📡 Signal｜OpenAI が防御側にだけ拒否を外した——GPT-5.6-Cyber の 95% は、能力ではなく配布の線引きを測っている

OpenAI が 2026 年 8 月 10 日、サイバーセキュリティ向けプログラム Daybreak を Blue / Red の 2 階層に拡張し、専用モデル GPT-5.6-Cyber を Red 階層で提供すると発表した。見出しに使われた数字は明快だ。高度なサイバー要求への完了率で、GPT-5.6-Cyber は 95.0%、汎用の GPT-5.6 Sol は 1.5%。

ただしこの数字は、モデルがどれだけ上手いかを測っていない。どれだけ応じるかを測っている。動いたのはフロンティアの位置ではなく、そこに誰が触れてよいかの線引きだ。そして同じ発表資料の能力ベンチマークを読むと、専用モデルが汎用モデルに負けている項目がある。

数字が何を測っているかを先に確かめる。話はそこからしか始まらない。

■ 95.0% と 1.5% の間にあるのは、性能差ではない

OpenAI がこの比較に使ったのは Advanced Cybersecurity Completion Rate という内部評価で、エクスプロイトチェーンの開発・認証バイパス・より高い権限の取得といった高度な要求に対して、モデルがどれくらいの頻度で応答するかを測る。完了率であって、成功率ではない。

内訳はこうなる。GPT-5.6-Cyber (Red) が 95.0%、GPT-5.6 Sol が 1.5%、システム側の防護を外した Blue 経由の GPT-5.6 Sol が 2.0%、一世代前の GPT-5.5-Cyber が 57.3%。

ここで目を引くのは 95.0% ではなく、1.5% と 2.0% の差の小ささだ。OpenAI の説明によれば、Blue はプロダクション環境でサイバー関連の要求を選り分けているシステムレベルの防護を取り払う階層である。その柵を丸ごと外して、応答率は 0.5 ポイントしか動かない。

つまり拒否はシステム層ではなく、モデルの重みの側に入っている。外側の柵を外しても、モデルは断り続ける。これを変えるには再学習するしかなく、GPT-5.6-Cyber はそのために訓練されたモデルだ。同社は、以前のモデルで拒否が続くという指摘がセキュリティ研究者から寄せられていたことにも触れている。

■ 専用モデルが常に勝つわけではない

発表資料には 4 つの能力評価が並んでいるが、結果は一方向ではない。

既知の脆弱性を任意コード実行まで持ち込めるかを見る ExploitGym では、GPT-5.6-Cyber が GPT-5.6 Sol と GPT-5.5-Cyber の双方を上回った。未知の脆弱性を見つけて深刻度を較正させる内部評価でも、Red 経由の GPT-5.6-Cyber が Blue 経由の GPT-5.6 Sol を上回っている。

一方、脆弱性発見とレポート作成を見る内部評価では、GPT-5.6-Cyber は GPT-5.6 Sol を下回った。OpenAI はその理由を、専用モデルが短く詳細に欠ける報告を出すことがあるためだと説明している。

さらに ExploitBench では逆転がはっきり出る。V8 のサンドボックスなど防御機構を有効にしたまま、与える情報も減らした難しい設定だ。標準の 300 ターン制限では Blue 経由の GPT-5.6 Sol が最も高い成績を出し、しかもトークン効率で上回った。600 ターンまで広げると差は縮まる。

上がったのは、応じる率と一部の工程だ。全部ではない。

■ 実際に塞がれた穴は 1 件、待たされているのが 400 件超

抽象論に見える話を実体に引き戻すのは、実際に出た成果のほうだ。

OpenAI は GPT-5.6-Cyber を使って Chrome の JavaScript エンジン V8 を調べ、未知の脆弱性 2 件を発見したとしている。2 件は連鎖させるとメモリを破壊し、V8 のヒープサンドボックスから脱出できる経路になる。同社の説明では、研究者が裏取りしたうえで協調的脆弱性開示を通じて Google に報告し、Google が修正して CVE-2026-15903 を採番した。

