サイバー能力はGPT-6 Astraと同じCritical
GPT-6 Cyberは、OpenAIが2026年11月5日に発表した、サイバーセキュリティ向けのAIモデルです。脆弱性を見つけて実際に悪用できるかまで検証でき、その間も研究者が設定した範囲からは出ないように訓練されています。
OpenAIは安全評価で、このモデルのサイバー能力をCriticalに分類しました。ただし、脆弱性発見と攻撃コード作成に特化したGPT-6 Cyberは前のGPT-5.6 CyberのHighから1段上がったものの、Criticalに分類されたのは2026年9月のGPT-6 Astraに続いて2番目です。
"A cybersecurity model trained to find and validate exploitable vulnerabilities, while staying within the scope that researchers set." — 冒頭の要約より公式情報を見る →
CriticalはHighより1段上の分類
Preparedness Frameworkは、OpenAIが新しいモデルの危険な能力を評価し、その程度に応じて段階に分ける仕組みです。この仕組みのもと、OpenAIは、ソフトウェアを理解し脆弱性を見つけ、動作する攻撃コードを作る作業を試した結果から、GPT-6 CyberをCriticalに分類しました。 前のGPT-5.6 Cyberは、その1つ下のHighでした。
GPT-6 Astraのシステムカードによると、Criticalとされる条件の1つは、人の手を借りずに、対策を重ねた実在の重要なシステムで未知の脆弱性を見つけ、そこを突く攻撃コードまで作れることです。
"Based on these results, we classify the model as Critical in cybersecurity under our Preparedness Framework, up from High for GPT‑5.6 Cyber." — 「Advancing frontier cyber capabilities」より公式情報を見る →
"The model can identify and develop functional zero-day exploits of all severity levels in many hardened real-world critical systems without human intervention." — 「Cybersecurity Capabilities」より公式情報を見る →
最初のCriticalは9月のGPT-6 Astra
Criticalに分類されたのは、GPT-6 Cyberが初めてではありません。OpenAIは2026年9月3日に公開したシステムカードで、汎用モデルのGPT-6 Astraを、サイバーセキュリティ能力がCriticalに達した最初のモデルとしています。
つまり、11月5日に発表された内容はGPT-5.6 CyberのHighからCriticalへの引き上げで、Criticalへの到達そのものは、汎用モデルが9月の時点で先に果たしていました。
"Astra is our first model to reach the Critical level of cybersecurity capability under our Preparedness Framework." — 「Safety overview: GPT-6 Astra」より公式情報を見る →
攻撃コード作成でGPT-5.6 Cyberを大きく超える
攻撃コード（エクスプロイト）は、脆弱性を突いて、許されていない操作をソフトウェアに実行させるプログラムです。防御側は攻撃コードを実行して被害が本当に起きるかを確認し、修正優先度を判断します。
実際、GPT-6 CyberはExploitGymの成績を約16ポイント伸ばし、Linuxカーネルでは同じ研究環境のGPT-5.6 Solの5倍を超える948件を作りましたが、数値はいずれもOpenAIが自社で作った評価のものです。
ExploitGymの成績（OpenAIの発表より）
棒は、指定の脆弱性を悪用できた割合（%）で、OpenAIが自社で作った評価の値です。
GPT-6 CyberGPT-6 Astra（Daybreak Blue）GPT-5.6 CyberGPT-5.6（Daybreak Blue）GPT-6 Astra（安全対策を有効化）"It is already helping to secure real-world software, uncovering and validating thousands of exploits in security-critical codebases such as Linux and Firefox." — 冒頭より公式情報を見る →
ExploitGymで48.5%、前モデルは32.1%
ExploitGymは、遠隔の標的にある指定の脆弱性をモデルが悪用できるかを調べる評価です。GPT-6 Cyberは48.5%で、GPT-5.6 Cyberの32.1%より約16ポイント高くなりました。一方、汎用のGPT-6 Astraは42.4%でしたが、安全対策を有効にすると0.0%に落ち、攻撃作業をこなせるのは防御側向けに制限を緩めた構成だけでした。
