OpenAI、AIが発見したPHPの重大脆弱性で国際的な調整開示の枠組みを提案

AIがPHPの脆弱性を発見

OpenAIは2026年10月21日、オープンソースのプログラミング言語PHPに含まれる重大な脆弱性について、メンテナーや研究者、セキュリティ企業からなる連合を主導して対応したと発表しました。過去2か月にわたる取り組みで、PHPのメンテナーが修正とリリースを主導し、OpenAIのチームとWiz、Cloudflareなどのパートナーが調査や技術支援、調整を担ったとしています。

OpenAIによれば、Califが同社の「Patch the Planet」構想の一環としてGPT‑5.6 Solを使い、重大な欠陥を特定しました。Wizも2件の脆弱性を独自に発見し報告したとされています。修正を公開する前に防御側が備える時間を確保するため、関係者が足並みをそろえて準備を進めた形です。

PHPを利用する組織に対しては、修正の適用が最優先だとしています。OpenAIはCodexのスキルとしてPHPのバージョンチェッカーを公開し、脆弱な可能性があるバージョンの特定を支援します。適用すべき更新の判断は、PHP側と各プロバイダの案内に従う必要があります。

「防御側の窓」をどう確保するか

原文は、これらの欠陥の深刻さとPHPの普及度を踏まえ、「近年で最も影響の大きいセキュリティ問題の一つ」と位置づけています。AIがインターネット規模の影響を持つ欠陥を見つけられることを示す一方、同じ能力が攻撃者による攻撃ツールやエクスプロイトの急速な開発にも使われ得ると指摘しています。

OpenAIは「自分たちの知る限り、フロンティアAIが攻撃者より先にこれらの脆弱性を発見した」と説明し、これを「Defender's Window（防御側の窓）」と呼んでいます。修正と防御策を公開前に用意できる時間が生まれた、という意味です。

こうした能力をより多くの防御側に使ってもらうため、OpenAIは「Daybreak for Frontline Defenders」を通じて10億ドル分の補助付きDaybreakアクセスを約束しました。対象は、重要サービスを守りながらセキュリティ資源が限られる組織としています。

5段階の対応フレームワーク

OpenAIは、広く使われるソフトウェアの重大な脆弱性に対応するための枠組みを提案し、セキュリティコミュニティに改善を呼びかけています。提示された対応は5段階で、上流の脆弱性の検証と修正、影響を受ける組織が動く時間の確保、政府パートナーとの連携、影響製品全体での更新準備、修正公開後のガイダンス公開と配備支援という流れです。

検証・修正の段階では、フロンティアモデルを使った敵対的テストを行い、修正を回避する方法や類似の変種がないかを調べます。時間確保の段階では、ディストリビューターが旧リリース向けに修正を適用したり、ホスティング事業者が緩和策を検証したり、セキュリティ事業者がWAFルールを含む検知・防御策を用意したりすることを想定しています。

政府との連携では、PHPの件で米ホワイトハウスのSuper Intelligence Force、ONCD（国家サイバー長官室）、CISA（サイバーセキュリティ・インフラセキュリティ庁）など複数の米政府機関と、国際的なパートナーに働きかけたとしています。誰に事前情報を渡すかはメンテナーが決め、組織の防御上の役割や対応に必要な時間、機密情報の扱い方を基準に判断するということです。

メンテナー支援と誤用対策

こうした国際的な調整は、ソフトウェアを維持する人々の余力に依存します。多くのプロジェクトは小さなチームで運営され、通常の開発と並行してセキュリティ報告を確認しています。OpenAIは、新しい問題と重複報告の切り分け、影響評価、サポート対象リリースでの修正テストを支援するため、資金とモデルへのアクセス、エンジニアによる手助けを提供するとしています。

具体的には、Codex for OSSを通じた全メンテナーへのサブスクリプション提供や、Rust Foundationのようなプロジェクトへの直接スポンサーが挙げられています。再利用可能なテストやセキュリティワークフローを整えることで、将来の指摘への対応コストを下げられるという考え方です。

一方でOpenAIは、Daybreak向けの追加のブロッキング分類器を調整しているとも述べています。悪用を防ぐための安全策が正当なセキュリティ作業まで妨げる可能性があり、能力への幅広いアクセスと悪用対策の両立は難しいトレードオフだと認めています。

現時点で分かっていないこと

原文では、脆弱性の具体的な内容やCVE番号、影響を受けるバージョンの範囲は示されていません。Califが誰・どの組織を指すのかも明らかではありません。PHPの修正がどのバージョンで提供されたかの詳細も、この文章だけでは判断できません。

OpenAIは「これらはすでに見つけて修正作業を進めている複数の重大な脆弱性の一部」とし、今後数か月で同様の発見が急増するとの見方を示しています。ただし、その根拠となる数値や件数は示されていません。

また、記事は「より安全なソフトウェアの基盤づくり」の節の途中で終わっており、開発初期から安全なコードを書くための取り組みの全容は読み取れません。詳細は続きの公開を待つ必要があります。