【OpenAI】GPT-6 Cyberとは？脆弱性81件発見・948件の攻撃実証と利用条件

OpenAIは2026年11月5日、脆弱性の発見から攻撃可能性の検証、修正案の作成までを担うセキュリティ研究向けモデル「GPT-6 Cyber」を発表しました。Firefoxで未知の高リスク脆弱性81件、Linuxカーネルで948件の権限昇格エクスプロイトという数字が話題ですが、この2つは数えているものが違います。

またGPT-6 Cyberは、APIキーがあれば誰でも使えるモデルではありません。OpenAIの審査制プログラム「Daybreak Red」で承認された一部の組織だけが対象です。

本記事では、英語の一次情報と報道、Xの反応を突き合わせ、件数の定義と企業が使うための条件を整理します。なお、実機やAPIでの検証はDaybreak Redの承認が必要なため行っていません。

GPT-6 Cyberとは

GPT-6 Cyberは、OpenAIの汎用モデルGPT-6 Astraをもとに、許可された脆弱性調査向けに追加学習したモデルです。脆弱性を見つけ、実際に攻撃できるかを検証し、影響を評価して修正案を作る、という一連の作業を想定しています。

OpenAIがこのモデルで特に強調しているのは、性能よりも「許可された範囲の外を攻撃しないこと」です。2026年7月には、同社のテスト環境で動いていたAIエージェントが、課題を進める途中でHugging Faceに侵入する事故が起きていました。GPT-6 Cyberはこの反省を踏まえ、研究者が許可した対象の中にとどまるよう訓練されています。

危険度の評価も上がりました。OpenAIはAIのリスク評価の仕組み（Preparedness Framework）で、GPT-6 Cyberのサイバー能力を最上位の「Critical」としています。前世代のGPT-5.6-Cyberは一つ下の「High」でした。利用が厳しく絞られているのはこのためです。

OpenAIが2026年に出したサイバー専用モデルは、GPT-6 Cyberで4本目です。

出典：OpenAIの発表、SiliconANGLE、iThome

Firefox81件：未知の高リスク脆弱性を「発見」した件数

81件は、OpenAIの研究者がGPT-6 CyberでFirefoxのコードを調べ、それまで知られていなかった脆弱性を見つけた件数です。深刻度「高」と判断したのはOpenAIではなく、Firefoxを開発するMozillaです。

Firefoxはこれまでも先端のAIモデルで何度も調べられてきたソフトです。それでも新しい脆弱性がまとまって見つかった点が、この数字の意味です。

他にも次のような成果があります。

• 既に知られていた脆弱性30件について、当初の評価より深刻だと確認した（81件とは別勘定）
• OpenAIは証拠、再現用のテスト、修正案をMozillaに渡し、Mozillaはその多くを修正済み

裏付けできたこと・できなかったこと

81件すべてを第三者が確認できる状態にはありません。突き合わせで分かったのは次の点です。

OpenAIの発表がリンクしているのは、Mozillaの10月27日付けFirefox 159のセキュリティ勧告（MFSA 2026-118）です。Implicatorの確認では、この勧告に載った167件のうち41件でOpenAIが発見者として記載されています。ただし勧告にはGPT-6 Cyberの名前はなく、「81件すべてが公開済み」とも読めません。未修正のものは、悪用を防ぐため詳細を伏せていると考えるのが自然です。

出典：OpenAIの発表、SiliconANGLE、Free Press Journal

Linux948件：動く攻撃コードを「作った」件数

948件は、一般ユーザーの権限からroot（管理者権限）を奪える「ローカル権限昇格（LPE）」のエクスプロイトを、実際に動く形で作った件数です。「948件の脆弱性を発見した」という意味ではありません。

OpenAIはこの結果を「A thousand fewer paths to root」という別の記事で公開しました。発見から修正までをAIエージェントが進める自動化の仕組みを作り、段階的に絞り込んだ最後の数字が948件です。各段階の件数は下の図のとおりです。

[embed: node/301f6b59-5bde]

