脆弱性の発見・検証と許可範囲の順守を強化したモデルです。Daybreak Redの一部顧客にAPIとCodexで提供し、対象を段階的に広げます。 評価環境での範囲順守と本番の安全性を分けて考えます。利用審査、接続制限、監査と修正確認を含む運用が焦点です。 脆弱性の検証と行動範囲を同時に評価 OpenAIは11月5日、サイバーセキュリティ向けモデルGPT-6 Cyberを発表しました。脆弱性の発見、悪用可能性の検証、修正案の作成を支援します。前世代からの変更として、能力に加えて研究者が指定した範囲にとどまる訓練を重視しました。ExploitGymの成績は48.5%で、GPT-5.6 Cyberの32.1%を上回ったと報告しています。これは指定された脆弱性を扱う評価の結果です。一般的な防御業務すべての成功率ではありません。同社はPreparedness Framework上のサイバー能力をCriticalに分類し、提供範囲と監視も合わせて説明しています。 Firefoxの報告と限定提供の対象 影響を受けるのは、ソフトウェアの脆弱性調査やコードレビューを担うチームです。OpenAIによると、FirefoxではMozillaが高深刻度と分類した未知の脆弱性81件について、再現可能な証拠と修正候補を作成しました。Mozillaへの報告後、一部の修正が進んでいます。Linuxの研究も紹介していますが、発見数を現在の未修正件数と同一視することはできません。初期提供は承認済みDaybreak Red顧客の一部に限られ、APIとCodexが窓口です。全Daybreak Red顧客への拡大は今後の予定です。重要インフラの防御担当者向けには、承認を経て使う別のアクセス枠も導入します。既存の契約や申請だけで誰でも直ちに使える発表ではありません。 評価の高得点を運用上の保証へ替えない 範囲外のサービスを攻撃しないかを調べた評価では、配備用プロンプトなしで99.93%、ありで100%が範囲を守ったとしています。限定された評価結果であり、未知の環境でも逸脱しない保証とは区別します。導入時は対象資産、許す操作、停止条件を明示することが論点です。同社はDaybreak Red APIで原則IP許可リストを求め、悪用監視も強化しました。高リスクな処理には隔離、行動の審査、人の監督を勧めています。実務では、発見から保守担当者への報告、修正後の再検証までを一つの工程として管理する必要があると見られます。研究で示した性能と、自社で用意する調査時間や確認工数は別々に測る対象です。一般提供日や全利用条件は、今後の案内を確認する判断点になります。 修正の受け入れまでを成果として追う 次の判断点は、モデルが見つけた候補が、保守担当者に受け入れられる報告へ変わるかです。再現手順や影響範囲の記録が不足すると、候補数が多くても修正が進まない可能性があります。導入チームは、検出、再現、報告、修正確認を別々に数えることが考えられます。既に公開したLinux研究と今回のモデル発表は関連しますが、同じ成果を二重に積み上げない整理も必要です。利用可能な顧客の拡大と、自社の調査工程で確認できた効果を分けて追うことが焦点です。