OpenAI、サイバーセキュリティ向け専用モデルを提供

OpenAIは、サイバーセキュリティの防御担当者を対象とした専用AIモデル「GPT-5.6-Cyber」の提供を開始した。このモデルは、通常のAIシステムでは安全上の理由から回答が制限されるセキュリティ関連の質問に対して、98.5%という高い回答率を実現している。さらに、Googleのブラウザ「Chrome」に存在していた未発見の脆弱性を2件特定済みであると、OpenAIは発表している。

サイバーセキュリティの現場では長年、攻撃者と防御者の間に「非対称な戦い」という構造がある。攻撃側は一か所でも突破口を見つければ成功できるのに対し、防御側はすべての穴をふさがなければならないという不均衡だ。OpenAIによると、この構造の中で防御者が行動できる時間的な余裕（ウィンドウ）はさらに縮まっているという。AIを活用した攻撃手法が高度化するにつれ、防御側が脆弱性を発見し修正するまでの猶予が短くなっているという見方ができる。

GPT-5.6-Cyberはこうした状況を踏まえ、防御担当者が攻撃者より先に脆弱性を発見することを支援する目的で開発された。従来のAIモデルは悪用を防ぐため、セキュリティ上センシティブな質問への回答を広く制限してきた。このモデルはその制限を防御目的に限って緩和し、セキュリティ専門家が実際の調査・分析業務に活用できるよう設計されている。

利用にあたっては本人確認（アイデンティティ検証）が必要とされている。これは、モデルが持つ高い回答能力が悪用されることを防ぐための措置と位置づけられる。セキュリティ上の高度な情報を扱うモデルである以上、利用者を限定・管理する仕組みは不可欠と判断されたとみられる。

実績面では、すでにChromeの未知の脆弱性を2件発見したという点が具体的な成果として示されている。「ゼロデイ脆弱性」と呼ばれる、まだ公開・修正されていない脆弱性の発見は、セキュリティ分野において特に価値が高い。AIがこうした発見を自律的に行えるとすれば、人間の専門家が見落とした問題を補完するツールとして機能する可能性がある。

AIをサイバーセキュリティに活用しようとする動きはOpenAI以外でも広がっており、業界全体の関心が高まっている領域だ。ただし、同様の能力を持つモデルが防御側だけでなく攻撃側にも応用されるリスクは常に存在する。今回の本人確認の義務化は、その両義性に対するOpenAI側の現時点での対応策という見方ができる。

今後注目されるのは、このモデルが実際の企業や組織のセキュリティ体制にどう組み込まれていくか、また発見された脆弱性への対応がどのように行われるかという点だ。AIによる脆弱性発見が日常的なセキュリティ業務の一部になるとすれば、防御側と攻撃側の力学に一定の変化をもたらす可能性がある。