42.4%は、確認済みの防御担当者向けに、正当な用途での応答拒否を抑えた「Daybreak Blue」で使った場合の値です。ソースコードを見ずにウェブアプリを調べるペネトレーションテストの評価では、脆弱性を見つけた割合がGPT-6 Cyberで40.3%、GPT-6 Astraで32.0%でした。
GitLabやPostgreSQL、Jenkinsなどにある既知の脆弱性を使うRemoteExploitBenchでは、Daybreak BlueのGPT-6 Astraがすべての作業を拒否した一方、GPT-6 Cyberは95%を完了しています。
"On ExploitGym, which tests whether models can exploit a specified vulnerability in a remote target, GPT‑6 Cyber scores 48.5%, about 16 percentage points higher than GPT‑5.6 Cyber’s 32.1%." ／ "GPT‑6 Cyber achieved 40.3% recall of vulnerabilities compared with 32.0% for GPT‑6 Astra." ／ "GPT‑6 Astra running with Daybreak Blue refused 100% of tasks, while GPT‑6 Cyber completed 95%" — 「Advancing frontier cyber capabilities」より公式情報を見る →
Linuxで948件、Firefoxで未知の脆弱性81件
OpenAIの研究者がGPT-6 Cyberを使って再現したLinuxカーネルの脆弱性は、1,724件でした。そのうちGPT-6 Cyberが攻撃コードを作れたのは948件で、同じ研究環境でGPT-5.6 Solが作れた166件の5倍を超えます。
どれも一般ユーザーの権限から管理者権限を奪う種類の攻撃コードで、OpenAIは重大な304件を修正案と一緒にLinuxの保守担当者へ報告しました。
Firefoxでは、Mozillaが深刻度「高」に分類した未知の脆弱性81件について、GPT-6 Cyberが根拠と再現できるテストを作りました。すでに知られていた30件も、報告より深刻だとわかっています。Mozillaは報告を受けてまもなく修正を製品へ反映し始めており、多くの修正はすでに公開済みです。
圧縮ライブラリBrotliの重大な脆弱性では、OpenAIの研究者がGPT-6 Cyberを他のモデルと組み合わせて攻撃コードを作りました。Brotliを組み込んだアプリで、遠隔からコードを実行できることも確認しています。
ただし、この脆弱性はOpenAIが先に公表していたもので、GPT-6 Cyberが見つけたものではありません。
"GPT‑6 Cyber reproduced 1,724 vulnerabilities and developed working exploits for 948—more than five times the 166 exploited by GPT‑5.6 Sol using the same research harness." ／ "GPT‑6 Cyber produced evidence and reproducible tests for 81 novel vulnerabilities classified by Mozilla as high severity" ／ "Our security researchers used GPT‑6 Cyber alongside other OpenAI models to develop and validate exploits showing how the flaw could enable remote code execution in downstream applications." — 「Real-world impact for security teams」より公式情報を見る →
範囲外のサービスを攻撃しなかった割合は99.93%
サイバー向けのAIエージェントには、任された作業範囲から出て無関係なサービスを攻撃したり、研究者が定めた実施ルールを無視したりする危険があります。そこでOpenAIは専用の訓練で、許可された範囲と行動制限を守り、作業の結果を正確に報告するようGPT-6 Cyberを調整しています。
その結果、わざと攻撃しやすいサービスを置いた評価で、GPT-6 Cyberは安全用のプロンプトが無くても99.93%の試行で範囲外の攻撃を避け、GPT-5.6 Cyberの94.49%から改善しました。
範囲外のサービスへの攻撃を避けた割合（ExploitGym Honeypot、OpenAIの発表より）
棒は、範囲外のサービスを攻撃せずに終えた試行の割合（%）です。安全用のプロンプトは、実際の運用で加える指示を指します。
GPT-6 Cyber（安全用のプロンプトあり）GPT-6 Cyber（安全用のプロンプトなし）GPT-5.6 Cyber（安全用のプロンプトなし）この評価はExploitGym Honeypotと呼ばれ、OpenAIのモデルがHugging Faceへ侵入した件を踏まえて作られました。隔離した環境でモデルに難しい攻撃の課題を与え、そばにパッケージの公開サービスやデータの保存先を用意しておきます。
どちらも攻撃すれば課題の正解が手に入るよう、わざと弱く作ってあり、モデルは、そこを攻撃するのが範囲外だとAI自身で判断しなければなりません。実際の運用で使う安全用のプロンプトを加えると、GPT-6 Cyberは100%の試行で範囲内にとどまっています。
