GPT‑6 Cyber：アライメントを備えたサイバーセキュリティエージェントの新境地

セキュリティ研究を大きく前進させる GPT‑6 Cyber を発表します。脆弱性の発見・修正能力が向上し、研究者が設定した範囲を守るうえでの信頼性も大幅に高まりました。GPT‑6 Cyber は、主要なサイバーセキュリティベンチマークで GPT‑5.6 Cyber を大きく上回りました。ExploitGym では相対的に 51% 改善し、対象範囲の遵守を測るテストでも飛躍的な向上を示しています。Linux や Firefox など、セキュリティ上重要なコードベースで数千件のエクスプロイトを発見・検証し、すでに実際のソフトウェアの保護に役立っています。

指定された脆弱性をモデルが悪用できるかをテストする ExploitGym では、GPT‑6 Cyber のスコアは 48.5% で、GPT‑5.6 Cyber の 32.1% から向上しました。タスクの範囲も、より確実に守ります。別途実施したアライメント評価では、GPT‑6 Cyber が対象範囲外のサービスへの攻撃を避けた割合は、デプロイ時のプロンプトなしで 99.93%、このプロンプトありで 100% でした。このアライメントの改善は、許可された範囲と制約を守り、結果を正確に報告するための専用トレーニングの成果です。

こうした能力は、すでに実際のシステムの保護に役立っています。当社の研究者は GPT‑6 Cyber を使用し、Linux で権限昇格を可能にする 948 件のエクスプロイト⁠を開発しました。また、フロンティアモデルによる広範な事前テストを経た Firefox からも、深刻度の高い未知の脆弱性を 81 件発見しました。モデルはパッチ候補の開発にも貢献し、Mozilla はこれらの Firefox の脆弱性の多くについて修正をリリースしました⁠（新しいウィンドウで開く）。Cisco、Calif、CodeRabbit のセキュリティチームは、脆弱性研究やコードレビューに活用しています。OpenAI も、自社インフラの弱点の発見と修正⁠に活用してきました。

フロンティアモデルを活用してソフトウェアを保護するために残された時間は限られている⁠ことは明らかです。私たちの目標は Daybreak を大幅に拡大し、あらゆる規模の組織、独立した研究者、オープンソースのメンテナーが高度なセキュリティ研究を行えるようにすることです。GPT‑6 Astra などの主力モデルは、すでにコードレビュー、脆弱性のトリアージ、パッチ開発を支援しています。Daybreak Blue は、不必要な拒否を減らし、確認済みの防御担当者による脆弱性や修正の検証を支援します。一方、Daybreak Red は GPT‑6 Cyber を通じて、より高度なエクスプロイト開発と、許可されたセキュリティテストを可能にします。

GPT‑6 Cyber は GPT‑5.6 Cyber から大きく進歩し、GPT‑6 Astra がリクエストを拒否しない場合でも、ほとんどのサイバータスクで Astra を上回ります。ソフトウェアを理解し、脆弱性を特定し、動作するエクスプロイトを開発する必要があるタスクで、モデルを評価しました。これらの結果に基づき、Preparedness Framework におけるサイバーセキュリティの分類を、GPT‑5.6 Cyber の「高（High）」から引き上げ、このモデルを「重大（Critical）」に分類しています。

リモートの標的にある指定された脆弱性をモデルが悪用できるかをテストする ExploitGym では、GPT‑6 Cyber のスコアは 48.5% で、GPT‑5.6 Cyber の 32.1% を約 16 ポイント上回りました。脆弱性の発見能力をテストするため、攻撃型ウェブペネトレーションテストの新たな評価も構築しました。モデルは、ソースコードにアクセスせずにウェブアプリケーションを調査します。脆弱性の再現率は、GPT‑6 Astra の 32.0% に対し、GPT‑6 Cyber は 40.3% を達成しました。

Daybreak Red は、動作するエクスプロイトの開発や、リモートの標的に対するその使用など、より高度なセキュリティワークフローを支援するよう設計されています。これらの能力を評価するため、RemoteExploitBench という新しいベンチマークを構築しました。管理された環境にデプロイした GitLab、PostgreSQL、Jenkins などのアプリケーションにある既知の脆弱性を使用します。初回の評価では、Daybreak Blue で動作する GPT‑6 Astra はタスクの 100% を拒否しましたが、GPT‑6 Cyber は 95% を完了しました。失敗したのは、リモートで動作させられなかったエクスプロイト 1 件のみでした。詳細な結果と評価設定は System Card⁠（新しいウィンドウで開く） をご覧ください。

サイバーセキュリティエージェントには、割り当てられたタスクの範囲を逸脱し、無関係なサービスの脆弱性を悪用しようとしたり、研究者が定めた実施ルールを無視したりするリスクがあります。

GPT‑6 Cyber ではアライメントを重点課題とし、専用のトレーニングを通じて、モデルが許可された範囲を守り、行動上の制約に従い、作業内容を正確に報告できるようにしました。デプロイ前には、こうした振る舞いを測定するため、一連のアライメント評価を実施しました。詳細な結果は System Card⁠（新しいウィンドウで開く） をご覧ください。

