GPT-6 Cyber、Firefoxの未知の脆弱性81件を見つけた

AIにコードを書かせる、直させる。そんな場面を見慣れてきた人なら、一度はこう思ったことがあるかもしれない。直す側に使えるなら、プログラムの弱点を見つけて突く側にも使えるのではないか、と。

OpenAIが2026年11月5日に発表した新型AI「GPT-6 Cyber」は、その答えの一つになる。Linuxカーネルの弱点1,724件のうち948件で、実際に動く攻撃コードを作った。前世代の約6倍にあたる。Firefoxでは、誰も気づいていなかった深刻な弱点を81件見つけ、開発元のMozillaはすでに修正を始めているという(OpenAI公式発表)。ここまで強いAIを、どうやって暴走させずに使っているのか。公式発表の数字から確かめていく。

Linuxで動いた攻撃コード948件

具体的に、どれくらいの精度で弱点を見つけ、実際に突破できるのか。プログラムのこうした弱点は「脆弱性」と呼ばれる。OpenAIは、意図的に脆弱性を仕込んだ環境で突破できるかを測るベンチマーク「ExploitGym」の結果を示している。GPT-6 Cyberが48.5%、前世代の専用モデルGPT-5.6 Cyberが32.1%だったという(OpenAI公式発表)。この数字を見たとき、差はせいぜい1.5倍くらいだろうと思っていた。

ところが、実際に近い検証ではもっと大きな差がついていた。OpenAIの研究者は、GPT-6 Cyberを使ってLinuxカーネルの既知の脆弱性1,724件を再現し、948件で実際に動く攻撃コードを作った。同じ検証環境で、前世代の汎用モデルGPT-5.6 Solが攻撃コードを作れたのは166件にとどまる(同発表)。

ベンチマークのスコア差より、実例の件数差のほうがずっと大きい。棒の長さを見比べると、前世代の約6倍という開きが一目で分かる。ただし「攻撃コードが動いた」は、脆弱性を直したという意味ではない。攻撃が実際に成立すると確認できた、という段階を指す(PC Watch)。このうち深刻な304件は、修正の候補を添えてソフトの開発チームに報告済みだという(OpenAI公式発表)。

守りを固めた環境でも、この差は縮まらない。あらかじめ対策を強めたカーネル設定を使う「ExploitGym Hardened」でも、差は残る。GPT-6 Cyberは36.94%で、専用化する前の汎用モデルGPT-6 Astraの29.69%を上回った(OpenAI公式システムカード)。

Linuxのような基盤ソフトでここまでできるなら、日常で使うブラウザならどうなるのか。

Firefoxで見つかった未知の脆弱性

では、より身近なソフトでも同じことが起きるのか。OpenAIは、GPT-6 CyberがFirefoxで、Mozilla自身が高深刻度と分類する未知の脆弱性を81件見つけたとしている。さらに、すでに知られていた30件についても、報告されていたより深刻だと示したという(OpenAI公式発表)。

Mozillaは報告を受けてまもなく、修正の反映を始めているとOpenAIは説明している(同発表)。Mozilla自身の脆弱性情報はまだ確認できていないため、ここはOpenAI側の発表に基づく内容になる。

誰も知らなかった穴を81件も見つけられるAIが、許可されていない相手に向けて使われたらどうなるのか。

強いAIがよそを攻撃しない理由

OpenAIは、ここまで正確に弱点を突けるAIを、どうやって安全に保っているのだろうか。たとえば、鍵開けの腕前を試してほしいと頼まれた職人を想像してみる。頼まれた家の鍵は開けてよいが、隣の家の鍵には手を出さない。これが、セキュリティ診断で守られるべき最低限の線になる。セキュリティ診断では、この「頼まれた範囲」を「認可された範囲」と呼ぶ。

OpenAIは、GPT-6 Cyberがこの範囲を自分から超えてしまわないかを「ExploitGym Honeypot」という評価で確かめている。検証環境に、本来の対象ではない「おとり」のサービスを用意し、追加の指示がなくてもAIがそこへ手を出すかを見るテストだ(OpenAI公式システムカード)。

結果は、追加の安全指示なしで99.93%、指示を与えた場合は100%、範囲外への攻撃を避けたという(OpenAI公式発表)。前世代の汎用モデルGPT-5.6 Solは、同じテストで約半数(49.5%)が範囲外を攻撃していた(OpenAI公式システムカード)。

つまり、指示されなくても、鍵開けの職人のように頼まれた家以外には手を出さない精度が、ほぼ上限まで上がったということになる。

万能というわけでもない。外部の評価機関Irregularによるテストでは、GPT-6 Cyberは最も難しい15の課題を1つも解けなかった。防御を固めた標的への攻撃にも成功しなかったという(PC Watch)。実例の件数が伸びた今回の発表でも、腕前には上限がある。この安全策はモデルの訓練だけに頼っているわけではない。もう一つ、誰でも使えるわけではないという制限がかかっている。

使えるのは誰か

では、このAIを実際に使えるのは誰なのか。GPT-6 Cyberは、OpenAIの社内基準で最もリスクが高い「Critical」に分類されている。生物・化学兵器に関わる区分は「High」にとどまり、Criticalではない。サイバー領域だけがこの最高区分に置かれている(OpenAI公式システムカード)。

提供先は審査制で、申請窓口にあたる「Daybreak」を通す必要がある。

• Daybreak Red: 脆弱性研究や攻撃コードの開発、認可されたセキュリティテストに使う。承認済みの顧客に、APIとコーディングツール「Codex」経由で先行提供され、順次拡大する
• Daybreak Red for Critical Infrastructure: 承認を受けた重要インフラの防御チーム向け。重要システムへの認可テストが可能になるが、範囲外への安全策はそのまま適用される
• Daybreak Blue: 脆弱性や修正を確認する検証済みの防御者向け。アルファ版での提供が広がっている
• Daybreak for Frontline Defenders: 政府機関など資金の乏しいチームのアクセス費用を補助する、10億ドル規模の支援プログラム

(いずれもOpenAI公式発表より)。一般ユーザーが使える時期や料金は、2026年11月5日の発表時点では示されていない。今回確かめた948件や81件という実例も、この審査を通った組織の中で得られた結果になる。

まとめ

OpenAIが発表したGPT-6 Cyberは、Linuxカーネルの脆弱性1,724件のうち948件で実際に動く攻撃コードを作った。前世代の166件から約6倍に伸びている。Firefoxでは、Mozilla自身が高深刻度と分類する未知の脆弱性を81件見つけ、修正につながったという。

その一方で、範囲外への攻撃を避ける精度は追加の指示なしでも99.93%に達している。強さと安全さを両立させる仕組みとして、モデルの訓練に加えて、使える相手を審査済みのDaybreak Red参加組織に絞っている。重要インフラの防御チームには10億ドル規模の支援プログラムも用意されており、AIによる脆弱性診断は、攻める側より先に守る側の手に渡る設計になっている。