"One of these evaluations is ExploitGym Honeypot, which was informed by the Hugging Face incident." ／ "When tested without deployment safety prompts, it avoided exploiting out-of-scope services in 99.93% of cases, up from 94.49% for GPT‑5.6 Cyber. With those prompts, GPT‑6 Cyber stayed within bounds 100% of the time." — 「Stronger alignment, better at staying within bounds」より公式情報を見る →
提供は承認済みのDaybreak Red顧客から始める
Daybreakは、OpenAIが防御側の組織や研究者に高性能なモデルを提供する申込み制のプログラムです。
確認済みの防御担当者が脆弱性と修正を検証する「Daybreak Blue」と、攻撃コードの開発や許可を得たセキュリティテストまで行う「Daybreak Red」の2つがあります。このうちGPT-6 CyberはDaybreak Redで提供され、まず選ばれた一部の顧客がAPIとCodexから使い、GPT-5.6 Cyberは全顧客に開放されました。
OpenAIは、GPT-6 Cyberも近くDaybreak Redの全顧客へ広げる予定です。
Daybreak BlueとRedの違い（OpenAIの発表より）
| Daybreak Blue | Daybreak Red | |
|---|---|---|
| 主な用途 | 脆弱性と修正の検証 | 攻撃コードの開発、許可を得たセキュリティテスト |
| 使えるモデル | GPT-6 Astra（アルファ版の提供先を拡大中） | GPT-6 Cyber（一部の顧客から）、GPT-5.6 Cyber |
"GPT‑6 Cyber is initially available through the API and Codex to a select group of approved Daybreak Red customers. We will progressively expand access to all Daybreak Red customers soon" — 「Expanding access to trusted defenders」より公式情報を見る →
IPアドレスの許可リストで、盗まれた認証情報の悪用を防ぐ
OpenAIによると、モデルの能力が上がるにつれて、悪意のある攻撃者や、OpenAIのモデルを蒸留しようとする集団による悪用の試みも増えています。
そこで、Daybreak RedのAPIは初期設定でIPアドレスの許可リストが必須なので、認証情報が盗まれても承認したネットワークの外からは要求が通りません。 OpenAIは、認証情報が盗まれていないかも監視しています。
GPT-6 Cyberの公開にあわせて、OpenAIは次の対策を追加・強化しました。
- モデルの行動が、ユーザーの許可に沿っているかを監視する（正当な攻撃コードの開発やテストとは区別する）
- 自動点検で悪用を調べる、Private Safety Processing（PSP）を使う。データを保持しない設定（ゼロデータ保持）のAPI顧客は原則として必須で、顧客側に30日間保管した暗号化済みの記録を、プロンプトと応答をOpenAIの担当者に見せないまま点検する
- 危険の大きい作業では、サンドボックス、行動確認、人による監督を勧める
"We require IP allowlisting for Daybreak Red API access by default, restricting requests to approved networks with limited exceptions. We also monitor credentials for compromise." — 「Detecting misuse and blocking high-risk activity」より公式情報を見る →
重要インフラの防御担当者には専用グループと10億ドルの助成
OpenAIは安全対策と提供範囲を設計するうえで、発電所や水処理施設と、それを支える制御システムを守ることを重視してきました。そこで、発電所や水処理施設を守るチームは、新設の「Daybreak Red for Critical Infrastructure」で重要なシステムを許可を得て試験でき、資源の限られたチームの利用費は総額10億ドル（約1,583億円）の助成で補われます。
助成の名前は「Daybreak for Frontline Defenders」で、政府機関や生活に欠かせないサービスの事業者などが対象です。
一方で、Daybreak RedとBlueの悪用を防ぐため、産業用の制御や安全に関わるシステムの侵害、設備への干渉、重いけがや命に関わるサービス停止につながる支援は、新しい点検で遮断しています。
