米OpenAIはサイバーセキュリティ特化型モデル「GPT-6 Cyber」を発表した。
研究者が指定した範囲内で脆弱性を発見・検証し、修正案の提示まで支援するモデルであり、APIとCodexを通じてDaybreak Redの承認済み顧客の一部への提供が始まった。
GPT-6 Cyber、実システムの脆弱性を検証
2026年11月5日に発表されたGPT-6 Cyberは、ソフトウェアの解析や脆弱性の特定に加え、実際に悪用可能かを確かめるエクスプロイト（※）の開発にも対応する。
指定された脆弱性を攻撃できるか測る評価「ExploitGym」では48.5％を記録し、GPT-5.6 Cyberの32.1％から約16ポイント上昇した。
ソースコードなしでWebアプリケーションを調べる評価でも、GPT-6 Astraの32.0％に対し、脆弱性の再現率は40.3％となった。
実システムでの調査では、Linuxカーネルの脆弱性1,724件を再現し、このうち948件で動作するエクスプロイトを開発したという。
Firefoxでは、Mozillaが高深刻度と判定した未知の脆弱性81件を発見し、修正案と再現可能なテストを提供した。Mozillaは報告を受けて修正に着手し、多くの脆弱性について修正を公開した。
同モデルは、研究者が指定した範囲からの逸脱を抑え、許可された範囲内で行動するための専用訓練も受けている。
対象外サービスへの攻撃を避けた割合は、ExploitGym Honeypotなどのアライメント評価において、導入時の安全プロンプトなしで99.93％、ありでは100％だった。サイバー能力はPreparedness Frameworkで「Critical」と分類された。
また、重要インフラの防御担当者向けに、承認制の専用グループ「Daybreak Red for Critical Infrastructure」がDaybreak Red内に設けられる。
GPT-6 Cyberは当初、APIとCodexを通じてDaybreak Redの承認済み顧客の一部に提供され、今後、同プログラムの全顧客へ段階的に利用が拡大される予定だ。
※エクスプロイト：ソフトウェアやシステムの脆弱性を利用し、意図しない動作を引き起こすコードや手法。脆弱性の影響を検証する目的でも使用される。防御側は脆弱性の再現や影響確認に用いるが、攻撃者に悪用される可能性もある。
防御の効率化と悪用リスクの両面
GPT-6 Cyberの強みは、脆弱性の発見から影響の検証、修正案の作成までを連続して支援できる点にありそうだ。これにより、専門人材や調査時間が限られる組織でも、ソフトウェアの点検や修正を進めやすくなるだろう。
特に、広く利用されるオープンソースソフトウェアの安全性向上に寄与する可能性がある。
一方、脆弱性を再現し、実際に動作する攻撃手法まで開発できる能力は、悪意ある利用者に渡れば攻撃の高度化にもつながり得る。特に電力や水道などの重要インフラでは、システムへの侵入や設備の不正操作が社会的な被害に直結しかねないため、注意する必要がありそうだ。
モデルの能力が高まるほど、利用者のアクセス権限の確認や実行環境の隔離、操作の監督が重要になると言える。
今後の焦点は、正当な研究者に十分な機能を提供しながら、不正利用をどこまで抑えられるかだろう。
GPT-6 Cyberの普及には、脆弱性調査の生産性向上に加え、アクセス管理と運用上の安全性を両立できるかが重要な要素になると考えられる。
関連記事：
OpenAIがLinux脆弱性948件検証 修正案を自動生成へ
OpenAIがImages 2.6公開 画像生成を50％高速化
OpenAI、サイバー防御「Daybreak」を赤青2階層に 特化型「GPT-5.6-Cyber」投入
