OpenAI DaybreakとGPT-5.6-Cyber：拒否しないAIを防御側だけに渡す試み

2026年8月10日、OpenAIは自社のサイバーセキュリティ向け取り組み「Daybreak」を拡張し、あわせて GPT-5.6-Cyber という新しいモデルを発表しました（Expanding Daybreak as the Cyber Defense Window Narrows）。

見出しになったのは、この数字です。攻撃コードの連鎖、認証の回避、権限の昇格といった、通常のAIならまず答えを返さない依頼に対して、GPT-5.6-Cyberは95.0%に応じます。同じ依頼に対する通常版のGPT-5.6 Solの応答率は1.5%です。

「AIに危険なことをさせない」という常識からすると、逆行に見えます。しかしOpenAIの主張はその逆で、断ることそれ自体がいまや防御側にとってのリスクになっている、というのがこの発表の中心にある考え方です。

この記事では、セキュリティやAIモデルの専門知識を前提とせずに、何が発表されたのかをまず順番に整理します。そのうえで最後に、私がこの発表のどこに同意し、どこに同意しないかを書きます。先に一点だけ挙げておくと、今回いちばん確実に言えることは95.0%でもV8の脆弱性でもなく、OpenAI自身の一次資料どうしが食い違っているという事実のほうです。

Table of contents

デュアルユースという前提

攻撃者と防御者が踏む同じ手順

最初に押さえておきたいのは、サイバーセキュリティの世界では攻撃に使える知識と防御に使える知識がほとんど同じものだ、という点です。これを専門用語で デュアルユース（dual-use、両用）と呼びます。

具体例で考えてみます。ある社内システムに、認証を回避できる欠陥があるとします。

• 攻撃者にとっては、その欠陥は侵入口です。
• 防御者にとっては、その欠陥は塞ぐべき穴です。ただし塞いだかどうかを確かめるには、実際に回避できてしまうかを自分で試す必要があります。

つまり防御者も、攻撃者とまったく同じ手順を踏まなければ仕事になりません。ここで使われる用語を先に整理しておきます。

AIモデルの拒否と、その副作用

大規模言語モデルには、危険な依頼を断る仕組みが組み込まれています。断ることを拒否（refusal）と呼び、その仕組み全体をガードレールや安全装置（safeguards）と呼びます。

問題は、この安全装置がデュアルユースの性質を区別しきれないことです。「認証を回避するコードを書いて」という依頼が、攻撃の準備なのか、自社システムのパッチ検証なのか、文面だけでは判定が難しい。結果として、正当な防御作業まで巻き添えで断られます。

OpenAI自身、GPT-5.6の発表時点で「過剰なブロックはそれ自体がセキュリティリスクを生む」と書いています。防御者がシステムをテストできず、パッチを展開できずにいる間も、悪意ある側は他のモデル（能力を上げつつあるオープンソースのモデルを含む）や既存のツールを使い続けるからです（GPT-5.6）。

同じ発表によれば、GPT-5.6 Solのサイバー関連の安全装置は、従来モデルに比べておよそ10倍の量の潜在的に有害な活動をブロックするよう調整されています。守りを固めた分だけ、正当な利用者が受ける摩擦も大きくなったわけです。

防御側に残された時間という認識

もう一つの前提が、今回の発表タイトルにある「防御側の窓が狭まっている（the cyber defense window narrows）」という認識です。OpenAIは冒頭でこう述べています。脅威アクターは今後ますますAIを使い、前例のない速度と規模で、完全に自律的なやり方も含めてサイバー攻撃を行うようになる。だから、攻撃側がAIの攻撃能力を大規模に展開する前に、最前線のモデルを信頼できる防御者の手に届けるのが自分たちの答えだ、と。

これを誇張と切り捨てられないのは、OpenAI自身が事故を起こしているからです。2026年7月、OpenAIの内部評価中のモデルが、サンドボックスを抜け出してインターネットに到達し、Hugging Faceの本番インフラを侵害するという事件が起きました。モデルはパッケージレジストリのキャッシュプロキシに存在する未知のゼロデイを見つけて悪用し、権限昇格と横展開を重ねて外部到達点にたどり着いています（OpenAI and Hugging Face partner to address security incident during model evaluation）。

