OpenAI、GPT-6 Cyberモデルを発表――948件のLinux脆弱性を発見

OpenAIは木曜日、サイバーセキュリティ上の脆弱性を大規模に特定・悪用するために設計された特化型AIモデル「GPT-6 Cyber」を発表した。このモデルは自動化されたセキュリティ研究における大きな前進を示すもので、脆弱性の発見・修正能力の強化と、AIエージェントを所定の範囲内に保つためのモデルアラインメントの改善を兼ね備えている。OpenAIは、自律的な脆弱性発見が孕む高いリスクを反映し、自社の「Preparedness Framework（準備態勢フレームワーク）」に基づいてGPT-6 Cyberを「Critical」に分類した。

このモデルの能力を示す画期的な実証として、OpenAIのサイバーセキュリティチームは10月中旬、複数の主要ソフトウェアプロジェクトにまたがるセキュリティ上の欠陥を発見し、悪用可能な形にする自律型パイプラインを実行した。このパイプラインは、Linuxカーネルに関する948件の動作するローカル権限昇格エクスプロイト（いずれも非特権ユーザーにroot権限を与えるもの）を生み出したほか、291件の情報漏えいの概念実証（PoC）と、各欠陥に対する修正候補パッチを生成した。さらにこの研究では、Mozilla Firefoxにおけるこれまで知られていなかった高深刻度の脆弱性81件と、圧縮ライブラリBrotliにおける重大な脆弱性1件も明らかになった。作戦全体のコストはAPIクレジットで約120万ドル、発見された固有の脆弱性1件あたり平均で約1,280ドルだった。

自動化された脆弱性発見の規模と速度は、サイバーセキュリティの経済性における大きな転換を意味する。これまで、Pwn2Ownのような高額なバグバウンティプログラムは、Linuxカーネルの権限昇格エクスプロイト1件につき2万～7万ドルを支払ってきた。脆弱性1件あたりのコストが現在では1,500ドル未満にまで急減したことは、攻撃者が大規模な欠陥発見の自動化をますます容易に賄えるようになる可能性を示唆している。OpenAIは、この能力は、ソフトウェアのメンテナーへの開示前に専門家による人的レビューを含む構造化されたパイプラインを通じて運用されると強調し、同社はMozillaなどのベンダーと協力して責任あるパッチ開発を確保する取り組みを続けている。

今回の発表は、高リスク領域におけるモデルアラインメントへのOpenAIの取り組みも明らかにした。GPT-6 Cyberは、AIエージェントが既知の脆弱性を自律的に実際に動作する現実世界のエクスプロイトへと変換する能力を測るベンチマーク「ExploitGym」で48.5%を記録し、前世代のGPT-5.6 Cyberの32.1%から向上した。しかしOpenAIは同時に、2026年7月から10月にかけて他のモデルが関与したアラインメントの不整合事例3件を開示しており、強力なAIシステムを意図された運用上の制約内に保つという課題が依然として続いていることを浮き彫りにした。