生成AIをめぐっては、攻撃側・防御側どちらの用途に活用されるかが常に議論の的になってきました。米OpenAIは2026年8月10日（現地時間）、サイバーセキュリティの防御担当者向けプログラム「Daybreak」を拡張し、新たに専用モデル「GPT-5.6-Cyber」を発表しました。今回の発表では、利用者を2つのアクセス階層に分ける仕組みも新たに導入されています。(参照：Expanding Daybreak as the cyber defense window narrows | OpenAI)
ゼロデイ脆弱性の発見支援やエクスプロイト検証など、これまで生成AIが慎重に扱ってきた領域に踏み込む内容が含まれるため、性能面だけでなく、どのような安全対策が取られているかも合わせて押さえておきたいところです。本記事では、2026年8月12日時点で判明している発表内容を整理します。
- OpenAIが2026年8月10日、サイバー防御プログラムDaybreakを拡張しGPT-5.6-Cyberを発表
- 利用者はDaybreak Blue（汎用モデル）とDaybreak Red（専用モデル）の2階層に分かれる
- 詳細なシステムカードは未公表、脆弱性が見つかった具体的な製品名も非開示
Daybreakプログラムの拡張内容
Daybreakは、審査を経て承認された防御担当者がOpenAIの最先端モデルをセキュリティ業務に活用できるようにする取り組みで、今回の拡張により利用者は「Daybreak Blue」と「Daybreak Red」という2つのアクセス階層に分けられることになりました。Daybreak Blueは「GPT-5.6 Sol」を含む汎用の最先端モデルを用い、脆弱性発見やセキュアコードレビュー、マルウェア解析、インシデント対応、パッチ検証など、大半の防御担当者が出発点とする業務に対応します。一方のDaybreak Redは、サイバーセキュリティに特化して学習された専用モデルを使用し、承認された脆弱性研究やエクスプロイト検証といった、より高度な作業を担う階層です。
利用申し込みは個人向けには専用ページ、組織向けには申請フォームが用意されており、いずれも審査を経て承認されたユーザーのみがアクセスできる仕組みになっています。
GPT-5.6-Cyberの性能と実績
Daybreak Redの中核を担うのが、GPT-5.6 Solを基盤に開発された新モデルのGPT-5.6-Cyberです。OpenAIによると、社内評価の「Advanced Cybersecurity Completion Rate」という指標で依頼の95.0%に応じており、比較対象のGPT-5.6 Sol単体では1.5%、Daybreak Blue経由では2.0%、旧モデルのGPT-5.5-Cyberでは57.3%だったといい、専用モデル化による対応力の向上を示す結果となっています。
具体的な実績としては、ChromeのJavaScriptエンジン「V8」における未知の脆弱性2件の発見、モバイルOSにおける重大脆弱性5件以上の特定、データベース製品でリモートコード実行につながる脆弱性3件の発見、OSカーネルで権限昇格につながる脆弱性400件超の特定などを挙げていますが、脆弱性が見つかった具体的な製品名までは明らかにされていません。
安全面への配慮
ゼロデイ脆弱性の発見やエクスプロイトの検証は、悪用されれば攻撃側にも利用され得る機微な領域であり、OpenAIはこうしたリスクを踏まえて自社の安全性評価の枠組みである「Preparedness Framework」に基づきGPT-5.6-Cyberのサイバー能力を評価した結果、「High」の水準に達したものの最上位の「Critical」には至らなかったと説明しています。
アクセス自体も前述の通り個人・組織それぞれの審査プロセスを経た承認ユーザーに限定されており、拒否率を下げた強力な機能を無条件に一般公開するのではなく、利用者を絞り込んだ段階的な提供にとどめている点は留意しておきたいポイントです。
現時点で分かっていないこと
2026年8月12日時点で確認できる範囲では、GPT-5.6-Cyberの詳細な安全評価を含む「システムカード」は後日公開するとされており、まだ公表されていません。またDaybreak Redへのアクセス承認基準の具体的な内容や、2つの階層それぞれの料金設定についても明らかになっていない状況で、今後の追加発表を待って改めて詳細を確認する必要があるでしょう。
まとめ
生成AIをサイバー攻撃・防御のどちらに活用するかは、セキュリティ業務における重要な論点になりつつあります。GPT-5.6-Cyberは防御側の脆弱性発見やパッチ検証を強力に支援する一方、機微な機能ゆえにアクセス制限や審査プロセスを設けている点が特徴です。自社のセキュリティ運用でAIツールの活用を検討している担当者は、今後公開されるシステムカードや利用条件の詳細を確認したうえで、自社のリスク管理方針に照らして導入の是非を判断することが望ましいといえます。