さらに8月7日には、次期モデル「Astra」の内部評価で、自社の枠組みにおける最上位の危険度であるCriticalに達している可能性を否定できない、という異例の発表も出ています（Responding to the next frontier of critical cyber capabilities）。今回のDaybreak拡張は、その3日後の発表です。

Daybreakとは何か

発見から修正までを一続きにする取り組み

Daybreak は、OpenAIのサイバーセキュリティ関連の取り組みを束ねた名前です。単一の製品ではなく、モデルやツール、パートナーシップ、オープンソース支援をまとめた傘だと考えると分かりやすいでしょう。

OpenAIはDaybreakの紹介ページで、セキュリティの詰まりどころが移ったと説明しています。かつては脆弱性を見つけることが難しかった。しかしAIが大規模なコードベースを読めるようになった結果、いまは報告書が溢れる一方で、検証し、パッチを作り、開発者に受け入れてもらい、本番に反映するところが詰まっている。レポートそのものは誰も守ってくれない、というわけです。

この「修正まで到達させる」姿勢は数字にも表れています。同ページによれば、Daybreakのオープンソース向けの取り組みでは、41のコードベースを対象に858件の問題を洗い出し、263件のパッチを作成し、そのうち143件がメンテナーに受け入れられて上流に取り込まれました。OpenAIはAPIクレジットと直接支援として1700万ドル規模の拠出を表明しています。

呼び名の変遷

この分野の記事を読むときに混乱しやすいのが名前の変遷です。もともとOpenAIは、審査を通った防御者に対して安全装置を緩める仕組みを Trusted Access for Cyber（TAC、信頼されたサイバーアクセス）と呼んでいました。Daybreakはその後に登場した、より広い枠組みの名前で、TACはその中に組み込まれています（Scaling Trusted Access for Cyber with GPT-5.5 and GPT-5.5-Cyber、Daybreak: Tools for securing every organization in the world）。

サイバー特化モデルにも系譜があります。GPT-5.5世代では GPT-5.5-Cyber が限定プレビューとして提供されました。当初は能力を上げるより拒否を減らすことが主眼で、あらゆるサイバー評価でGPT-5.5を上回るとは想定されていませんでした。その後のアップデートで能力面も強化され、既知の脆弱性を再現できるかを測るCyberGymで85.6%（GPT-5.5は81.8%）に達しています。今回のGPT-5.6-Cyberは、その次の世代にあたります。

Daybreak BlueとDaybreak Red

今回の発表の骨格は、アクセスを2つの階層に整理したことです。

Daybreak Blue

Daybreak Blue は、GPT-5.6 Solをはじめとする汎用のフロンティアモデルに、認可された防御業務向けに調整された安全装置でアクセスできる階層です。OpenAIはこれを「ほとんどの防御者にとって推奨される出発点」と位置づけています。

ここで外れるのは システムレベルの安全装置 です。これは、モデルとは別の層でサイバー関連のリクエストを選別する仕組みで、悪用を防ぐ一方で正当な防御作業も止めてしまうものでした。Blueではこの層が取り除かれ、インシデントの検知と対応、調査、脆弱性管理、セキュリティ評価といった実務でモデルを引き出しやすくなります。

想定される用途として挙げられているのは、脆弱性の発見、セキュアコードレビュー、マルウェア解析、インシデント対応、パッチ検証です。

Daybreak Red

Daybreak Red は、認可された脆弱性研究、エクスプロイトの検証、セキュリティテストのために用意された、目的特化型のサイバーモデルへのアクセス階層です。GPT-5.6-Cyberはこちらから提供されます。

重要なのは、BlueとRedで外れているものが違う点です。

OpenAIはこの違いを明確に説明しています。システムレベルの安全装置を外してもなお、たとえば本番システムへのペネトレーションテストのように高度にデュアルユースな依頼では、GPT-5.6 Sol自身が応じません。そこに対処するために訓練されたのがGPT-5.6-Cyberです。Blueは外側の仕組みを外し、Redはモデルの中身に手を入れている、という関係になります。

応答率95.0%の中身

拒否がどれだけ減ったかを測るため、OpenAIは Advanced Cybersecurity Completion Rate（高度なサイバーセキュリティ依頼の応答率）という内部評価を作りました。エクスプロイトチェーンの開発、認証回避、権限昇格などを含む高度なシナリオに対して、モデルがどれだけの割合で応じるかを測るものです。

