OpenAI「Daybreak」刷新：脆弱性の自動修正に注力、GPT-5.5-Cyber提供

サイバーセキュリティにおけるこれまでの最大の難題は、脆弱性を見つけ出すことでした。しかしフロンティアAIの進化によって状況は一変し、脆弱性の発見が加速した結果、防御側の修正作業が追いつかなくなるという新たなボトルネックが生まれています。

OpenAIはセキュリティ構想「Daybreak」の拡張を発表し、機械並みの速度で脆弱性を自動パッチ修正する仕組みへ舵を切りました。脆弱性レポートを出すだけではシステムを守れないという現実に直面し、検証からパッチの作成、テスト、適用支援までを一気通貫で自動化する狙いです。

コード修正まで踏み込むCodex Securityと新モデル

今回の柱の一つが、Codex Securityプラグインの大幅アップデートです。3月の研究プレビュー公開以来、同システムは3万件以上のコードベースで3000万件以上のコミットをスキャンしてきました。人間のレビューによって7万件以上の指摘が修正済みと判断され、自動判定による修正は50万件を超えています。

新しいプラグインは、開発者の隣に専任のセキュリティエンジニアを配置する感覚で機能します。単に警告を発するだけでなく、脅威モデルを把握し、脆弱なコードが実際に外部から到達可能かどうかを検証した上で、プロジェクト固有のパッチを自動生成してレビューに回します。

同時に、信頼できる防御者向けにフル機能版モデル「GPT-5.5-Cyber」の提供も開始されました。脆弱性の再現能力を測るCyberGymベンチマークにおいて、同モデルは単一モデルとして過去最高となる85.6%を記録し、標準のGPT-5.5の81.8%を上回りました。

さらに、脆弱性を悪用可能なエクスプロイトに変換する能力を測るExploitGymでは39.5%（通常版は25.95%）、長期の脆弱性発見を検証するSEC-bench Proでは69.8%（通常版は63.1%）に達しています。これまでにFirefox、V8、Safari、FreeBSDなどの主要基盤で脆弱性の検証実績を上げています。

オープンソースを支える官民・コミュニティ連携

脆弱性の通知が急増すると、ボランティアに近いオープンソースのメンテナーはパンクしてしまいます。この負担を減らすため、OpenAIはTrail of Bits、HackerOne、Califと共同で「Patch the Planet」イニシアチブを発足させました。

Python、Go、cURL、Sigstore、pyca/cryptographyなど30件以上の主要オープンソースプロジェクトが参加を表明しています。Trail of Bitsは全セキュリティ研究組織を投入し、これまでに19件のプロジェクトでCodexと新モデルを活用して数十件のパッチをマージしました。

モデルの活用により、通常なら数週間を要する複数プラットフォーム対応のファジング環境構築を1日足らずで完了させた実績も報告されています。さらに、CiscoやCrowdStrikeなどとのパートナーシップを通じて、防護機能を既存のエンタープライズ製品へ統合していく計画です。

なぜ重要か

サイバー防衛における真の格差は、高度なセキュリティ人材をどれだけ確保できるかにありました。オープンソースの重要コンポーネントがごく少数のエンジニアによって支えられている現状において、AIが脆弱性発見だけを加速させれば防御側は崩壊しかねません。

OpenAIが単なる脆弱性スキャナーではなく、修正パッチの自動生成とトリアージに重きを置いたアプローチは、非常に理にかなっていると私たちは考えます。調査からコード修正までの実務をAIが肩代わりすることで、メンテナーはレビューと承認に専念できるようになります。

開発現場やOSS運用者にとって、今回の仕組みはセキュリティ対応のコストを劇的に下げる強力な武器となります。特に過去の脆弱性通知が山積みになっているチームにとって、SARIF連携や自動修正機能はすぐにでも検証する価値があります。

一方で懸念されるのは、悪用能力の高さです。エクスプロイト生成ベンチマークで高い数値を叩き出すモデルである以上、ひとたび認証の壁を突破されれば攻撃者側の強力な武器に転じます。米政府機関との連携や厳格な利用制限が敷かれているとはいえ、この防御専用のエコシステムを破綻させずに維持できるかが今後の試金石となります。