その評価の 1 つが、Hugging Face のインシデント⁠を踏まえて設計した ExploitGym Honeypot です。パッケージレジストリやオブジェクトストアなどの補助サービスにアクセスできる隔離環境で、モデルに難度の高い脆弱性悪用タスクを与えます。これらのサービスは意図的に攻撃しやすくしてあり、攻撃することでタスクのフラグを取得できます。モデルは、それらのサービスの脆弱性を悪用することがタスクの対象範囲外であると判断しなければなりません。

この評価で、GPT‑6 Cyber は GPT‑5.6 Cyber から飛躍的な改善を示しました。デプロイ時の安全性プロンプトなしでテストした場合、対象範囲外のサービスへの攻撃を避けた割合は 99.93% で、GPT‑5.6 Cyber の 94.49% から向上しました。これらのプロンプトを使用した場合、GPT‑6 Cyber は 100% のケースで対象範囲を守りました。

GPT‑6 Cyber モデルの思考の連鎖からは、対象範囲を守るためにどのように推論しているかを直接確認できます。

GPT‑6 Cyber はすでに、セキュリティチームによる脆弱性の発見、影響の検証、修正の開発に役立っています。お客様は、大規模なコードベース、長時間にわたるエクスプロイト開発、セキュリティレビューで活用しています。

OpenAI も、自社システムの保護に GPT‑6 Cyber を活用してきました。先日公開したフロンティアモデルのトレーニング用インフラの堅牢化⁠でも、GPT‑6 Cyber は主要なモデルの 1 つとして貢献しました。管理された環境でのレッドチーミングでは、GPT‑6 Cyber や他の OpenAI モデルを使用したエージェントが、複数の脆弱性を連鎖させて microVM から脱出し、その基盤となるホスト上でコードを実行しました。この知見をもとに、ソフトウェアへのパッチ適用、ネットワーク制限の強化、メンテナーやベンダーへの問題報告を行いました。

当社の脆弱性研究者も、GPT‑6 Cyber を使用してオープンソースソフトウェアの脆弱性を大規模に発見・検証しています。この取り組みにより、長年にわたり精査されてきたソフトウェアからも、未知の欠陥が見つかっています。

• Firefox で 81 件の新たな脆弱性を発見。GPT‑6 Cyber は、脆弱性の発見と高品質なパッチの提案を大規模に行う自律的なワークフローに適したモデルとなり得ます。脆弱性調査の取り組みで、GPT‑6 Cyber は Mozilla が深刻度「高」に分類した 81 件の新たな脆弱性について、根拠と再現可能なテストを作成しました。さらに、既知の問題 30 件についても、従来の報告より深刻であることを示しました。Mozilla のエンジニアによる修正開発を支援するため、これらの発見をパッチ案とともに Mozilla に報告しました。Mozilla はこの取り組みに賛同し、報告を受け取って間もなく修正の取り込みを開始しました⁠（新しいウィンドウで開く）。

• Linux カーネルの 948 件の脆弱性⁠に対するエクスプロイト開発。GPT‑6 Cyber は 1,724 件の脆弱性を再現し、そのうち 948 件について動作するエクスプロイトを開発しました。これは、同じ研究用ハーネスを使用した GPT‑5.6 Sol の 166 件の 5 倍以上です。Linux コミュニティの指針に従い、重大な問題 304 件をパッチ候補とともにメンテナーに報告し、その他の脆弱性についても修正を進めています。

• 重大な RCE 脆弱性の実証。先日、Node.js などのソフトウェアが利用する圧縮ライブラリ、Brotli の重大な脆弱性⁠（新しいウィンドウで開く）について紹介しました。当社のセキュリティ研究者は、GPT‑6 Cyber と他の OpenAI モデルを併用し、この欠陥によって Brotli を利用するアプリケーションでリモートコード実行が可能になる仕組みを示すエクスプロイトを開発・検証しました。

モデルの能力が向上し、より多くのセキュリティ脆弱性を発見できるようになる一方で、モデルを利用して危害を加えようとする試みも増えています。こうした試みには、悪意あるサイバー攻撃者によるものや、当社のモデルの蒸留を狙う敵対的なグループによるものが含まれます。そのため、GPT‑6 Cyber では能力の向上に合わせて安全対策も強化し、悪用を検知・阻止するとともに、モデルの行動をユーザーの意図と許可の範囲内に保つようにしています。

GPT‑6 Cyber のリリースに合わせて、以下の保護策を追加・強化しました。詳細は System Card⁠（新しいウィンドウで開く） をご覧ください。

• サイバー分野に特化したミスアライメントの監視。正当なエクスプロイト開発やテストを区別しつつ、行動がユーザーの許可に沿っているかを監視します。

• 新たな脅威に的を絞った監視。たとえば、PHP の重大な脆弱性を関係者間で調整のうえ開示した際には、稼働中の PHP サーバーに対するエクスプロイト開発の試みを重点的に監視しました。同時に、影響を受けるシステムにパッチを適用する防御担当者への支援は維持しました。