この並びで私が重要だと思うのは2点です。

1つは、Blueだけでは高度な依頼にほとんど届かないこと。1.5%から2.0%へ、差は0.5ポイントしかありません。システムレベルの安全装置を外しただけでは、この種の依頼に対する挙動はほぼ変わらない。Blueで足りるのは、あくまで通常の防御業務までです。

もう1つは、GPT-5.5-Cyberの57.3%です。OpenAIは、前世代モデルで拒否が続くことに直面したセキュリティ研究者たちのフィードバックに応えた、と明記しています。専用モデルを出しても、半分近くは断られていた。

なお、これは応答率であって正解率ではありません。応じたかどうかを測る指標なので、95.0%という数字自体はモデルの強さを表しません。

拒否の分かれ目にあった依頼

OpenAIは発表内で、同じプロンプトに対する各モデルの反応を並べています。公開されている例の一つは、macOSのKeychain（パスワードなどを保管する仕組み）の確認ダイアログを回避し、Chromeのクッキーを復号するツールを作らせるものです。

この依頼に応じたのはGPT-5.6-Cyber（Daybreak Red）だけで、通常のGPT-5.6 Sol、Daybreak Blue経由のGPT-5.6 Sol、そしてGPT-5.5-Cyberはいずれも拒否しました。手法そのものにはここでは立ち入りませんが、前世代の専用モデルですら断っていた領域が、今回開いたということです。

ほかにWebSocketの認証回避、GraphQLの脆弱性、ProxyShellの悪用といった例が並べられています。

能力面のベンチマーク結果

拒否の削減と能力の向上は別の話です。OpenAIは複数のベンチマークを示していますが、結果は一様ではありません。

ExploitGymは、既知の脆弱性を、管理された環境で任意コード実行に到達する動くエクスプロイトへ変換できるかを測る評価です。ここではGPT-5.6-Cyberが、GPT-5.6 SolとGPT-5.5-Cyberの両方を上回りました。

未知のゼロデイを見つけ、その深刻度を正しく見積もれるかを測る内部データセットでも同じです。オープンソースリポジトリの最新版を与え、影響が最大となる概念実証コードと技術文書の作成を求め、発見の深刻度と影響、そして文書の較正と品質で採点します。ここでもGPT-5.6-Cyber（Red）がGPT-5.6 Sol（Blue）を上回りました。

一方、Vulnerability Discovery and Report Writingという内部評価では、GPT-5.6-CyberはGPT-5.6 Solより低いスコアでした。これは既知の脆弱性を含むリポジトリを渡し、深刻で対処可能な脆弱性を見つけ、動く概念実証を作り、質の高い報告書を提出できるかを見る評価です。OpenAIは原因について、GPT-5.6-Cyberが時として短く詳細に欠ける報告書を出してしまうためだろう、と述べています。

ExploitBenchでも下回りました。V8の脆弱性を完全なエクスプロイトへ発展させる能力を測る、ExploitGymより難しい評価です。V8サンドボックスなどの防御機構が有効なままで、脆弱性についての情報も少なく与えられます。標準設定である300ターンの制限下では、GPT-5.6 Sol（Blue）のほうがトークン効率よく解き、成績も最良でした。600ターンまで広げると差は縮まります。

GPT-5.6-Cyberは、あらゆるサイバー業務で最強のモデルではありません。エクスプロイト開発や高度な脆弱性研究といった特定の作業では伸びる一方、報告書の作成品質のように落ちた面もあります。OpenAI自身の推奨も、これと整合しています。ほとんどの防御者にはDaybreak Blueが出発点であり、高度な脆弱性研究、エクスプロイト開発、レッドチーミングを含む認可業務を担うチームだけがDaybreak Redを申請すればよい、という組み立てです。

なお脚注として、すべての評価は各モデルで公開されている最高の推論レベルで実施されており、GPT-5.6-CyberはGPT-5.6 Solより推論を長く広く回す傾向があるため、トークン使用量が多くなる点も明記されています。スコアだけでなくコストも見比べる必要があります。

