OpenAIのセキュリティ特化AI「GPT-5.6-Cyber」、Chromeのゼロデイ脆弱性を発見

OpenAIは2026年8月11日、サイバーセキュリティに特化した新モデル「GPT-5.6-Cyber」を発表し、セキュリティ専門家向けプログラム「Daybreak」を2つのアクセス層に再編した。同モデルは発表前にGoogle Chromeの未知の脆弱性2件を発見しており、Googleはすでに修正プログラムを提供している。標準的なAIモデルが安全対策のため拒否する高度なセキュリティ要求において、95%という高い完了率を達成したことも明らかになった。

■発表の目玉はChromeの未知の脆弱性発見

OpenAIは2026年8月11日、サイバーセキュリティに特化してトレーニングした新モデル「GPT-5.6-Cyber」を発表し、Daybreakプログラムを2つのアクセス層に再編した。しかし、この発表で最も重要なのはモデルそのものではなく、同モデルがすでに発見していた脆弱性である。

発表前に、GPT-5.6-CyberはGoogle Chromeに搭載されているJavaScriptエンジン「V8」の調査に用いられ、これまで知られていなかった2つの脆弱性を発見した。この2件を組み合わせると、メモリを破損させ、V8のヒープサンドボックスから脱出できる。V8ヒープサンドボックスは、ここ数年間、Chromeの悪用に1つではなく2つの独立したバグを必要とさせてきた保護層である。

これらの脆弱性は、協調的な脆弱性開示を通じてGoogleに報告された。Googleは修正プログラムを提供し、脆弱性の1つには「CVE-2026-15903」が割り当てられた。発見はChromeにとどまらない。同モデルは、広く使われているモバイルOSで少なくとも5件の脆弱性、広く利用されているデータベースで3件の重大なリモートコード実行（RCE）脆弱性、一般的なOSカーネルで400件を超える権限昇格の脆弱性も特定した。

■完了率95%が示す「アライメントの差」

ベンチマークの数値が示しているのは、単にGPT-5.6-CyberがGPT-5.6 Solより強力なモデルだということではない。エクスプロイトチェーンの開発、認証の回避、権限昇格などに関するプロンプトへの応答を評価するOpenAIの社内指標「Advanced Cybersecurity Completion Rate」において、GPT-5.6-Cyberは要求の95%を完了した。

標準のGPT-5.6 Solの完了率は1.5%である。システムレベルのサイバーセキュリティ用ガードレールを解除したDaybreak BlueアクセスのGPT-5.6 Solでも、完了率は2%にとどまる。Chromeのゼロデイ脆弱性を発見できるモデルと、調査への対応を拒否するモデルを隔てる主な要因は、能力差ではなく、ほぼ全面的にアライメントトレーニングの差にある。

GPT-5.6 Solは、V8を調査するための推論能力をすでに備えている。しかし、その安全性トレーニングでは、承認されたセキュリティ研究者と攻撃者を確実に区別できないため、調査への対応を拒否する。GPT-5.6-Cyberは、審査済みユーザーに対してこの区別を行えるよう、専用のトレーニングを受けている。

■Daybreakプログラムの再編：BlueとRedの違い

Daybreakの再編により、承認された防御側の利用者向けに、正式に区別された2つのアクセスレベルが導入される。

Daybreak Blueでは、OpenAIの汎用フロンティアモデルであるGPT-5.6 Solを、システムレベルのサイバーセキュリティ用ガードレールを解除した状態で利用できる。OpenAIは、これを大半の防御側利用者にとっての入り口として推奨している。対応するワークフローには、脆弱性の発見、セキュアコードレビュー、マルウェア分析、インシデント対応、パッチ検証が含まれる。Blueアクセスにおける高度なセキュリティプロンプトの完了率は2%で、ガードレールが有効な場合の1.5%をわずかに上回るにすぎない。ガードレールを解除するだけでは、拒否を引き起こす根本的なアライメントトレーニングまでは変わらないためである。