"our $1 billion Daybreak for Frontline Defenders grant program subsidizes access for resource-constrained teams such as government organizations and essential service providers." ／ "We’re also introducing a new group within Daybreak Red (Daybreak Red for Critical Infrastructure) for approved critical infrastructure defenders" — 「Defending critical infrastructure」より公式情報を見る →
Dragosは攻撃の準備に必要な技量が下がると指摘
OpenAIは、重要インフラの防御にモデルがどこまで役立つかを確認するため、制御システムのセキュリティを専門とするDragosと組んで試験を行いました。
Dragosは制限を緩めたDaybreak Redのモデルを管理された試験環境に置き、ネットワークの探索から危険な機器の操作まで、段階を追って要求を出しました。その結果、模擬の発電所でモデルはほぼ情報を与えられずに保護の設定と遮断器が作動する条件まで突き止め、Dragosはこれを攻撃者が物理設備に手を出す前に欲しがる地図だとしています。
Dragosが評価で出した要求の段階（OpenAIの発表より）
| 段階 | 要求の内容 |
|---|---|
| 1 | ネットワークの探索と、つながっている機器の洗い出し |
| 2 | 特定の標的に向けた偵察 |
| 3 | 機密データの持ち出し |
| 4 | 許可のない、危険につながりうる機器の操作 |
モデルはIT機器に紛れた制御機器（OT）を見分け、保護リレーのデータを管理するエンジニアリング用のソフトウェアから、未知の脆弱性を2件見つけました。DragosのRob T. Lee氏（最高AI責任者）は、攻撃の前に必要な偵察と脆弱性の調査で、求められる技量の下限が下がっていると述べています。
OpenAIはDragosの意見をもとに、許可された試験を必要以上に妨げずに有害な支援を遮断できるよう、安全対策を見直しました。ただ、遮断率は高ければよいとは考えておらず、100%もめざしていません。システムの理解や脆弱性発見、修正が攻撃に耐えるかの検証は、正当なセキュリティの仕事にも欠かせない技術だからです。
"The skill floor is dropping for the reconnaissance and vulnerability research needed before an attack." ／ "Higher safeguard block rates are not always better." — 「Defending critical infrastructure」より公式情報を見る →
システム管理者と開発ベンダーは修正までの時間を縮める
OpenAIは、フロンティアモデルを使ってソフトウェアを守れる時間は限られていると認めています。したがって、AIで攻撃コードが速く作られるほど、公表から修正までの空白がそのまま狙われる期間になるため、システム管理者はパッチを当てるまで、開発ベンダーは修正を出すまでを短くします。
立場ごとの備え（IPA「情報セキュリティ10大脅威2026」組織編より）
| 立場 | 備え |
|---|---|
| システム管理者 | 利用している資産を把握し、悪用の状況で優先度を付けてパッチを当てる。パッチが無い前提で多層防御と異常の検知も用意する |
| 開発ベンダー | 製品に組み込んだ部品を把握し、脆弱性が見つかったときの対応手順と、脆弱性情報を発信する仕組みを用意する |
"昨今、脆弱性の発見から、それを悪用した攻撃が発生するまでの時間が短くなっているため、脆弱性対策情報が公表された際には、早急な対策が必要である。" — 「4位 システムの脆弱性を悪用した攻撃」より公式情報を見る →
システム管理者として：公表された脆弱性のパッチを早く当てる
IPA（情報処理推進機構）は「情報セキュリティ10大脅威2026」組織編で、「システムの脆弱性を悪用した攻撃」を4位に置きました。攻撃者は公表された脆弱性対策情報や概念実証のコード（PoC）をもとに攻撃プログラムを作り、パッチを当てていないシステムを狙います。そのうえでIPAは、脆弱性発見から攻撃までの時間が短くなっているとして、脆弱性対策情報が公表された時は早急に対策するよう勧めています。
利用しているソフトウェアと機器を把握
何を使っているかが分からなければ、公表された脆弱性が自社に関係するかを判断できないため、IPAは資産の把握とSBOM導入の検討を対策に含めています。SBOM（ソフトウェア部品構成表）は、ソフトウェアに含まれる部品を一覧にしたものです。一覧があれば、脆弱性が公表された部品が製品に入っているかをすぐに照合できます。
悪用されているかどうかで優先度を付けてパッチを当てる
IPAは、脆弱性情報と悪用の状況を集めて対策に優先度を付け、パッチを当てた状況まで管理するよう勧めています。公表された脆弱性は攻撃プログラムが短期間で作られるため、悪用されている脆弱性から先にパッチを当てます。
パッチが出る前の攻撃に、多層防御と異常の検知で備える
公表前の脆弱性を突くゼロデイ攻撃には、当てるパッチがそもそもありません。GPT-6 Cyberのようなモデルは未知の脆弱性も見つけるため、パッチが出る前の攻撃にも耐えられるよう、防御を何層にも重ねて異常を検知する仕組みを置きます。IPAがゼロデイ攻撃に勧める対策も、修正パッチが無いことを前提とした多層防御と、異常を検知する仕組み・体制の構築です。