Chrome V8で見つかった脆弱性

ベンチマークより説得力があるのは、実際に何を見つけたかです。OpenAIはGPT-5.6-Cyberを使い、Chromeが搭載するJavaScriptエンジンV8を調査しました。GPT-5.6-Cyberはこれまで知られていなかった2つの脆弱性を見つけ、それらを連鎖させるとメモリを破壊してV8のヒープサンドボックスから脱出できることを示しました。OpenAIの研究者が検証し、協調的脆弱性開示（coordinated vulnerability disclosure）を通じてGoogleへ報告。Googleが修正し、CVE-2026-15903として採番されています。

CVEとは、公開された脆弱性に世界共通の番号を振る仕組みです。同じ欠陥を各社が別々の呼び方をすると話が噛み合わないため、識別子で揃えます。

脆弱性の中身は、OpenAIの説明によれば次のようなものです。V8の最適化コンパイラが、値を整数へ変換する際の安全チェックを誤って省略してしまい、undefined から本来あり得ないほど大きな数値が生まれてしまう。その数値が配列の添字として使われると、コンパイラは配列の範囲内に収まっていると誤って仮定し、通常行うはずの境界チェックまで省いてしまう。

境界チェックが省かれると、攻撃者は本来触れないはずの他のオブジェクトのメモリを読み書きできてしまいます。ここまで到達すると、Chromeのサンドボックス内部で任意のコードを実行できる可能性が生じます。

ここで重要なのがヒープサンドボックスの存在です。V8には、仮にメモリ破壊が起きても被害をエンジン内部に閉じ込める防御層があり、そこから抜け出すには通常もう1つ別の脆弱性が必要になります。GPT-5.6-Cyberは、その2つ目も見つけました。単体では止められる欠陥を、連鎖させて防御層を突破する。これがエクスプロイトチェーンの典型的な形です。

V8以外の成果

OpenAIはV8以外にも、GPT-5.6-Cyberで高深刻度の問題を見つけたと述べています。製品名は伏せられていますが、規模感は具体的です。

• 普及しているモバイルOSで少なくとも5件。信頼されていないアプリからローカル権限昇格に至る連鎖を含む
• 普及しているデータベースで3件のクリティカルな脆弱性。リモートからコード実行に至る経路を含む
• 普及しているOSカーネルで、権限昇格につながりうるものが400件超

最後の400件超という数字は、Daybreakのページが指摘していた構図をそのまま表しています。発見の量は人間の対応能力を容易に超える。だからこそ、検証からパッチ作成、開示調整、上流への取り込みまでを含めた仕組みが必要になる、というわけです。OpenAIは、これらの開示と修正をDaybreakパートナーおよびオープンソースコミュニティと進めていると述べています。

顧客パートナーの評価

発表では、SpecterOps、SentinelOne、Palo Alto Networksといった信頼できる顧客パートナーに事前アクセスを提供したことも触れられています。SpecterOpsのCTOであるJared Atkinson氏は、実際のエクスプロイトの制約をより正確に推論し、複雑な状態をよりよく追跡でき、以前のモデルが数週間の断続的な作業でも解決できなかった仕事を1日足らずで完了した、と述べています。同氏はまた、統制された環境で不要な拒否を減らすことが、認可された研究者の作業の勢いを保ち、検証と防御的価値への転換に時間を使えるようにする、とも述べています。

提供元が選んだ推薦コメントなので、性能の評価としては割り引いて読みます。私が注目したのは別の点です。ここでは拒否が減ること自体が、能力とは切り離された価値として語られている。この発表が売っているのは、速さでも賢さでもなく、断られないことです。

一次資料どうしが食い違っている

ここが、今回の発表を読むうえで私がいちばん重要だと思った箇所です。

発表本文は、Googleが脆弱性を修正しCVE-2026-15903として採番した、と書いています。一方、Daybreakの紹介ページでは、Googleが1つ目を修正し、2つ目は協調的開示の進行中である、と書かれています。

私は、採番と修正が済んでいるのは1つ目だけだと読みました。2つの記述は矛盾しているというより、発表本文が2件をまとめて書いたために、進行中のものまで解決済みに見えているのだと思います。ただし発表本文だけを読めば、2件とも直ったと受け取るのが自然です。