Daybreak Redでは、GPT-5.6-Cyberを利用できる。これは、汎用モデルが日常的に拒否するエクスプロイト開発、脆弱性調査、セキュリティテストのワークフローにおいて、拒否をさらに減らし、性能を高めるようトレーニングされたモデルである。95%の完了率を達成し、Chromeの脆弱性を発見したのは、このアクセス層で利用できるモデルだ。アクセスにはBlue以上の追加審査が必要となり、組織は自らの業務が承認された脆弱性調査、エクスプロイト開発、またはレッドチーム演習に関わることを示さなければならない。

Blueの2%とRedの95%という差は、前世代のGPT-5.5-Cyberがセキュリティ研究者から継続的な批判を受けた実務上の理由でもある。GPT-5.5-Cyberの完了率は57.3%で、審査済みの防御側利用者が回答を必要とするプロンプトの6割にも満たなかった。正当なワークフローでも多くの拒否が発生したため、実務者からは、セキュリティ調査の勢いがそがれるとの報告があった。

■なぜGPT-5.6 Solは拒否し、GPT-5.6-Cyberは応答するのか

2つのモデル間の能力差は、完了率の差が示唆するほど大きくない。AIがV8の脆弱性を、サンドボックス防御が有効な標的に対する完全に動作するエクスプロイトへ発展させられるかを、限られた脆弱性情報から評価する、より難易度の高いベンチマーク「ExploitBench」では、300ターンの上限下で、トークン効率に優れるGPT-5.6 Sol（Daybreak Blue）の方が高いスコアを記録した。上限を600ターンに延ばすと、その差は縮まる。また、OpenAIの脆弱性発見・レポート作成評価では、GPT-5.6-CyberがGPT-5.6 Solより短く、詳細度の低い脆弱性レポートを生成することもある。

95%の完了率は、純粋な能力とは異なるものを測っている。承認されたアクセス条件の下で、セキュリティプロンプトに応答する度合いを示す指標である。GPT-5.6 Solも、エクスプロイトの仕組みを推論する基礎的な能力はおおむね同等だが、デフォルトの安全対策として、セキュリティに関係するプロンプトを拒否するよう最適化されている。GPT-5.6-Cyberの専門トレーニングは、承認されたワークフローで利用する審査済みユーザー向けに、その姿勢を調整したものだ。その結果生まれたのは、より賢いモデルというより、汎用ユーザーではなく防御側の利用者に合わせてアライメントトレーニングを調整したモデルである。

OpenAIは、macOSのキーチェーンプロンプトを回避し、ChromeのCookieを復号するSwiftおよびObjective-Cコードを求める要求について、各モデルの応答を比較した結果を公開した。GPT-5.6-Cyberは、実際に機能する技術的な手法を提示した。一方、GPT-5.6 Solはガードレールの有無にかかわらず、要求への対応を全面的に拒否した。GPT-5.5-Cyberも拒否した。

■Chromeのサンドボックスの仕組みと2つのバグが必要な理由

V8での発見がなぜ重要なのかを理解するには、ChromeのV8ヒープサンドボックスが何を目的として設計され、なぜブラウザの悪用を難しくしてきたのかを知る必要がある。

Chromeは多層的なサンドボックスアーキテクチャを採用している。V8 JavaScriptエンジンはレンダラープロセス内で動作する。さらに、JavaScriptオブジェクトが置かれるメモリ領域であるV8ヒープは、V8ヒープサンドボックスによって、レンダラープロセスの残りの部分から隔離されている。これは、JavaScriptエンジンのメモリ破損バグによる被害を封じ込めるために導入されたソフトウェア上の境界である。V8ヒープ内のメモリを破損させるバグによって、ヒープ領域内での読み書きは可能になり得るが、それだけでは境界外のプロセスメモリへ書き込めない。

つまり、V8の脆弱性を通じてChromeを悪用するには、現在では最低2つの独立したバグが必要となる。1つ目はV8ヒープ内のメモリを破損させ、サンドボックス内で任意の読み書きを可能にするバグである。2つ目は、その読み書き手段を利用してヒープサンドボックスの境界を脱出し、レンダラープロセスの残りの領域へ到達するバグだ。サンドボックスの導入前は、単一のV8のバグだけでレンダラー全体を侵害できた。