2,308件はAIが挙げた「脆弱性の候補」です。948件は、そこから攻撃が実際に成功したものだけを数えた数字です。

数字を読むときの注意点

• 未知だったのは588件：The Registerによると、948件のうち588件がそれまで知られていない脆弱性でした。残りは既知の脆弱性に対する攻撃コードです。
• 「30時間で948件」ではない：30時間は1,724件を再現した段階の時間です。iTnewsによると、全体の実行は10日間でした。
• 1件＝パッチ1本：OpenAIは作った修正パッチごとに1件と数えています。
• 前世代の約5.7倍：同じ仕組みでGPT-5.6 Solが作れたのは166件でした。
• 対象は一般的な構成：標準的なカーネル保護を有効にした、よく使われるLinuxディストリビューションで動作を確認しています。
• 修正がLinux本体に入ったとは限らない：パッチは人のレビューを経て開発者に報告されますが、948件分が取り込まれたわけではありません。
• 費用は約120万ドル：API料金は合計121万3,430ドル、1件あたり約1,279ドルでした。

どのモデルが使われたのか

11月4日のLinuxの記事では、使ったモデルを「近日公開のサイバーモデル」とだけ書いていました。翌5日、OpenAIはXの投稿で、この研究を支えたのがGPT-6 Cyberだと明かしました。発表本文でも948件をGPT-6 Cyberの成果として紹介しています。

OpenAIは、この仕組みの中でAIが新しい攻撃手法を少なくとも10種類見つけたとも述べています。その上で「最新のパッチを当てていないOSでは、一般ユーザーのアカウントを取られた時点でrootを取られたのとほぼ同じだと考えるべきだ」と警告しています。

出典：OpenAIのLinux検証記事、The Hacker News、iTnews

ベンチマーク：性能より注目すべきは「範囲を守れるか」

OpenAIが公表した評価では、GPT-6 Cyberは攻撃能力と「許可範囲を守る力」の両方で前世代を上回りました。ただしいずれもOpenAI自身の評価です。

Honeypot評価が企業にとって重要な理由

Honeypot評価では、難しい課題の周りに、わざと攻めやすくしたサービスを置きます。そこに手を出したら「範囲違反」です。自社や取引先のシステムでAIに診断させるとき、最も恐いのはこの種の暴走です。攻撃成功率よりも、導入の判断に直結する数字だと言えます。

第三者評価と限界

• AIセキュリティの研究機関Irregularは、GPT-6 Astraとの差は小さく、何段階も続く長い課題でGPT-6 Cyberが優れる程度だと評価しています。
• OpenAI自身の課題でも、完全に固めた対象はどちらのモデルも突破できませんでした。
• 発電所を模した実験環境では、保護リレーのデータを扱うソフトで未知の脆弱性を2件見つけています。

つまり「何でも破れるAI」ではありません。パッチが遅れたシステムや、人手では調べきれない大きなコードで力を発揮するモデルと考えるのが妥当です。

出典：OpenAIの発表、SiliconANGLE、Free Press Journal、IT-Connect

企業がGPT-6 Cyberを使うための条件

GPT-6 Cyberを使うには、APIキーとは別に「Daybreak Redの承認」「GPT-6 Cyber個別の承認」「IP制限の設定」が必要です。通常のAPIキーだけで呼び出しても、エラー（403 access_program_not_enabled）が返るだけです。

Daybreakとは：RedとBlueの違い

Daybreakは、正当なセキュリティ業務に限ってAIの制限を緩める、OpenAIの審査制プログラムです。守りの作業向けのBlueと、攻撃技術を使う検証向けのRedに分かれています。

Blueの承認にRedは含まれず、Redの承認にGPT-6 Cyberは含まれません。それぞれ別に審査があります。

利用までの流れ（APIの場合）

1. 組織として申請する：企業向け申請フォームから申請し、OpenAIの担当者と調整します。審査では事業の実在や用途が確認されます。
2. Daybreak RedとGPT-6 Cyberの承認を得る：初期は一部のRed顧客に限られます。OpenAIは「近く全Red顧客に広げる」としていますが、具体的な日付は示していません。
3. SSOと多要素認証を必須にする：Cyberの利用権を持つAPI組織では、シングルサインオンを必須にし、ID基盤側で多要素認証を強制します。
4. プロジェクト単位で有効にする：組織のオーナーが、利用するプロジェクトでRedをオンにします。そのプロジェクトのAPIキーを使います。
5. IP許可リストを設定する：リクエストを送るサーバーのグローバルIPを登録します。登録外のIPからは、正しいAPIキーでも使えません。
6. データを保持しない設定（ZDR）なら追加設定：Private Safety Processingという仕組みを構成します。
7. リクエストで明示する：モデル名gpt-6-cyberとdaybreak_redを指定し、利用者ごとの匿名ID（safety_identifier）を付けます。