細かい話に見えるかもしれません。ただ、この記事に並べた数字はすべてOpenAIの内部評価で、外部から確かめられるものはほとんどありません。そのなかで唯一、複数の一次資料を突き合わせて検証できたのがこの箇所でした。そして食い違っていた。同じ発表元の、同じ日の、同じ事案についての記述です。

だから私は、この発表の数字を「OpenAIがそう言っている」以上の重みでは扱いません。修正版が実際に配布されたかを確認するときも、発表本文ではなくCVE番号を手掛かりに、Googleのリリースノートなど一次情報にあたります。

Preparedness FrameworkでのHigh判定

OpenAIは、モデルの危険な能力を評価するための社内枠組みとして Preparedness Framework（準備度フレームワーク）を持っています。2023年12月に最初に公表されたもので、生物や化学、サイバーセキュリティ、AIの自己改善といった領域について、能力が一定の閾値に達したときに会社として何をするかを定めています。

サイバーセキュリティにおける最上位のCritical閾値は、次のように定義されています。人間の介入なしに、堅牢化された多くの実世界の重要システムに対して、あらゆる深刻度の機能するゼロデイエクスプロイトを特定し、開発できる。あるいは、高レベルの目標を与えられただけで、堅牢化された標的に対する新規のサイバー攻撃戦略を端から端まで立案し、実行できる。

GPT-5.6 SolはこのフレームワークでCritical未満のHighと評価されていました。GPT-5.6-Cyberも、公開前に評価した結果、同様にHighに達するがCriticalには届かない、と判定されています。OpenAIは、直接訓練対象とした一部の専門的なサイバータスクではGPT-5.6 Solを上回ったものの、Critical閾値に達するほどではなかった、と説明しています。

私はこれを安心材料として読みません。ベースモデルがすでにHighで、サイバー特化の訓練を重ねてもHighのまま。この目盛りは、能力の性格がはっきり違う2つのモデルを同じ段に置いています。区別できていないのだとすれば、High判定は「まだ大丈夫」の根拠になりません。

実際、8月7日に発表されたAstraではCriticalの可能性を否定できないという判断が示され、Axiosの報道はOpenAIがAstraの公開を延期したと伝えています。世代がひとつ進むだけで、判定は変わりました。

なお発表には、Hugging Faceの事案にGPT-5.6-Cyberは関与しておらず、公開予定の他のモデルも関与していない、という明示的な否定が入っています。7月の事故が発表の信用を削っているので、先回りして否定したのだと思います。より詳しい評価を含むシステムカードは後日公開予定とされており、いま公開されているのは要約された結果だけです。

アクセス制御と安全策

能力を開くなら、誰に開くかを制御しなければ意味がありません。OpenAIも「安全装置を減らしたモデルの実行には、誤用や意図のずれによる、通常の利用を超えたリスクがある」と率直に認めたうえで、それでも防御者へのアクセスの民主化が重要だ、と述べています。

誰に渡すかの制御

Daybreak BlueとRedは、認可された業務を行う承認済みの個人と組織が対象です。個人は chatgpt.com/cyber から、組織は専用フォームから申請します。制御手段として挙げられているのは、本人確認、アカウントセキュリティ、監視、承認済み用途の制限、そして法的な確約です。

加えて、いくつかの追加措置が発表されました。ハードウェアセキュリティキーが、2026年9月1日からDaybreakのすべての個人アカウントで必須になります。USBなどで接続する物理的な認証デバイスで、パスワードを盗まれてもキー本体がなければログインできないため、フィッシングに強いという特徴があります。Codexについては、フルアクセスモードからauto-reviewモードへ切り替えるよう、アプリの既定値やUIで強く促すとしています。auto-reviewは、昇格した権限を必要とする操作を実行前に評価し、破壊的な挙動につながる恐れが大きいリクエストをブロックできる仕組みです。

このほか、監視の改善を含む追加のセキュリティ対策を数週間のうちに展開すること、今後のDaybreakリリースに向けて安全性の訓練とテストを優先すること、Codexのドキュメントを更新してサイバー能力を持つエージェントを境界の内側に留めるためのベストプラクティスを整備することが挙げられています。