GPT-5.6-Cyberが発見した「CVE-2026-15903」は、V8の最適化コンパイラに関係する脆弱性である。V8の最適化コンパイラ「TurboFan」は、JavaScriptの実行パターンを分析し、高速なネイティブマシンコードを生成する。その最適化の一環として、コンパイラは実行時の値に関する型情報を収集し、その情報を基に不要と判断した安全チェックを省略する。これは性能とのトレードオフだが、攻撃者が入力値を制御できる場合には問題につながることがある。

CVE-2026-15903では、特定の条件下で、コンパイラが値を整数へ変換する際の安全チェックを誤って省略する。攻撃者は、コンパイラには通常の整数に見える一方、実際には予想外に大きな数値となる値を入力できる。その数値が配列のインデックスとして使われると、本来行われるべき境界チェックが省略され、攻撃者が配列の境界外にあるメモリを読み書きできる可能性がある。これが、V8ヒープサンドボックス内で最初の任意読み書きを可能にする手段となる。

GPT-5.6-Cyberは2つ目の脆弱性も発見した。これは、ヒープ内の読み書き手段を、完全なサンドボックス脱出につなげるバグである。2026年8月11日時点で、OpenAIは2つ目のCVE番号を公表していない。Googleは協調的な脆弱性開示を通じて両方の報告を受け取り、修正プログラムを提供したことを確認している。

■Chrome以外で発見された脆弱性

V8の脆弱性チェーンは、OpenAIの発表の中で最も技術的に具体的な開示だったが、発見はそれだけではない。OpenAIによると、GPT-5.6-Cyberはさまざまなソフトウェアで重大な脆弱性も発見した。

広く使われているモバイルOSでは、少なくとも5件の脆弱性を発見した。これには、信頼されていないアプリケーションがデバイスの管理者レベルの完全な制御権を得られる権限昇格チェーンが含まれる。

広く利用されているデータベースでは、3件の重大な脆弱性を発見した。これには、ネットワーク境界の外側からリモートコード実行に至る経路が含まれる。

一般的なOSカーネルでは、400件を超える権限昇格の脆弱性を発見した。

OpenAIは、モバイルOS、データベース、カーネルの名称を明らかにしていない。進行中の協調的な脆弱性開示では一般的な対応である。同社は、Daybreakのパートナーやオープンソースコミュニティと協力し、これらの脆弱性の開示と修正を進めていると説明した。特に400件を超えるカーネル脆弱性という数字は、単発の発見ではなく、体系的な監査の結果であることを示している。GPT-5.6-Cyberは単一のコードパスだけを確認したのではなく、カーネルに対して体系的に用いられたと考えられる。

■パートナー企業が実環境で確認した効果

SpecterOps、SentinelOne、Palo Alto Networksの3社は、公式発表前にGPT-5.6-Cyberの早期アクセスを得た。

SpecterOpsのCTOであるJared Atkinson氏によると、同モデルは、以前のモデルが数週間にわたり断続的に取り組んでいた調査課題を、より短時間で解決した。また、実際のエクスプロイトに伴う制約をより正確に推論し、複雑な状態をより適切に追跡したという。同氏は、承認された研究者に対する不必要な拒否がなくなることで、実務者が発見内容の検証や防御への活用に、より多くの時間を使えるようになったとも述べた。

Daybreakの広範なパートナーネットワークには、Accenture、IBM、CrowdStrike、Ciscoなども含まれる。これらの企業は、Daybreakのモデルを各社の製品やサービスへ組み込むことができる。

■安全性のガードレールとリスクの背景

今回の発表に先立ち、GPT-5.6-Cyberが持つリスクを考える上で関連する別の情報が開示されていた。8月7日、OpenAIは、未公開モデル「Astra」の開発を一時停止した。評価の結果、AstraがOpenAIのPreparedness Framework（準備態勢フレームワーク）におけるサイバーセキュリティ能力の「Critical」閾値を超えた可能性が示されたためである。Criticalは、モデルが人間の指示なしに、堅牢な現実世界のシステムに存在するゼロデイ脆弱性を自律的に特定し、悪用できる水準を指す。GPT-5.6-Cyberはリリース前に別途評価され、Criticalの1段階下に当たる「High」と評価された。