その中身も公表されている。最適化コンパイラが値を整数へ変換する際に安全性チェックを飛ばし、undefined が想定外に大きな数値を生む。その数値が配列の添字に使われると、コンパイラは範囲内だと誤って判断して境界チェックを省く。結果として他オブジェクトのメモリを読み書きでき、Chrome のサンドボックス内で任意コード実行に至りうる。サンドボックスからの脱出には通常もう 1 件必要で、それも同じモデルが見つけた、という構図になる。

ただし発表にはもう 3 つの塊がある。広く使われているモバイル OS で少なくとも 5 件 (信頼できないアプリが端末上でより高い権限を取るところまでつながる連鎖を含む)、広く使われているデータベースで重大な 3 件 (リモートからコード実行に至る経路を含む)、そして広く使われている OS カーネルで権限の引き上げにつながるものが 400 件超。

こちらは製品名が伏せられ、パートナーやオープンソースコミュニティと開示・修正の作業中だと書かれている。読者の側で今日確かめられるのは V8 の 1 件で、規模として大きいほうはまだ外から検証できない。

■ 安全装置は、モデルから口座へ移った

モデルが拒否をやめた分の重さは、どこかへ移る。移った先は審査だ。

Daybreak の Blue / Red はいずれも承認された個人と組織に限って提供され、OpenAI は本人確認・アカウントセキュリティ・監視・利用目的の制限・法的な誓約によってアクセスを管理すると書いている。加えて、Daybreak の個人アカウントには 2026 年 9 月 1 日からハードウェアセキュリティキーの利用を義務づける。

運用側の締め方も並ぶ。Codex を使う顧客にはフルアクセスモードから自動レビューモードへの切り替えを強く推奨し、より強い権限を要する操作を実行前に評価して破壊的な挙動を止められるようにする。作業はサンドボックスで隔離し、エージェントの操作を監視し、権限プロファイルで対象範囲を明示する、という 3 点も推奨として示されている。

能力評価そのものについては、Preparedness Framework の下で GPT-5.6 Sol・GPT-5.6-Cyber ともサイバー能力が High に達し、Critical の閾値には届かないと判定された。専用訓練で一部のタスクは伸びたが、閾値を超えるほどではなかった、という説明である。GPT-5.6-Cyber の system card は後日公開するとしている。

構図としてはこうなる。モデルの内側にあった判断が外されたぶん、誤用を止める最後の砦は、本人確認と鍵と契約の側に移った。これは機械学習の問題ではなく、身元確認と運用の問題だ。攻撃側より先に防御側へ配るという戦略は、配る相手を間違えないことと同義になる。

■ 48-72 時間で見るもの

・GPT-5.6-Cyber の system card がいつ、どこまでの評価を伴って出るか。発表時点の数字は内部評価が中心で、外部が追試できる材料は限られている

・伏せられたモバイル OS・データベース・OS カーネルの開示が進み、400 件超という規模が製品名と CVE を伴って確認できるようになるか

・9 月 1 日のハードウェアキー義務化が、個人研究者の参加条件をどう変えるか。審査を厳しくするほど「防御側へ広く配る」という当初の目的とは張力が生じる

・他の開発元が、審査付きで拒否を外すという同じ配布形式を採るかどうか。採るなら、能力競争とは別に「誰に配るかの審査」が業界の共通論点になる

🔗 一次ソース

• Expanding Daybreak as the Cyber Defense Window Narrows — OpenAI (2026-08-10) — 完了率 95.0% / 1.5% / 2.0% / 57.3%、ExploitGym・ExploitBench・脆弱性発見評価の結果、CVE-2026-15903、9 月 1 日のハードウェアキー義務化を本文で確認
• OpenAI 公式 X — Daybreak 拡張と GPT-5.6-Cyber の発表 (2026-08-10) — 「攻撃側が大規模に攻撃用 AI を展開する前に、信頼できる防御側の手にフロンティアの知能を渡す」という発表時の位置づけ
• OpenAI 公式 X — Daybreak Red の対象範囲 (2026-08-10) — Red が承認済みの脆弱性研究・エクスプロイト検証・セキュリティテスト向けである旨