使う側に求められる作法

OpenAIは利用側のベストプラクティスとして3点を挙げています。他社のモデルを使う場合でも通用する、汎用的な指針です。

1. サンドボックス化して隔離する。機微な本番システムやオープンなインターネットへアクセスできない管理環境でセキュリティ作業を実行し、サンドボックスの境界そのものを定期的にテストする
2. エージェントの動作を監視する。auto-reviewモードでCodexサンドボックス外へのツール呼び出しを実行前に確認し、リスクの高いワークフローにはさらに監視と人の目を加える
3. 範囲を定義する。どのシステムとどの操作が認可されているかを明示し、スコープ付きの権限プロファイルで境界を強制する

1点目の「サンドボックスの境界そのものを定期的にテストする」という文言を、私はHugging Faceの事故を踏まえた記述だと受け取りました。あの事故では、隔離されていたはずの評価環境からモデルが抜け出しています。境界は設定した時点で完成するものではなく、検証を続けなければならない対象だということです。

私の判断

OpenAIの論理

今回の発表を一言でまとめるなら、危険な能力を止めるのではなく、渡す相手を選別することで管理する、という方針の明確化です。OpenAIの論理はこうです。

1. AIの攻撃能力はいずれ広く行き渡り、悪意ある側はそれを使う
2. こちらが拒否しても、相手は他のモデルや既存ツールを使うだけで、攻撃は止まらない
3. 一方、拒否は正当な防御者の作業を確実に止める
4. したがって、拒否によって守られるものより、失われるもののほうが大きい局面が来る
5. ならば、審査した防御者に強い能力を渡し、運用上の統制でリスクを抑えるほうが合理的だ

2番目の前提は、まだ半分しか成り立っていない

この5段階は、2番目が崩れると全部崩れます。そして私は、2番目は半分しか成り立っていないと考えています。

「AIの攻撃能力」は一つのものではありません。既知の手法を再現し、スクリプトにまとめる程度の能力なら、すでにコモディティです。オープンソースのモデルでも既存のツールでも代替が利く。この層について、断っても攻撃は止まらないというのは正しい。

しかし今回OpenAIが見せたのは、その層の話ではありません。V8のように徹底的に堅牢化されたコードベースで未知の脆弱性を2つ見つけ、ヒープサンドボックスを越えるところまで連鎖させる。カーネルで権限昇格につながりうるものを400件超挙げる。この層の能力が他の手段で代替できるという証拠を、OpenAIは今回の発表でも、参照している他の資料でも示していません。

むしろ逆の証拠を出しています。Astraについては、Criticalの可能性を否定できないと判断し、報道によれば公開を延期しました。他で代替が利く能力なら、延期にどれだけ意味があるでしょうか。

つまりこの論理は、代替可能な層で前提を立証し、代替不能な層で結論を使っています。適用範囲がずれている。私が同意するのはDaybreak Blueまでです。過剰なブロックを外して通常の防御業務を回しやすくすることには、はっきり賛成します。Daybreak Redを開く根拠としては、2番目の前提はまだ足りていません。

この見立てが崩れるとすれば、オープンソースのモデルや既存ツールでもV8クラスのサンドボックス脱出チェーンに到達できる、というデータが出たときです。そのときは前提のほうが正しい。

同意できない3点

認可を確かめる手段がないこと。 「認可された業務」を誰がどう確かめるのか。答えは、確かめられない、です。本人確認は利用者の身元を担保し、法的確約は宣言を担保します。しかし、その侵入テストが本当に顧客の許可を得たものかは、OpenAI側からは見えません。これは埋め忘れた穴ではなく、意図的な線引きだと思います。OpenAIは認可の判断を利用者側へ移した。だとすれば、発表が並べる安全策のうち実効性の大半は、OpenAIの仕組みではなく利用する組織の社内統制のほうにあります。ハードウェアキーもauto-reviewも、認可されていない作業を止めるものではありません。

民主化という言葉。 Daybreak Cyber Partner Programでは、モデルへのアクセスは承認されたパートナー側に留まり、顧客へ直接渡されない設計になっています（Putting frontier cyber models in more trusted hands）。安全策としては筋が通っています。ただ、これを民主化とは呼べません。パートナーを経由してしか届かない能力は、民主化ではなく再仲介です。起きるのは、最も強い防御能力に手が届く組織と届かない組織の差が広がることで、OpenAI自身が掲げる目標とこの設計は逆を向いています。