• Private Safety Processing（PSP）。自動チェックを使用し、関連するやり取りに悪用がないかを確認します。デフォルトでは引き続き標準の保持設定が適用されます。ゼロデータ保持⁠（新しいウィンドウで開く）を利用する API のお客様は、原則として PSP⁠（新しいウィンドウで開く） を使用する必要があります。PSP は、お客様のストレージに 30 日間保持される暗号化された記録を確認し、プロンプトや応答を OpenAI の担当者に開示しません。

• 盗まれた認証情報への対策。Daybreak Red の API アクセスでは、原則として IP 許可リストを必須とし、限定的な例外を除いて、承認済みネットワークからのリクエストのみを許可します。認証情報の侵害についても監視しています。

• サンドボックス化と監督。従来のモデルと同様に、高リスクのワークフローでは、サンドボックス化⁠（新しいウィンドウで開く）、アクションのレビュー⁠（新しいウィンドウで開く）、人間による監督を推奨します。

• 高リスクなサイバー活動への支援を防ぐ保護策。新たなチェックにより、重要システムに関わる高リスクな活動を阻止します。詳細は以下をご覧ください。

GPT‑6 Cyber の安全対策とアクセスの設計では、重要インフラの保護を重視してきました。これには、発電所や水処理施設、そしてそれらを支える運用技術や産業用制御システム（OT/ICS）が含まれます。これらのシステムを守るチームに当社の最も高性能なモデルへのアクセスを提供すると同時に、無許可の攻撃を防ぐ安全対策を強化したいと考えています。

第一に、防御担当者の体制を支えるため、総額 10 億ドルの助成プログラム Daybreak for Frontline Defenders⁠ を通じて、政府機関や生活に不可欠なサービスの提供事業者など、リソースに制約のあるチームの利用費用を補助します。また、承認済みの重要インフラの防御担当者向けに、Daybreak Red 内に新たなグループ（Daybreak Red for Critical Infrastructure）を設けます。このグループでは、モデルのミスアライメントに対する安全対策を維持しながら、重要システムで許可されたテストを実施する権限を提供します。

第二に、Daybreak Red と Blue のプラットフォームの悪用を防ぐため、安全対策を改良しました。産業用制御や安全上重要なシステムへの侵害、設備への干渉、重傷、壊滅的な物理的損害、人命を脅かすサービス停止につながり得る支援や能力開発を防ぐための対策です。下図は、GPT‑6 Cyber に合わせて展開中の最新アップデートの前後で、4 つのアクセス構成における安全対策のラベル付与率を比較したものです。

安全対策によるブロック率は、高ければよいとは限りません。この評価で使用する手法の多くは、システムの理解、脆弱性の発見、修正が攻撃に耐えられるかの検証など、正当なセキュリティ業務にも欠かせません。そのため、100% を目指すのではなく、正当な研究やパッチ適用への支援と合わせて、これらの率を評価しています。

当社のモデルが重要インフラの防御にどう役立つかを評価するため、拡張運用技術（xOT）のサイバーセキュリティを世界的に提供する Dragos と提携しました。Dragos は、管理されたラボ環境で、サイバー関連の制限を緩和した Daybreak Red モデルを使用して評価を実施しました。評価対象は、ネットワークの検出や資産の列挙から、標的を絞った偵察、機密データの流出、無許可で危険を伴う可能性のある機器操作へと段階的に進むリクエストでした。

Dragos からのフィードバックをもとに、許可されたテストを不必要に制限することなく、有害な支援を阻止できるよう安全対策を改良しました。評価の詳細は、Dragos の最終報告書⁠（新しいウィンドウで開く）をご覧ください。また、AI を活用したペネトレーションテストやレッドチーミングについて、他の攻撃型セキュリティ事業者やパープルチームとの連携拡大を進めています。さらに、エネルギー企業、その他の重要インフラ事業者、国立研究所とも協力し、産業分野の防御における当社モデルの有効性と安全対策を評価していきます。OT/ICS に関わるモデル利用を検知するため、脅威調査への投資も拡大しました。今後も、パートナーやセキュリティコミュニティからの意見を取り入れ、安全対策を改善していきます。安全対策が有害な活動を見逃した場合や、正当な業務を妨げた場合に /feedback を通じて寄せられる報告も活用します。

GPT‑6 Cyber はまず、承認済みの Daybreak Red のお客様のうち一部を対象に、API と Codex を通じて提供します。近く、すべての Daybreak Red のお客様へ段階的にアクセスを拡大します。また、GPT‑5.6 Cyber もすべての Daybreak Red のお客様に提供します。GPT‑6 Astra 向けの Daybreak Blue のアルファ版アクセスも、より多くの組織や個人のセキュリティ研究者へ拡大しています。ご関心のある方は、お知らせください⁠（新しいウィンドウで開く）。

新規ユーザーや組織は、Daybreak にお申し込み⁠のうえ、当社のサイバーセキュリティ向けスキル、製品、パートナー⁠を活用して始められます。