは契約内容次第ということになります。
翻訳元: https://www.helpnetsecurity.com/2026/08/11/openai-daybreak-cyber-models/
