OpenAI、サイバーセキュリティ特化モデル「ChatGPT Cyber」を発表

「ChatGPT Cyber」の提供開始

OpenAIは2026年11月5日、サイバーセキュリティに特化した新しいモデル「ChatGPT Cyber」を発表しました。これは同社のセキュリティプログラム「Daybreak」のうち、最高ティアにあたる「Daybreak Red」の利用者に提供されます。Daybreak Redは、攻撃的な視点で脆弱性を探すセキュリティ研究者向けに、脆弱性の探索や開発に使えるツールを提供する枠組みです。防御側向けの「Daybreak Blue」とは対象者が異なります。

OpenAIは前日、同じモデルを使ってLinuxカーネルの脆弱性をスキャンし、修正パッチの準備を行ったと説明しました。この調査では948件の潜在的な問題が見つかったとされています。あわせて、WebブラウザのFirefoxからは81件の「新規」の脆弱性が確認されたということです。

同社は声明で「Daybreakを大幅に拡大し、あらゆる規模の組織、独立した研究者、オープンソースのメンテナに高度なセキュリティ研究を届けることが目標だ」と述べています。

Ubuntuの脆弱性を2時間で発見

今回の発表の背景には、AIを使った脆弱性発見の実例があります。スタートアップCharge Roboticsの最高技術責任者（CTO）で共同創業者のMax Justicz氏は、OpenAIのモデルを使って、Ubuntu上のサーバーを乗っ取られる可能性のある重大な脆弱性を見つけました。Ubuntuは広く使われているオープンソースのLinuxベースOSです。

同氏は7月に公開された「GPT 5.6 Sol」を、防御側に強力なフロンティアモデルへのアクセスを与える「Daybreak Blue」を通じて利用しました。過去に修正された同種のバグを手がかりに、同じコード群へ「同程度かそれ以上に深刻なバグを探してほしい」と指示したところ、2時間で答えが返ってきたといいます。同氏は「非常に複雑で人間には見つけにくいが、確かに動作する」と述べています。

脆弱性は該当ソフトウェアを保守するDebian Projectに報告され、修正パッチが発行されました。悪用された既知の証拠はないとされています。ただし、これほど容易に発見できたことは、AIの助けを借りれば初心者級の攻撃者でも悪用可能な穴がまだ多く残っている可能性を示唆します。同氏は、サブスクリプションとトークンに約5,000ドルを費やしたと話しています。

防御側の負荷と制限への批判

Daybreakプログラムには批判もあります。Justicz氏は、OpenAIが最近「Daybreak Blue」を弱体化（nerf）し、脆弱性の発見に使いにくくしたと指摘しています。プログラムへの参加自体は運転免許証の写真をアップロードするだけで済んだといい、悪意ある利用者を締め出す狙いがあるとみられます。

一方で、防御側の専門家からは、攻撃側が安全制限を外したオープンウェイトモデルを使えるのに、自分たちだけ最先端技術を使えないのは不公平だという声があります。OpenAIによれば、Daybreakに参加しているセキュリティ専門家は「数千人」規模で、潜在的なハッカー数のほうがはるかに多いとされています。

OpenAIの技術スタッフであるEric Wallace氏は、フロンティア計算資源の相当量をオープンソースコードベースの脆弱性発見と修正に無償（プロボノ）で割り当てていると説明します。Linuxのバグ探しには120万ドルを要したものの、これは流体力学の有名な問題の解決に投じた約600万ドルのトークン費用より少ない規模です。さらにOpenAIは、電力網や水道システムといった重要インフラに携わる専門家を支援するため、10億ドルの取り組みも発表しています。

まだ分かっていないこと

現時点では、フロンティアラボがこの問題に十分な資源を投じているかどうかは明らかではありません。AIによって脆弱性の報告が急増すれば、修正する側のオープンソースメンテナや企業のセキュリティチームには大きな負荷がかかります。防御側が「対応しきれない量の作業を押し付けられた」と感じる可能性は否めません。

また、Daybreak Blueの機能がどの程度制限されたのか、その具体的な内容は公表されていません。ChatGPT Cyberの価格や提供地域、日本語を含む言語面の対応についても、原文には記載がありません。数字だけを見て判断せず、実際の提供条件や検証結果を待つ必要がありそうです。