30秒サマリー
- OpenAIがDaybreakを二段階アクセス層に拡張し、新モデルGPT-5.6-Cyberを提供開始
- 同モデルは高度サイバー要求への応答率95%を達成、前世代の57%から大幅向上
- 実際にChrome V8の未知脆弱性2件を発見・開示済み、400件超のOSカーネル脆弱性も特定
何が起きたか
OpenAIは2026年8月10日、サイバーセキュリティ特化プログラム「Daybreak」の拡張と新モデル「GPT-5.6-Cyber」の提供開始を発表した。Daybreakは承認済みのセキュリティ専門家・防御担当者向けに二段階のアクセス層を設ける。「Daybreak Blue」は脆弱性発見・セキュアコードレビュー・マルウェア分析・インシデント対応などを支援する汎用モデルGPT-5.6 Solを提供し、通常の安全ガードレールを解除する。「Daybreak Red」はさらに高度なGPT-5.6-Cyberを提供し、エクスプロイト検証や認証バイパス、権限昇格など従来は拒否されていたタスクへの対応率を大幅に引き上げる。
OpenAIが開発した内部評価指標「Advanced Cybersecurity Completion Rate」によると、GPT-5.6-Cyberは高度なサイバーセキュリティ要求への応答率が95.0%に達し、通常のGPT-5.6 Solの1.5%、前世代のGPT-5.5-Cyberの57.3%を大きく上回る。一方で、脆弱性レポートの詳細度ではGPT-5.6 Solに劣る場面も確認されており、タスクによって使い分けが求められる。
OpenAIはGPT-5.6-Cyberを使い、ChromeのJavaScriptエンジンV8において未発見の脆弱性2件を連鎖的に発見した。同脆弱性はメモリ破壊とV8ヒープサンドボックス脱出につながる可能性があり、Googleへの協調開示を経て修正済みとなり、CVE-2026-15903として登録された。さらに、主要なモバイルOSでの特権昇格を含む5件以上の脆弱性、一般的なデータベースの遠隔コード実行につながる重大脆弱性3件、OSカーネルの権限昇格につながる400件超の脆弱性も発見しており、関係者と連携して順次開示・修正対応を進めているとしている。
原典ハイライト
OpenAI公式ブログによれば、GPT-5.6-CyberはPreparedness Framework評価で「High」レベル（Critical未満）と判定された。SpecterOpsのCTOは「従来モデルが数週間かけても解決できなかった作業を、1日未満で完了させた」とコメントしている。なお同社は、Hugging FaceのセキュリティインシデントにGPT-5.6-Cyberが関与していないと明示した。
出典: OpenAI News/Research（公式ブログ）
So What?（なぜ重要か）
AIがサイバー攻撃を「自律的・大規模」に遂行できる時代が近づく中、OpenAIは防御側が攻撃者に先んじてAIの高度能力を使えるよう、意図的にガードレールを解除したモデルを提供し始めた。これは「防御のためなら高リスク機能も開放する」という新たな安全戦略の転換を示しており、サイバー防衛の主戦場がAI活用能力の差に移行しつつあることを示唆する。
日本企業への示唆
日本の企業・組織にとって示唆は二層ある。第一に、Daybreakのような「信頼済み防御者向け高権限AIアクセス」の仕組みが国際標準化していく可能性があり、自社のセキュリティチームがこうした認定プログラムへ参加できる体制を整えることが競争力に直結する。第二に、GPT-5.6-Cyberが実際に400件超のOSカーネル脆弱性を発見したという事実は、自社製品・サービスの脆弱性がAIによって従来より格段に速く発見されるリスクを意味する。セキュリティ診断サイクルの短縮、バグバウンティプログラムの強化、AIを用いた継続的なコード審査の導入を検討すべき局面にある。
背景・経緯
今回の発表はGPT-5.6 Solに関するOpenAIの既報を踏まえた内容であると原文は言及しているが、Daybreakプログラムがいつ開始されたか、また今回の拡張がGPT-5.6 Solの公開と連動しているかどうかについて、原文では明確に記述されていない。Preparedness Frameworkはサイバー能力を含むリスク評価の公式枠組みであり、今回のGPT-5.6-CyberはGPT-5.6 Sol同様に「High」評価（Critical未満）と判定されたと原文は説明している。
