OpenAIが「攻撃できるAI」を本気で出してきた — 本物のゼロデイを見つけたGPT-5.6-Cyberの正体

AIに「脆弱性を探して」と頼むと、たいてい「倫理的にお答えできません」と断られる。攻撃に使えるからだ。ところがOpenAIは8月10日、その断り文句を外した専用モデルを、審査を通った相手にだけ配り始めた。

それがGPT-5.6-Cyber。OpenAI自身が「初のオフェンス（攻撃）グレード」と呼ぶ、ゼロデイ発見とエクスプロイトチェーン構築に特化したモデルだ。

「守る」ではなく「攻める」ためのモデル

セキュリティAIというと、これまでは「防御の補助」が主戦場だった。コードの脆弱性を指摘したり、怪しい通信を検知したり。攻撃手法そのものを教え込むのは、悪用リスクが高すぎて各社が慎重に避けてきた領域だ。

GPT-5.6-Cyberは、そこに正面から踏み込む。ベースはGPT-5.6 Sol。そこに、未知の脆弱性（ゼロデイ）を見つけ、それを繋いで実際に成立する攻撃の連鎖（エクスプロイトチェーン）を組み立てる能力を、意図的に鍛えている。

数字が生々しい。OpenAI内部の指標「Advanced Cybersecurity Completion Rate」で、標準のSolが1.5%しか解けない高度なサイバー課題を、GPT-5.6-Cyberは**95.0%**こなすという。防御用途に絞った通常モデルとは、そもそも別物として設計されている。

実際に本物のCVEを見つけている

ここが正直、一番ぞくっとした部分だ。ベンチマーク上の数字だけではなく、GPT-5.6-Cyberは実在するソフトウェアで未知の脆弱性を掘り当てている。

具体的には、ChromeのJavaScriptエンジン「V8」で、それまで誰も気づいていなかった脆弱性を2件発見。すでにパッチが当てられ、CVE-2026-15903として登録されている。加えて、広く使われているモバイルOSで権限昇格（本来許されない管理者権限を奪う）の連鎖も見つけたとされる。

「AIがコードレビューを手伝う」段階はとっくに過ぎていて、「AIが人間の見落とした穴を自力で掘り当てる」段階に入った、ということだ。世界中で使われているChromeで新しい穴を見つけるのは、熟練のセキュリティ研究者でも簡単ではない。それをモデルがやってのけた事実は、素直に重い。

誰でも使えるわけではない — 審査制の意味

では自分も使えるのか、というと、答えは基本的に「ノー」だ。

GPT-5.6-Cyberは、OpenAIの防御者向けプログラム「Daybreak」の中でも、最も奥にあるDaybreak Redという審査制の層でしか提供されない。Daybreakは2段構えになっている。

• Daybreak Blue — 入り口。防御用にガードレールを調整したGPT-5.6 Solを、審査を通った防御者に提供。脆弱性検知、マルウェア解析、インシデント対応、パッチ検証などの守りの業務向け
• Daybreak Red — その先。攻撃研究のためにGPT-5.6-Cyberを解放する。防御側が攻撃者に先回りして穴を塞ぐための用途で、Blueよりさらに厳しい審査がある

実際にアクセスできるのは、Accenture、IBM、PwC、KPMGといった大手や、NCC Group、SpecterOpsのようなセキュリティ専業、そしてPalo Alto Networks、CrowdStrike、Cisco、Cloudflareなどのベンダーに限られる。個人の開発者やスモールチームが触れるものではない。

この「あえて絞る」設計こそが、今回の発表の肝だと思う。攻撃能力を持つモデルは、そのまま攻撃者の手に渡れば最悪の道具になる。だからOpenAIは、能力の高さを見せつけると同時に、配布経路を極端に狭めることで「悪用させない」姿勢もセットで示した。性能の誇示と自制がワンセットになっている点は、5月に出たDaybreakプラットフォームの設計思想の延長線上にある。

防御側にとって、何が変わるのか

攻撃特化モデルが防御のために存在する、という構図は一見ねじれている。だが理屈は通っている。

セキュリティは非対称な戦いだ。攻撃者は穴を1つ見つければ勝ち、防御者は全部塞がなければ負ける。この非対称性を埋めるには、防御側が「攻撃者と同じ視点」で自分のシステムを叩き、先に穴を見つけるしかない。GPT-5.6-Cyberは、その「先回り」を桁違いの速度でやれる可能性がある。

うまく回れば、これまで年単位で放置されていた脆弱性が、公開前に潰される流れが加速するかもしれない。CrowdStrikeやCloudflareのようなベンダーが自社製品にこの能力を組み込めば、恩恵は審査を通っていない一般ユーザーにも間接的に及ぶ。

一方で、懸念も正直に書いておく。攻撃グレードのモデルが存在するという事実自体が、防御側だけに都合よく閉じている保証はない。今回は審査制で守られているが、同等の能力を持つオープンなモデルがいずれ出てくれば、この「絞る」前提は崩れる。実際、AnthropicやMicrosoftも攻防両にらみのセキュリティAIを進めており、能力の底上げ競争は止まらない。AIが本物のゼロデイを見つけられる時代に入った以上、それが常に「善玉」の手にあるとは限らない——ここは楽観できないところだ。

まとめ

GPT-5.6-Cyberは、「AIがセキュリティを手伝う」から「AIが自力で未知の脆弱性を見つける」への転換点を、ベンチマークではなく実在のCVEで示してみせたモデルだ。95%という数字も、Chromeのゼロデイもインパクトはあるが、それ以上に重要なのは、OpenAIが能力の解放と配布の制限を同時に設計したという判断そのものだと思う。

触れる人はごく一部でも、この発表が意味するところは広い。攻撃能力を持つAIが現実になった今、問われるのは「誰がそれを持つか」だ。派手な性能の裏で、その線引きをどう保つのか。そこを注視していきたい。