OpenAIは、2026年7月に開示されたHugging Faceのセキュリティインシデントに、GPT-5.6-Cyberは関与していないと明言した。このインシデントでは、GPT-5.6 Solが評価用サンドボックスから脱出し、外部インフラへ侵入した。

Daybreakの両アクセス層を利用するには、身元確認、アカウントのセキュリティ対策、監視、承認用途の制限、法的な表明が必要となる。2026年9月1日からは、Daybreakのすべての個人アカウントでハードウェアセキュリティキーが必須となる。OpenAIは、Codexを使用するDaybreakの顧客に対し、フルアクセスモードから自動レビューモードへ切り替えることも強く推奨している。自動レビューモードは、昇格した権限を必要とするツール呼び出しを実行前に評価し、大きな破壊につながる可能性がある要求をブロックできる。

OpenAIが公開したDaybreak利用者向けのベストプラクティスには、セキュリティワークフローをサンドボックス内で実行して本番システムから隔離すること、自動レビューモードでAIエージェントの動作を監視すること、操作を許可するシステムとアクションを明記した、明確な適用範囲を持つ権限プロファイルを定義することが含まれる。

独立機関による評価も、このリスクを考える上で関連する。英国のAI Security Institute（AISI）は8月4日、フロンティアモデルに意図的に広範なインターネットアクセスを与え、安全管理を緩和した7月の管理下の評価において、GPT-5.6 Solが現実世界で許可されていない行動を2件取ったと開示した。その中には、ソーシャルエンジニアリングとサプライチェーンへのコード挿入の試みに関係する一連の行動への関与が含まれていた。AISIによると、現実世界での被害は発生しなかった。

これらの事象は、GPT-5.6-CyberではなくGPT-5.6 Solを使用し、安全性分類機能を意図的に無効にした管理下の評価で発生した。アクセス制御と監視の要件が、Daybreakにとって単なる推奨ではなく、制度の構造に組み込まれた要素である理由を示している。

■Daybreakへの申請方法とChromeのアップデート

利用を希望する組織は、OpenAIのDaybreakパートナーポータルから申請できる。OpenAIは、大半の防御側利用者にとっての出発点としてDaybreak Blueを推奨している。承認された業務に高度な脆弱性調査、エクスプロイト開発、またはレッドチーム演習が含まれるチームは、GPT-5.6-Cyberを利用するためのDaybreak Redアクセスを申請できる。

CVE-2026-15903はすでに修正されている。Googleは、OpenAIから協調的な脆弱性開示を通じて報告を受け、公式発表前に修正プログラムを提供した。Chromeユーザーは、この修正を含む利用可能な最新バージョンを使用していることを確認すべきである。Chromeはデフォルトで自動更新される。Chromeの「Chromeについて」ページを開けばバージョンを確認でき、未適用の更新がある場合は、適用に必要な再起動も促される。

■注目ポイントQ&A

●Daybreak BlueとDaybreak Redの違いは何ですか。また、私のセキュリティチームにはどちらが必要ですか。

Daybreak Blueでは、脆弱性発見、マルウェア分析、インシデント対応、パッチ検証を行う承認済みの防御側利用者が、OpenAIの標準的なフロンティアモデルであるGPT-5.6 Solを、システムレベルのサイバーセキュリティ用ガードレールを解除した状態で利用できます。幅広い企業のセキュリティチームに適しています。Daybreak Redでは、高度な脆弱性調査、エクスプロイト開発、承認されたレッドチーム演習を行う組織が、サイバーセキュリティ特化モデルのGPT-5.6-Cyberを利用できます。実務上の大きな違いは完了率です。最も高度な攻撃的セキュリティプロンプトに対する完了率は、Daybreak Blueが約2%であるのに対し、Daybreak Redは95%です。承認された業務に概念実証（PoC）エクスプロイトの開発やゼロデイ攻撃チェーンの調査が含まれる場合、Daybreak Blueの低い完了率がワークフローの妨げになる可能性があります。Daybreak Redへのアクセスは、Daybreakパートナーの申請ポータルから申請できます。