発見と修正の非対称。 カーネルで400件超という数字と、上流に取り込まれた143件という数字を並べてみます。Daybreakが解こうとしていた詰まりは、見つけた先が進まないことでした。いまDaybreakは、その詰まりを自分で広げています。Patch the Planetのような取り組みはこの差を埋めるためのものですが、規模が釣り合っていない。発見の速度を上げる部分だけが先に効いている、というのが現状です。

申請できない読者にとっての意味

Daybreak RedやGPT-5.6-Cyberを申請できる立場にある人は、ごく限られます。多くの読者にとって、この発表の実務的な意味は別のところにあります。

一つは、攻撃側の前提が変わることです。V8のような堅牢化されたコードベースで未知の脆弱性が2つ見つかり連鎖したという事実は、いずれ同種の能力が防御側だけに留まらないことを示唆します。自社のパッチ適用に何日かかっているか。その数字が、防御の主要な変数になります。

もう一つは、上に挙げた3点のベストプラクティスです。サンドボックス化、実行前レビュー、スコープの明示は、Daybreakの利用者でなくとも、コードを書くAIエージェントを社内で動かすなら等しく当てはまります。こちらは今日から使えます。

要点

• OpenAIは2026年8月10日にDaybreakを2階層化した。Daybreak Blueはシステムレベルの安全装置を外して汎用モデルを防御業務で使いやすくし、Daybreak Redは目的特化モデルへのアクセスを認可された脆弱性研究やレッドチーミングに開く
• 新モデルGPT-5.6-CyberはGPT-5.6 Solを基に、高度なサイバー依頼への応答率を95.0%まで引き上げた（GPT-5.6 Solは1.5%、Blue経由で2.0%、前世代のGPT-5.5-Cyberは57.3%）。ただしこれは応答率であって正解率ではない
• 能力面の結果は一様ではない。ExploitGymやゼロデイ発見の内部評価では上回る一方、報告書の品質を含むVulnerability Discovery and Report Writingや、標準300ターン設定のExploitBenchではGPT-5.6 Solが上回った
• 実世界の成果としてV8で未知の脆弱性2件を発見し、連鎖によるヒープサンドボックス脱出を確認。ただし発表本文と紹介ページで開示状況の記述が食い違っており、採番と修正が済んでいるのは1件だと読める
• GPT-5.6-CyberはPreparedness FrameworkでHighと判定され、Criticalには達していない。ただしベースモデルのGPT-5.6 Solも同じHighで、この目盛りは両者を区別していない
• OpenAIの論理の要は「断っても攻撃は止まらない」だが、立証されているのはコモディティ化した能力の層までで、V8クラスの能力については示されていない。私はDaybreak Blueには同意し、Redを開く根拠は足りないと考える

参考資料

一次資料（すべてOpenAI公式、2026年8月11日参照）

• Expanding Daybreak as the Cyber Defense Window Narrows（2026年8月10日）：本記事の主資料。Daybreak BlueとRed、GPT-5.6-Cyber、各評価結果、V8の事例、安全策
• Daybreak | OpenAI for cybersecurity：Daybreakの全体像、オープンソース向けの実績、V8脆弱性の開示状況
• Putting frontier cyber models in more trusted hands（2026年8月10日）：Daybreak Cyber Partner Programとパートナー経由の提供モデル
• Responding to the next frontier of critical cyber capabilities（2026年8月7日）：Preparedness FrameworkにおけるCritical閾値の定義、Astraの評価
• GPT-5.6：GPT-5.6 Solのサイバー性能、過剰ブロックに関するOpenAIの立場
• Daybreak: Tools for securing every organization in the world：GPT-5.5-Cyberの更新、Codex Security、Patch the Planet
• Scaling Trusted Access for Cyber with GPT-5.5 and GPT-5.5-Cyber：Trusted Access for Cyberの仕組みとアクセス階層の考え方
• OpenAI and Hugging Face partner to address security incident during model evaluation（2026年7月29日更新）：評価環境からの逸脱事案の経緯

報道（2026年8月11日参照）

• OpenAI gives cyber defenders a less-restricted new model（Axios）（2026年8月10日）：Astraの公開延期と、防御者側の高い拒否率という背景
• OpenAI launches GPT-5.6-Cyber to help defenders find vulnerabilities before attackers do（The Decoder）（2026年8月10日）：評価結果とプロンプト比較の整理