Codexから使う場合も、承認後に自分でDaybreakをオンにする必要があります。承認されただけでは自動で有効にはなりません。

IP制限で注意したいこと

IP許可リストはAPIキーではなく、プロジェクトまたは組織全体に掛かります。組織全体に掛けると、通常の業務や顧客向けサービスのAPI通信まで止まりかねません。Cyber用のプロジェクトを分け、そこだけに設定するのが安全です。

GPT-6 Cyberに対応した外部ツールを使う場合は、そのツールのサーバーのIPも登録が必要です。たとえば開発ツールAmpは、自社のIP一覧を利用企業の許可リストに入れるよう案内しています。一方、承認を得て自社製品に組み込んだ場合、その製品のエンドユーザーが自分のIPを登録する必要はありません。

OpenAIはこのIP制限を、盗まれたAPIキーを悪用させないための対策だと説明しています。他にも、許可範囲外の行動の監視、認証情報の漏えい監視、人によるチェックなどを組み合わせています。

その他の選択肢

• 重要インフラの事業者：Redの中に「Daybreak Red for Critical Infrastructure」という枠が新設されました。また、行政機関など予算の限られた組織向けに、10億ドル規模の利用支援制度があります。
• Amazon Bedrock経由：DaybreakはBedrockでも使えますが、OpenAIの承認は必要です。執筆時点でBedrockで確認できるRedのモデルはGPT-5.6-Cyberで、GPT-6 Cyberの提供は未確認です。
• まずBlueから始める：守りの作業が中心なら、Blueで汎用モデルを使う方が現実的です。個人でBlueに申請する場合は、本人確認に加えてFIDO2対応のハードウェアセキュリティキーが必要と報じられています。

本記事で確認できなかったこと

審査にかかる期間と、日本企業への提供条件は公開情報では分かりませんでした。なお料金は公式のモデルページで、100万トークンあたり入力20ドル・出力100ドルと公開されています。一度に扱える量（コンテキスト）は約105万トークンです。編集部は承認を得ていないため、実際の申請画面やAPIの動作も未検証です。

出典：OpenAI APIドキュメント（Daybreak）、OpenAIの発表、OpenAIヘルプセンター、Ampのドキュメント、AWSの発表、GadgetReview

Xと海外メディアの反応

反応は大きく、件数の大きさを前面に出すものと、「範囲を守れるか」「数字の中身は何か」を問うものに分かれました。

OpenAI自身の発信

OpenAIはXの投稿で、Mozilla、Palo Alto Networks、CiscoなどのセキュリティチームがすでにGPT-6 Cyberを使っていると紹介しました。前日にLinuxの研究を公開した際には、担当研究者が「近日公開のモデル」とだけ書いており、1日差でモデル名が明かされた形です。

件数の伝え方にばらつき

同じ948件でも、報道によって意味が変わっています。

ロシアのLinuxコミュニティLINUX.ORG.RUでは、「948件の修正がすでにLinuxに入ったわけではない」という指摘が出ています。Xでも「ソフトを壊すために作られたAI」といった強い表現が拡散しましたが、定義まで確認した投稿は多くありません。

「範囲を守れるか」への注目

The Registerは、OpenAIの過去のモデルが訓練中に企業への侵入などを起こした経緯に触れ、今回の「範囲を守る」という約束を少し引いた目で伝えています。悪用への懸念を指摘する報道もありました。

業界全体の流れ

「危険な能力を持つAIは審査済みの防御側に先に渡す」という流れは、OpenAIだけのものではありません。SiliconANGLEによれば、Googleは9月にGemini 4 Argonを防御側に優先提供し、Anthropicも同時期に3段階の審査制プログラムを整えました。

背景には脆弱性の急増があります。The Hacker Newsが紹介したGoogleの脅威分析チームのデータでは、月あたりの脆弱性公開数は2026年1月の5,045件から8月の10,740件へ、2倍以上に増えました。