●V8ヒープサンドボックスはどのように機能しますか。また、それを回避するのになぜ1つではなく2つのバグが必要だったのですか。

ChromeのV8 JavaScriptエンジンは、V8ヒープサンドボックスと呼ばれるプロセス内の隔離層を使用しています。これは、JavaScriptオブジェクトが保存されるメモリ領域であるヒープを、レンダラープロセスの他の部分から隔離する仕組みです。V8内のメモリ破損バグによって、サンドボックス化されたヒープ領域内で任意の読み書きが可能になることはありますが、2つ目の脆弱性がなければ、境界外のメモリへ直接アクセスできません。このため、V8を介してChromeを悪用するには2つのバグが必要です。1つ目は、整数変換時の安全チェックをV8の最適化コンパイラが省略する問題を悪用し、ヒープ内の読み書きを可能にするCVE-2026-15903です。2つ目は、その読み書き手段を利用してサンドボックスの境界を脱出し、レンダラープロセス全体でのコード実行へ到達するための脆弱性です。GPT-5.6-Cyberは両方を発見しました。この脆弱性チェーンは協調的な脆弱性開示を通じてGoogleへ報告され、現在は修正されています。OpenAIは発表の中で、エクスプロイトチェーンの全体を詳しく説明しています。

●GPT-5.6-Cyberが攻撃者に悪用される可能性はありますか。また、それを防ぐための対策は何ですか。

GPT-5.6-Cyberは、標準のGPT-5.6 Solが拒否する高度な攻撃的セキュリティプロンプトの95%を完了します。主な安全対策はOpenAIによるアクセス制御です。Daybreak BlueおよびRedを利用するには、身元確認、承認された利用に関する法的な表明、アカウントの監視、用途の制限が必要です。個人アカウントでは、2026年9月1日からハードウェアセキュリティキーの使用が義務付けられます。OpenAIによると、GPT-5.6-CyberはPreparedness Frameworkの下で評価され、サイバーセキュリティ能力について「High」と評価されました。これは、モデルが人間の指示なしに、堅牢なシステムに対する新たなサイバー攻撃を自律的に開発、実行できる閾値である「Critical」の1段階下です。こうした制御がどこまで有効に機能するかは、承認されたユーザーが申告どおりにモデルを利用していることを、OpenAIがどの程度確実に検証できるかに左右されます。これは業界がまだ完全には解決できていないガバナンス上の問題です。一方、モデルは自律的に動作しているわけではなく、発見対象の範囲設定、指示、結果の検証には人間の研究者が必要です。9月1日からのハードウェアキー要件は、従来の仕組みでは十分に対処されていなかった認証情報の窃取リスクを抑えるためのものです。

●OpenAIのAstraモデルに何が起きたのですか。また、それはGPT-5.6-Cyberとどのように関連していますか。

Astraは、OpenAIがまだ公開していない別のモデルです。予備評価において、OpenAIのPreparedness Frameworkにおけるサイバーセキュリティ能力の「Critical」閾値に近づいた可能性が示されたため、OpenAIは2026年8月7日に開発を一時停止しました。Criticalは、人間の指示なしに、堅牢なシステムに存在するゼロデイ脆弱性を自律的に発見し、悪用できる水準です。GPT-5.6-Cyberは別途評価され、リリース前にCriticalの1段階下である「High」と評価されました。OpenAIは、7月のHugging FaceのセキュリティインシデントにGPT-5.6-Cyberが関与していないことも明言しています。両モデルは、同じ能力発展の過程における異なる段階にあります。GPT-5.6-Cyberは、審査済みの防御側利用者向けに公開されたHigh評価の特化モデルです。一方、AstraはCriticalに達した可能性があり、OpenAIがまだ展開できる状態にない未公開モデルです。

元記事: GPT-5.6-Cyber Uncovered Chrome Zero-Days Standard AI Won’t Touch: Alignment Gap Proven