OpenAIがサイバー攻撃特化AI「GPT-5.6-Cyber」を限定公開——Chrome V8ゼロデイを自律発見、防御・攻撃の両面で新時代へ

2026年8月12日

登場人物紹介

チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。

ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo

「AIが自分でゼロデイ脆弱性を見つけて攻撃できるなんて、本当でしゅか？」
「セキュリティ研究に使えるAIが出てきたって聞いたんでしゅけど、悪用はされないんでしゅか？」

チップス

OpenAIが攻撃的なAIを作ったって聞いたんでしゅけど、怖くないでしゅか？

ボス

攻撃「専用」ではない。防御者が使うための高性能モデルだ。ただし95%の確率でゼロデイを見つけ出すAIが世に出たという事実は重く受け止めるべきだな。

2026年8月10日、OpenAIはサイバーセキュリティ研究者向けの特化モデル「GPT-5.6-Cyber」をDaybreak Redプログラム経由で限定公開しました。
通常のGPT-5.6 Solが1.5%しか完了できない高度な攻撃・防御タスクを95%の割合で成功させ、Chrome/V8の新規ゼロデイ脆弱性を発表前に自律的に発見したことで注目を集めています。

OpenAIの「GPT-5.6-Cyber」は高度なサイバーセキュリティタスクを95%完遂（標準モデルは1.5%）——Chrome V8のゼロデイ1件と400件超のカーネル権限昇格脆弱性を自律的に発見
アクセスはDaybreak Redの認定パートナー（Akamai・IBM・CrowdStrike・Cloudflareなど）に限定——2026年9月1日からハードウェアセキュリティキー必須
AIが脆弱性を発見するスピードと防御側のパッチ適用速度のギャップが急拡大し、サイバー攻撃の自動化・高度化が加速する時代に突入

AIと攻撃・防御の両面にわたる新たな局面を整理します。

オススメ案件

新着案件をもっと見る

事件の概要——「使える攻撃AI」が初めて限定公開された

OpenAIは2026年8月10日、Daybreakプログラムを大幅に拡充し、2つのアクセス層と新モデル「GPT-5.6-Cyber」を発表しました。
Daybreakは認証された防御者に通常は提供しないレベルのモデル能力を提供するプログラムで、今回が初の本格的な段階的公開となります。

Daybreak Blue と Daybreak Red の違い

OpenAIはサイバーセキュリティ専門家向けのアクセスを2段階に分けています。

層	対象	提供モデル	主な用途
Daybreak Blue	審査済み防御者全般	GPT-5.6 Sol など	日常的なセキュリティ業務・防御用途
Daybreak Red	厳格な審査を通過した認定組織のみ	GPT-5.6-Cyber	脆弱性調査・エクスプロイト検証・ペンテスト

GPT-5.6-Cyberはエクスプロイトチェーンの構築、認証バイパス調査、権限昇格、レッドチームテストなどに対応しています。
標準モデルが拒否するような指示を実行できる「ガードレール低減」仕様で、2026年9月1日からはアカウントに対してハードウェアセキュリティキーの使用が義務化されます。

チップス

Daybreak Blueなら普通のセキュリティ担当者でも使えるんでしゅか？

ボス

審査を通れば使える。重要なのはRedのほうで、こちらは使える組織が厳格に制限されている。Akamai・IBM・CrowdStrike・Cloudflareのような大手セキュリティ企業が最初のパートナーだ。

発表前にChrome V8のゼロデイを自律発見

GPT-5.6-Cyberは公開前の評価段階で、V8（ChromeのJavaScriptエンジン）の境界外読み取り・書き込みの脆弱性1件を自律的に発見し、サンドボックス内での任意コード実行が可能であることを報告しました。
この脆弱性は「CVE-2026-15903」として登録され、Googleはすでに修正を完了しています。
さらに400件超のカーネル権限昇格脆弱性を独自に特定した実績も公表されています。

AIが変えるサイバー攻撃の方程式とリスク

GPT-5.6-Cyberの登場は、セキュリティの攻防バランスに構造的な変化をもたらします。

「攻撃の民主化」が加速するリスク

これまでゼロデイ脆弱性の発見には、高度な技術知識を持つ人間の研究者が必要でした。
AIが95%の確率でゼロデイを発見できるなら、熟練度の低い攻撃者（スクリプトキディ）でも強力な攻撃が可能になる可能性があります。

現在リスクとして指摘されている主な点を挙げます。

AIが生成するエクスプロイトのスピードが防御側のパッチ適用ペースを上回る可能性がある
Daybreak Red外の組織や個人が同等の能力を持つモデルを独自に訓練・展開するリスクがある
AIが修正パッチを自動生成しても、新たな脆弱性を混入させる率が74%に上る（AIパッチの成功率は26%のみ）

チップス

じゃあ防御側も速くしないといけないんでしゅね……AIを使って。

ボス

そうだ。OpenAIはこのモデルを「防御の窓が狭まっている今、防御者を強化するため」と説明している。攻撃AIを先に公開してその対策を学ばせる——矛盾しているようで、理にかなったアプローチだぞ。ただし悪用が起きれば一発で制限が厳しくなるだろうな。

企業が今すぐ取るべき対応

GPT-5.6-Cyberの登場を受け、防御側が強化すべき点は次の通りです。

AIが発見したCVEへのパッチ適用を従来より高速で対応できる体制を作る（パッチ適用リードタイムの短縮）
自組織のペネトレーションテストにAIツールを活用し、攻撃者が使うAIと同じレベルで自己評価する
ゼロデイへの依存を下げるためにネットワーク分離・最小権限原則・多層防御を強化する

まとめ——「AIが攻撃をする時代」への備えを今すぐ始める

OpenAIがGPT-5.6-Cyberを限定公開した意義は、AIによる脆弱性発見・エクスプロイトが現実の能力として実証されたことにあります。
防御者がこのAIを使えるようになった一方で、同等の能力が悪意ある者の手に渡るリスクも高まっています。
パッチ適用の高速化、AIを使った自己評価、多層防御の強化——この3点が急務です。
AIと人間の攻防が同時進行する新時代のサイバーセキュリティに、今から備えてください。

ボス

AIが脆弱性を見つける速度は人間のそれを大きく超え始めている。防御側も同じAIを使わなければ、その差は埋まらない。