GPT-5.6-Cyberは、OpenAIが実施した拒否率テストで高度なサイバー攻撃関連リクエストの95%に応答し、Googleの V8エンジンにおける未知の脆弱性の発見にも活用されています。
OpenAIはセキュリティプログラム「Daybreak」を拡張し、承認済みのセキュリティ研究者向けに特化したモデル「GPT-5.6-Cyber」を導入しました。同社はこれに合わせ、AIによって防御側が進行中の脅威に対応するための時間がさらに短くなる可能性があると警告しています。
Daybreakには現在2つのアクセスレベルが設けられています。「Blue」では、承認済みの防御担当者がGPT-5.6 Solのような汎用フロンティアモデルを、正当な防御目的の作業に利用できます。一方「Red」は、脆弱性調査やエクスプロイトの検証、セキュリティテストといったより高度な活動向けに、専門特化したサイバーモデルを提供します。
OpenAIによると、GPT-5.6-Cyberはリスクの高いセキュリティタスクにおける拒否率を下げつつ、エクスプロイト開発や脆弱性調査を行う能力を向上させるよう設計されています。高度なサイバーセキュリティ関連のリクエストに対してモデルが拒否せず応答した頻度を測定する社内評価では、GPT-5.6-Cyberはリクエストの95%に応答しました。これに対し、Daybreak Blue環境下のGPT-5.6 Solはわずか2%にとどまりました。
同社はGPT-5.6-Cyberを実際のソフトウェアの調査にも活用しています。OpenAIによると、同モデルはGoogleのJavaScriptエンジン「V8」において、これまで知られていなかった2件の脆弱性を発見しました。この2つの脆弱性を組み合わせて悪用すると、メモリ破損とV8のヒープサンドボックスからの脱出が可能になるといいます。この発見は、協調的な脆弱性開示プロセスを通じてGoogleに報告されました。
OpenAIはGPT-5.6-Cyberについて、自社の「Preparedness Framework」におけるサイバーセキュリティ能力の基準で「High(高)」の閾値に達しているものの、「Critical(重大)」の閾値には達していないと分類しています。
Daybreakへのアクセスは、承認された個人および組織に限定されており、本人確認や監視といった管理体制が敷かれています。またOpenAIは、2026年9月1日以降、Daybreakの個人アカウントすべてにハードウェアセキュリティキーの使用を義務付ける予定です。
脆弱性対応への圧力
セキュリティ部門のリーダーたちが直接懸念しているのは、こうした能力が脆弱性の発見と修正にかけられる時間をどれだけ圧縮しうるかという点です。
「CISOは、高度なAIモデルが脆弱性調査やエクスプロイトの検証、攻撃経路の分析、修正作業を加速させるにつれて、脆弱性の発見から悪用までの時間がさらに短縮されていくと想定すべきです」と、ForresterのプリンシパルアナリストであるBiswajeet Mahapatra氏は述べています。
Mahapatra氏は、より大きな変化はまったく新しい攻撃能力の登場そのものではなく、攻撃側・防御側の双方が既存のタスクをより速く、より大規模にこなせるようになる点にあると指摘します。
「これにより、組織は定期的な脆弱性管理から継続的なエクスポージャー管理へと移行するプレッシャーが強まっています」とMahapatra氏は付け加えました。
Confidisの創業者兼CEOであるKeith Prabhu氏も、GPT-5.6-Cyberのようなモデルは脆弱性の発見と武器化を加速させる可能性があるものの、攻撃側と防御側は概ね同様の能力を手にすることになるため、攻守バランスを根本的に変えるものではないだろうと主張しています。
高リスクなサイバーAIに対するガバナンス
OmdiaのチーフアナリストであるLian Jye Su氏によると、フロンティア級のサイバーセキュリティAIモデルを利用する企業は、より厳格な社内アクセス制御を課し、エアギャップ環境または高度に制限された環境にモデルを隔離した上で、包括的なログ記録・監視・異常検知の体制を維持すべきだといいます。
Mahapatra氏は、本人確認、監視、サンドボックス化、アクセス制限は必要ではあるものの、それだけでは十分ではないと述べています。企業はさらに、高リスクな活動に対する正式な承認プロセスを義務付け、人間による監督を維持し、モデルの出力を実際の行動に移す前にレビューする必要があるとしています。
「ガバナンスは、モデルへのアクセス制御だけでなく、モデルが生成した調査結果やエクスプロイトチェーン、推奨事項が、実運用環境に影響を及ぼす前にどのように検証・承認され、実行に移されるかという管理にも重点を置くべきです」とMahapatra氏は述べています。
有効性の測定
市場調査会社JP Dataの代表取締役であるAnand Joshi氏は、こうした能力の加速は、企業がこの技術を迅速に導入すれば優位性につながりうると主張しています。同氏は、専門特化型サイバーモデルの企業における最も直接的な用途の一つとしてゼロデイの発見を挙げました。
Prabhu氏は、脆弱性のトリアージ、セキュアコードレビュー、パッチの検証、インシデント調査、攻撃対象領域の分析なども、近い将来の応用先として挙げています。ただし、検知能力が向上すればするほど、すでに対応しきれないほどの検出結果を抱えているセキュリティチームにとって、おなじみの問題がさらに深刻化しかねません。
「多くのセキュリティチームは、すでに対応可能な範囲を超える数の検出結果を抱えています。したがって、成功の指標を脆弱性の発見件数に置くべきではありません」とMahapatra氏は述べています。
Su氏も同様に、脆弱性の発見件数を成功の指標として扱うことに警鐘を鳴らしています。「重視すべきは、セキュリティ態勢の継続的な改善と、下流への影響を抑えることです」とSu氏は述べています。
Mahapatra氏によると、CISOが注視すべきは、エクスポージャー(露出)期間の短縮や、重大な脆弱性の修正の迅速化、悪用可能なエクスポージャーの減少といった点だといいます。さらに同氏は、脆弱性の深刻度は、悪用の可能性や影響を受ける業務システムの重要性、それが露出している文脈と合わせて検討すべきだと付け加えました。
Prasanth Aby Thomasはフリーランスのテクノロジージャーナリストで、半導体、セキュリティ、AI、EVを専門としています。その記事はDigiTimes Asiaやasmag.comなど複数のメディアに掲載されています。
キャリア初期には、Reutersでエネルギー分野を担当する特派員を務めていました。それ以前は、International Business Times UKでアジアおよびヨーロッパ市場とマクロ経済動向を担当する特派員でした。
Bournemouth大学で国際ジャーナリズムの修士号、Loyola Collegeで視覚コミュニケーションの修士号、Mahatma Gandhi大学で英語の学士号をそれぞれ取得しているほか、国立台湾大学で中国語を学んだ経験もあります。
