OpenAIは2026年11月5日、セキュリティ研究向けモデル「GPT-6 Cyber」を発表した。脆弱性の悪用可能性を検証する同社ベンチマークで48.5％を記録し、Firefoxでは新たな高深刻度の脆弱性81件を発見したと説明する。AIが防御側の調査能力を広げる一方、利用には承認された対象範囲と人間による検証が欠かせない。
脆弱性検証の成績が上昇
OpenAIは11月5日、セキュリティ研究に特化したGPT-6 Cyberを公表した。同社のExploitGym評価では、指定された脆弱性を悪用できるかを検証する課題で48.5％を記録し、GPT-5.6 Cyberの32.1％を上回った。差は16.4ポイントであり、OpenAIが示す相対改善率は約51％となる。ただし、これは同社が示した特定の評価条件下の結果で、一般企業の脆弱性検出率を直接示す数字ではない。
Firefoxで新規81件、Linuxでは既存問題の検証も
OpenAIによると、GPT-6 Cyberを使った研究でFirefoxの新規高深刻度脆弱性81件について再現可能な検証結果を得て、Mozillaへ報告した。既知の30件についても深刻度の再評価につながったという。Linuxでは1,724件の脆弱性を再現し、948件について動作する悪用コードを作成したと説明する。948件を「新規脆弱性の発見数」と表現するのは誤りであり、既存のLinux研究記事と区別が必要だ。修正提案や開発元による修正は進行中で、すべての問題が修正済みという意味ではない。
防御への利用は限定提供、権限境界も重要
GPT-6 Cyberは当初、審査済みのDaybreak Red利用者の一部にAPIとCodex経由で提供される。一般のChatGPT利用者が無条件で利用できるという発表ではない。OpenAIは許可範囲外のサービスを攻撃しないかを検証する別評価で、配備用プロンプトなし99.93％、あり100％だったと報告した。しかし、評価結果はすべての実運用で逸脱が起こらない保証ではない。セキュリティ担当者には、対象資産と権限の明文化、隔離環境、成果物の人手確認、修正適用後の再検証が引き続き必要となる。
企業の意思決定にどう関わるか
この発表の意味は、AIが単にコードを説明する段階から、再現試験と修正候補の作成を伴う防御研究へ進みつつある点にある。一方、製品別の実際の導入効果、費用、日本企業向けの提供条件は今回の資料だけでは判断できない。導入を検討する企業は、利用可能な契約・審査条件、対象システムの許諾、検出結果の誤判定と修正の品質を個別に確認したい。