GPT-5.6-Cyberを公開 OpenAIは拒否をやめる相手を審査で選ぶ

所属テーマ

AIセキュリティと防御運用統制と権限設計AIの基盤化と流通網

確認できた事実

OpenAIは8月10日、防御側向けプログラム「Daybreak」を2つの階層に分けました。Daybreak Blueは、GPT-5.6 Solを含む汎用のフロンティアモデルに、認可された防御業務向けの安全策を当てた形で提供します。通常の製品に入っている、サイバー関連の依頼を止めるためのシステム側の仕組みを外すのが要点です。Daybreak Redは、認可された脆弱性研究・エクスプロイトの検証・セキュリティテスト向けに、専用に訓練されたモデルを提供します。

そのRedで使えるのがGPT-5.6-Cyberです。土台はGPT-5.6 Sol。ゼロデイ(未知の脆弱性を突く攻撃)の発見や、エクスプロイトの連鎖づくりといった専門作業の性能を上げてあります。あわせて、高リスクな依頼への拒否を減らすよう訓練されています。

数字がはっきりしています。エクスプロイト連鎖の開発、認証の回避、権限昇格といった高度な依頼にどれだけ応じるかを測る社内評価で、GPT-5.6-Cyberは95.0%。通常のGPT-5.6 Solは1.5%、Daybreak Blue経由のSolでも2.0%です。前世代のGPT-5.5-Cyberは57.3%でした。同じ土台のモデルで、応じる範囲がここまで違います。

成果も公表されています。ChromeのJavaScriptエンジンV8で未知の脆弱性を2件発見し、連鎖させるとメモリを壊してサンドボックスから抜けられる状態でした。研究者が検証してGoogleへ協調開示し、修正済みです(CVE-2026-15903)。ほかにモバイルOSで5件以上、あるデータベースで重大な3件、あるOSカーネルでは権限昇格につながる問題を400件以上見つけたとしています。

都合の悪い数字も出しています。脆弱性の発見と報告書作成を測る社内評価では、GPT-5.6-CyberはSolより成績が下でした。報告書が短く、詳細に欠けることがあるためと説明されています。V8を対象にしたExploitBenchでも、300ターンの標準設定ではDaybreak BlueのSolのほうが良い結果です。600ターンまで広げると差が縮まります。

安全側の評価では、GPT-5.6-CyberはPreparedness FrameworkのHigh(高)であり、Criticalには達していないとしています。8月7日に開発を止めたAstraとは別のモデルです。Hugging Faceの侵入にも関与していない、と改めて明記されています。

審査されるのは、モデルではなく利用者

この発表でいちばん新しいのは、モデルの性能ではありません。誰に渡すかを決める仕組みのほうです。

アクセスは、承認された個人と組織に限られます。条件として並んでいるのは、本人確認、アカウントの安全確保、監視、用途の制限、そして法的な宣誓です。さらに2026年9月1日から、Daybreakの個人アカウントはハードウェアセキュリティキーが必須になります。

使い方の指示も具体的です。Codexを使う顧客には、すべてを許可するモードから自動レビューのモードへ切り替えるよう強く勧めています。危険な操作を実行前に評価して止める仕組みです。あわせて、隔離された環境で動かすこと、エージェントの動作を監視すること、認可された対象と操作の範囲を権限プロファイルで明示することが推奨されています。

ここは自社でエージェントを運用する場合にもそのまま使える設計です。ツールポイズニングの対策で挙げた「権限を最小にし、承認を挟み、記録を残す」と、まったく同じ組み立てになっています。

利用企業への影響

大半の企業には、直接の関係がありません。Daybreakは認可された防御業務向けの申請制で、一般の業務利用に向けたものではないからです。それでも、間接的に効くことが3つあります。

第一に、脆弱性の報告が増えます。ひとつのカーネルで400件以上という規模は、これまでの人手の調査とは桁が違います。自社製品やOSSを持つ組織は、報告を受け取る窓口と、優先度を判断して直す体制が今年中に試されると考えたほうがいいでしょう。

第二に、パッチ適用の速度です。攻撃側も同じ方向の能力を手に入れます。8月8日の記事で書いたとおり、未知への備えは難しくても、既知を潰す速度は自社で決められます。今回のCVEのように、修正が出てから当てるまでの時間が勝負になります。

第三に、認証の要求水準です。ハードウェアキー必須という条件は、AIの提供元が利用者側の守りにまで踏み込んだ例になります。強い機能を使う代わりに社内の認証を上げる、という取引は、今後ほかの製品にも出てくるはずです(AI利用ガイドラインの作り方)。

どう読むか

1.5%と95.0%という2つの数字が、この記事のすべてを言っています。土台のモデルは同じです。それでも、応じる範囲が60倍以上違う。つまり製品の境界を決めているのは、モデルが何をできるかではなく、拒否をどこに設定し、誰の前で外すかです。当サイトが追ってきた「性能から配布条件へ」という線が、ここまで直接的な数字になったのは初めてだと思います。

ここで立ち止まりたいのは、審査の対象が移ったことです。7月から見てきた統制は、モデルの側を測るものでした。能力の等級、リリース前の審査、評価環境の隔離。今回は、モデルではなく利用者を審査しています。身元、宣誓、認証の強さ。同じ能力を、確かめた相手にだけ渡す。7月のGoogleが政府と提携先に限ったのと同じ考え方で、OpenAIは審査を通れば個人にも渡す点が違います。

面白い(そして落ち着かない)のは、防御と攻撃が同じ能力だという事実が、製品仕様として認められたことです。CVE-2026-15903は現に世界中のChromeを守りました。同じ能力が、相手を間違えれば真逆に働く。だから会社は、モデルを弱くするのではなく、人を確かめる方を選びました。技術の問題を、手続きの問題として解いています。

もう一点、公表の姿勢は評価に値します。報告書の質ではSolに負け、ExploitBenchの標準設定でも負けている。自社に不利な数字を並べたうえで、それでも配る理由を書いています。中身を公開しない政府の枠組みと並べると、この差は際立ちます。

次に見ること

第一に、GPT-5.6-Cyberのシステムカードです。後日公開とされており、そこで評価の詳細が読めます。第二に、9月1日からのハードウェアキー必須が実際にどう運用されるか。第三に、報告された脆弱性の行き先です。カーネルの400件超がどの速度で修正されるかは、今回の枠組みが防御に効いたかどうかの答えになります。第四に、他社の追随です。Googleは政府と提携先に限り、Microsoftは製品として売っています(経緯)。審査つきで広く渡すOpenAIの形が標準になるのか、ここで分かれます。最後に、オープンウェイトで守る側の同盟との対比です。審査で選ぶ道と、誰にでも配る道。防御の配り方は、まだ決着していません。

前後の流れ

OpenAIがAstraの開発を減速 / Microsoftの防御AIが公開プレビューに / GoogleのサイバーAIは政府限定に / NVIDIAら37社がAI防御の開放同盟 / ツールポイズニングとは / フロンティアモデルとは