OpenAI、新AIモデル「GPT-5.6-Cyber」を発表：防御側が攻撃者より先に脆弱性を発見できるよう支援

OpenAIは、Daybreakプログラムを2つのアクセス層と、攻撃者がAIを活用したオフェンシブツールを大規模に展開する前に、防御側が脆弱性を発見しエクスプロイトを開発するのを支援するために設計された、GPT-5.6-Cyberという新しい専門モデルで拡張しています。OpenAIによると、脅威アクターは今後ますますAIをサイバー攻撃に使用するようになり、完全に自律的な形態も含まれるため、防御側が準備できる時間的猶予は短くなります。その例として、OpenAIのモデルが意図せずHugging Faceや他のサービスをハッキングしたことが挙げられます。Daybreak Blueは、脆弱性検出、マルウェア解析、インシデント対応など、権限のある防御作業向けにガードレールを調整したGPT-5.6 Solへのアクセスを提供します。Daybreak Redは、脆弱性調査、エクスプロイト検証、ペネトレーションテストを行うセキュリティ研究者を対象としています。両層へのアクセスには、本人確認、アカウントセキュリティ、監視、および法的な宣言が必要です。2026年9月1日以降、すべてのDaybreakアカウントでハードウェアセキュリティキーが必須になります。OpenAIはまた、セキュリティワークフローを隔離されたサンドボックス環境で実行し、Codexの自動レビューモードを使用することを推奨しています。GPT-5.6 Solに基づくGPT-5.6-Cyberは、Red層を通じて利用でき、内部ベンチマークの「高度なサイバーセキュリティ完了率」でクエリの95%に回答します。このベンチマークは、エクスプロイトチェーン開発、認証バイパス、特権昇格などのシナリオをカバーしています。対照的に、ガードレール付きのGPT-5.6 Solは1.5%、Daybreak Blueは2%、前身のGPT-5.5-Cyberは57.3%を達成しています。具体的なテストでは、Daybreak Red上のGPT-5.6-CyberのみがWebSocket認証バイパス用の機能的なエクスプロイトコードを生成し、他のバリアントは拒否しました。ExploitGymでは、GPT-5.6-CyberはGPT-5.6 SolとGPT-5.5-Cyberの両方を上回っています。OpenAIはGPT-5.6-Cyberを実際の脆弱性調査に使用し、ChromeのV8 JavaScriptエンジンで、メモリ破壊とV8ヒープサンドボックスを回避するために連鎖させることができる、これまで知られていなかった2つの脆弱性を発見しました。GoogleはこれらをCVE-2026-15903として修正しました。さらに、GPT-5.6-Cyberは「人気のあるモバイルオペレーティングシステム」で少なくとも5つの脆弱性を発見し、その中にはアプリの特権を管理者に昇格させることができるチェーンも含まれていました。OpenAIは、開示についてDaybreakパートナーやオープンソースコミュニティと協力しています。OpenAIの準備フレームワークの下で、GPT-5.6-Cyberはサイバーセキュリティ能力が「高」と評価されており、Astraモデルが達成する可能性のある「重大」の閾値には達していません。