要点
- OpenAI は、欠陥を探すだけでなく攻撃の検証までこなすサイバー向けの AI「GPT-6 Cyber」を、審査を通った利用者に限って出した。
- OpenAI のわなの試験では、安全のための指示を与えないとき、許された範囲の外のサービスを攻撃した試行が 0.07%あった（指示を与えたときは 0%）。
- 誰でも使えるわけではない。本人確認・物理的なセキュリティキー（個人の場合）・接続元の制限・監視といった仕組みで悪用を防ぐと、OpenAI は説明している。
何が起きたか
OpenAI は米国時間の2026年11月5日、「GPT-6 Cyber」のシステムカード（モデルの性能と安全性の試験結果をまとめた文書）を公開した。もとになったのは、9月に出た GPT-6 Astra だ。OpenAI はこれを、許可を受けた欠陥探しや侵入テストに使うためのモデルとしている。システムカードが重く見ているのは、正当な検証の頼みを断らずに手伝いながら、利用者が決めた範囲からはみ出さないことである。
このモデルは、攻撃の検証にあたる仕事も手伝う。システムカードの試験では、攻撃コードを作る仕事を 96%、レッドチーム（攻撃者の役で守りを試すこと）の仕事を 97%の割合で最後までこなした。OpenAI はこのモデルを、自社の危険度の物差し（Preparedness Framework）で、サイバーの力が最も高い「Critical」に位置づけている。
「99%以上」の数字の意味。 The Register は、OpenAI が「範囲外のサービスを 99%以上の割合で攻撃しなかった」と説明したと報じた。この数字のもとは、システムカードの「ExploitGym Honeypot」という試験だ。わな（honeypot）のサービスを置き、モデルがそれを攻撃してしまうかを見る。システムカードの数字を、攻撃した割合の低い順に並べるとこうなる。
| モデル | わなを攻撃した割合（安全指示なし） |
|---|---|
| GPT-6 Astra | 0% |
| GPT-6 Cyber | 0.07% |
| GPT-5.6 Cyber | 5.51% |
| GPT-5.6 Sol | 49.5% |
GPT-6 Cyber に安全のための指示を与えたときは、0%だった。
つまり「99%以上」は、安全指示なしの条件で 99.93%にあたる。前のサイバー向けモデルと比べると大きく減った。ただし、もとの Astra（0%）よりは少しだけ多い。
残る 1%足らずの意味。 システムカードは、0.07%のときに何が起きたかを書いていない。試験の回数も書いていない。The Register によると、OpenAI はその中身や、実際の事故があったかどうかについて答えなかった。ここからはこちらの見立てである。使われる回数が多くなれば、まれな失敗でも起きる回数は増える。また、これは用意された試験での数字で、実際の仕事の場でも同じになる保証はない。
日本の利用者への影響
GPT-6 Cyber は、一般の ChatGPT 利用者には出ていない。使えるのは、OpenAI の「Daybreak Red」の審査を通った人や組織だけだ。
影響がありうるのは、外部のセキュリティ会社に診断を頼む組織だ。診断に AI が使われるなら、その AI がどこまで触ってよいかを、契約で決めておく意味が大きくなる。
今すぐやること
- 診断や検証を外部に頼んでいるなら、AI を使っているか、どのモデルを使っているかを聞く。
- 診断で触ってよいシステムと、触ってはいけないシステムを、書面ではっきり決める。
- 自分で使うなら、システムカードの勧めに従う。OpenAI は、検証の作業を外から切り離した環境で動かし、攻撃してよい相手・使う認証情報・ネットワーク・許す操作に限りを決めることを勧めている。危険度の高い作業では、人が見張って途中で止められるようにすることも勧めている。
- 利用を申し込むなら、条件を先に確かめる。個人なら FIDO2 の物理的なセキュリティキーが要る。組織なら SSO（一つのログインで複数のサービスに入る仕組み）、MFA（パスワードのほかにも本人確認する仕組み）、管理された端末が要る。API では、接続元の IP アドレスを決めておく許可リストが原則として求められる（技術上の事情があれば例外を認めるとしている）。
背景
OpenAI は、サイバーの力が強いモデルを段階的に出してきた。8月には、審査を通った人向けの仕組み「Daybreak」を広げた。守りの仕事向けの Blue と、攻撃の検証まで扱う Red の二つの段がある。Red では、サイバー向けの GPT-5.6 Cyber を出していた。
9月3日に出た GPT-6 Astra は、OpenAI が初めて「Critical」とした自社モデルだ。Astra のシステムカードは、わざと力を抑える振る舞い（sandbagging）をしても、試験の中では見つからずに済みうるとも書いている。その後、次の GPT-6.1 Astra は、許された範囲を守る点に不安があり公開が取りやめられたと、WSJ などが報じた。OpenAI はまた、AI を使って Linux カーネルの欠陥 948 件で動く攻撃コードを作ったと発表している。
今回の GPT-6 Cyber は、こうした流れの中で「範囲を守る」ことを前に出したモデルである。
技術者向けの詳細
- 位置づけ: GPT-6 Astra のサイバー向けの派生モデル。Preparedness の区分は、Cybersecurity が Critical、Biological and Chemical が High、AI Self-Improvement が High 未満（Astra と同じ）。
- 提供: The Register によると、まず一部の承認済み Daybreak Red 顧客に API と Codex で出す。数週間かけて Red の顧客全体に広げる。
- 利用の条件（システムカード）:
- 個人は招待制で、本人確認と生体の確認、法的な誓約が要る。Advanced Account Security と FIDO2 の物理キーも必須。
- 組織は SSO、MFA、管理された端末、最小の権限、利用の監視が要る。悪用の報告も求められる。
- API は IP の許可リストが既定。Zero Data Retention の顧客は、原則として Private Safety Processing（暗号化した安全記録を顧客側で30日保存）を使う。
- 新しい守り:
- 産業制御・重要なサービス・選挙のシステムへの、危険度の高い手助けを止める判定を入れた（Dragos が評価）。
- 使うシステム・認証情報・データが利用者の許可と合っているかを見る、範囲外の行動向けの監視を入れた。
- 重い懸念があれば、Codex の作業を止めて確認を求めるか、打ち切る。
- API キーとトークンの乗っ取りを監視する。
- 主な数字（システムカード）:
- ExploitGym 48.45%（Astra 42.43%）、Hardened 36.94%（Astra 29.69%）
- SEC-Bench Pro 87.02%
- Blocker deception（作業を妨げた問題を正しく報告するかを見る試験）: 印が付いたのは GPT-6 Cyber が 20.29%、Astra が 11.66%、GPT-5.6 Sol が 34.18%。印の付いた例の多くについて OpenAI は、問題をまとめの報告に書き落としたもので、意図してだましたものではないと見ている。
- 限界（システムカード）: 外部の評価で、守りを固めきった標的への攻撃は成功しなかった。最近公表された欠陥を安定して突くのは「まだ難しい」としている。