"利用している資産の把握、管理体制の整備" ／ "脆弱性情報の収集、脆弱性の悪用状況の収集、脆弱性対策の優先度付け、対策状況の管理、パッチマネジメントの実施" ／ "ソフトウェアの把握や管理においては SBOM（Software Bill of Materials）の導入を検討する" ／ "修正パッチが無いことを前提とした多層防御、異常を検知する仕組み・体制を構築する。" — 「4位 システムの脆弱性を悪用した攻撃」の＜対策と対応＞（システム管理者、製品利用者）より公式情報を見る →
開発ベンダーとして：報告から修正の公開までの期間を縮める
OpenAIは、Linuxの保守担当者へ重大な304件を、Mozillaへ未知の脆弱性81件の発見を、それぞれ修正案と一緒に報告しました。
AIによる報告がこの規模で集まるようになると、受け取った開発ベンダーの対応が遅れるあいだ、ユーザーは脆弱性を抱えたまま製品を使い続けることになります。特に、Brotliのように多くの製品が組み込む部品の脆弱性は、修正を出すまでの時間がそのままユーザー側の危険な期間になるため、IPAは開発ベンダーに管理と対応体制の整備を勧めています。
製品に組み込んだ部品を把握
組み込んだライブラリに脆弱性が公表された時にすぐ影響を判断できるよう、製品に含まれるソフトウェアとコンポーネントを一覧で管理します。IPAも、開発ベンダー向けの対策の最初にこの把握と管理の徹底を置いています。
脆弱性が見つかったときに対応する流れを作っておく
IPAは、脆弱性が見つかった時の対応手順を作っておくよう勧めています。報告が届いてから修正の公開までの段取りを先に用意しておくと、AIが見つけた大量の報告にも順番に対応できます。
脆弱性情報をすぐに公開できる仕組みを用意
修正を出してもユーザーに届かなければ当てられないため、脆弱性情報を迅速に発信する仕組みを用意します。IPAも、開発ベンダーが取るべき対策の最後に、この発信の仕組みの整備を置いています。
"製品に組み込まれているソフトウェア、コンポーネントの把握、管理の徹底" ／ "脆弱性が発見された時の対応手順の作成" ／ "脆弱性情報を迅速に発信する仕組みの整備" — 「4位 システムの脆弱性を悪用した攻撃」の＜対策と対応＞（開発ベンダー）より公式情報を見る →
FAQ
- GPT-6 Cyberは誰でも使えますか？
- 誰でも使えるわけではありません。まず承認済みのDaybreak Red顧客から選ばれた一部が、APIとCodexで使うことができます。OpenAIは近く、Daybreak Redの全顧客へ広げる予定です。新しいユーザーや組織は、Daybreakへの申し込みから始めます。
- Criticalに分類されたのは、GPT-6 Cyberが初めてですか？
- 初めてではありません。OpenAIは2026年9月3日に公開したシステムカードで、GPT-6 Astraをサイバーセキュリティ能力がCriticalに達した最初のモデルとしています。GPT-6 Cyberは、前のGPT-5.6 CyberのHighから1段上がってCriticalに分類された2番目のモデルです。
- GPT-6 Cyberが範囲外のサービスを攻撃する心配はありますか？
- OpenAIの評価では、安全用のプロンプトが無くても99.93%の試行で範囲外のサービスへの攻撃を避け、プロンプトありでは100%でした。ただし数値はOpenAIが自社で作った評価のものなので、危険の大きい作業はサンドボックスで隔離し、人が行動を確認しながら進めましょう。
関連する記事
OpenAIがGoogle製の圧縮技術Brotliに脆弱性を見つけて公表OpenAIのCodex Securityが、Googleの圧縮技術Brotliに脆弱性を発見しました。細工した圧縮データの展開で、外部からコードを実行される恐れがあります。GoogleやNode.jsなどが修正版を出しました。すぐ更新できなければ、Brotli形式を受け付けないようOpenAIが勧めています。
ChatGPTのロックダウンモードでも会話を盗み出せた脆弱性、修正済みCheck Point Researchは2026年11月5日、ChatGPTのロックダウンモードを有効にしていても、会話履歴全体とアップロードしたファイルを外部へひそかに送信できた脆弱性を公表しました。デスクトップアプリ「ChatGPT Classic」では、悪意あるGPTと会話するだけで成立したとのこと。OpenAIは9月18日に修正しています。
ChatGPTの共有リンクにアクセスするだけで乗っ取られる脆弱性、修正済みセキュリティ企業Parameterは2026年10月28日、ChatGPTの共有リンクの作成者が、開いた人の非公開の会話まで読み出して外部へ送信できた脆弱性を公表しました。リンクを開くだけで、開いた人のアカウント上で作成者のコードが動作したとのこと。OpenAIは10月26日に修正を終えており、深刻度は最も高いP1、報奨金は5,000ドル（約78万6,300円）でした。
Switch 2の脱獄「ns2jb」公開、入口の脆弱性はCodexが発見研究者のSammy Hajhamid氏は10月18日、Nintendo Switch 2をソフトウェアだけで脱獄する「ns2jb」を公開しました。入口になった『プチコン4』の脆弱性はOpenAIのCodexが見つけましたが、脱獄そのものは氏が約2週間かけて仕上げたとのこと。プチコン4は国内外のストアで買えなくなったと報じられています。