GPT-6 Cyberを使えない企業が今やるべきこと

ほとんどの企業は、当面GPT-6 Cyberを直接使えません。それでも、攻撃側が同等のAIを手にする前提で備える必要があります。今回の発表から読み取れる対策は次の4つです。

1. パッチ適用を速める

OpenAIは「最新パッチを当てていないOSでは、一般アカウントを取られただけでrootを取られたのと同じだと考えるべきだ」と警告しています。英国の国家サイバーセキュリティセンター（NCSC）も、企業は脆弱性発見の新しいペースに合わせて修正とテストの手順を見直す必要があるとしています。月例のパッチ運用でよいかを、一度確かめる時期です。

2. 一般アカウントと認証情報を守る

権限昇格の攻撃は、まず一般アカウントを手に入れるところから始まります。退職者のアカウント、使い回しのパスワード、漏えいしたAPIキーなどが入口になります。自社の状況は、Webシステムの情報漏えい点検チェックリストで点検してください。

3. AIを使うときの「守りの設計」を真似る

OpenAIがGPT-6 Cyberに掛けている制限は、他のAIツールを社内で使うときの手本にもなります。

• 利用するプロジェクトを分け、接続元のIPを絞る
• SSOと多要素認証を必須にする
• AIに触らせてよい対象と操作をあらかじめ決める
• 重要な操作の前には人が確認する

AIを組み込んだシステム全体の守り方は、Oracle AI Security Meshの記事でも整理しています。

AIに任せる操作の権限、承認、停止条件の決め方は、AIエージェントのガードレール設計で詳しく解説しています。

4. AI脆弱性診断を外部に頼むときに確認すること

今後、「GPT-6 Cyber対応」をうたうAI脆弱性診断サービスが出てくると予想されます。発見件数の大きさより、次の点を確認してください。

自社のAIシステムを、プロンプトインジェクションや過剰な権限などAI固有の弱点も含めて調べたい場合は、AI脆弱性診断もご覧ください。

まとめ

GPT-6 Cyberの成果は確かに大きなものです。ただしFirefox81件は「未知の脆弱性の発見数」、Linux948件は「動く攻撃コードの作成数（うち未知588件）」で、同じ物差しでは比べられません。評価の多くもOpenAI自身によるものです。

企業が使うには、Daybreak RedとGPT-6 Cyber個別の承認、SSO、IP制限などをすべて満たす必要があります。使えるかどうかに関わらず、パッチ運用とアカウント管理を見直すことが、今すぐ取れる現実的な対策です。

よくある質問

GPT-6 Cyberとは何ですか？

OpenAIが2026年11月5日に発表した、脆弱性の発見・攻撃検証・修正案作成向けのAIモデルです。GPT-6 Astraをもとに、許可された範囲内で作業するよう訓練されています。

APIキーがあれば使えますか？

使えません。Daybreak Redの承認、GPT-6 Cyberの追加承認、プロジェクトでの有効化、IP許可リストの設定がすべて必要です。

個人でも使えますか？

使えません。Daybreak Redは承認された企業・組織のみが対象です。個人が申請できるのはDaybreak Blueで、GPT-6 Cyberは含まれません。

料金はいくらですか？

API料金は100万トークンあたり入力20ドル、出力100ドルです。参考までに、Linuxの検証全体には約120万ドルかかっています。

Firefox81件とLinux948件は何が違うのですか？

Firefox81件は未知の高リスク脆弱性を見つけた件数です。Linux948件は、脆弱性を突いてroot権限を奪う攻撃コードを実際に作った件数で、うち588件が未知の脆弱性でした。

日本企業も申請できますか？

申請フォーム自体は公開されていますが、日本企業向けの条件や審査期間は公開情報では確認できませんでした。OpenAIの担当者への問い合わせが必要です。

出典

一次情報

• GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents（OpenAI）
• A thousand fewer paths to root（OpenAI）
• OpenAIのX投稿（2026年11月5日）
• Use Daybreak in the Responses API（OpenAI APIドキュメント）
• GPT-6-Cyber Model（OpenAI APIドキュメント）
• OpenAI Daybreak - Trusted Access for Cyber overview（OpenAIヘルプセンター）
• Mozilla Foundation Security Advisory 2026-118

報道・解説

• The Hacker News
• SiliconANGLE
• The Register
• iTnews
• Implicator
• iThome
• Amp（Daybreak Model Routing）