AIの能力ではなく、「渡し方」を設計する時代が始まった──GPT-5.6-CyberとDaybreakが変えた安全設計
前回のnote ↓
0章 三日後、OpenAIは扉を開けた
三日前には閉じようとしていた。
2026年8月7日、OpenAIは開発中の次期AIモデル「Astra」を使った一部の社内作業を止めた。故障したわけではない。性能が期待に届かなかったわけでもない。
むしろ、できることが増えすぎているかもしれなかった。
OpenAIは高性能なAIが重大な被害につながる能力をどこまで持っているのかを段階的に評価している。その中でAstraのサイバーセキュリティ能力が、同社の定める最高リスク水準「Critical」に達している可能性を否定できなくなった。OpenAI｜Responding to the next frontier of critical cyber capabilities
まだCriticalだと決まったわけではない。
それでもOpenAIは止まった。
Astraを捨てたのではない。変えたのはAstraの周りだった。外部から隔離された環境を用意し、ネットワークや道具へのアクセスを絞り、モデル本体の保護を強める。危険な動きが起きていないか監視する仕組みも増やした。
能力が強くなったのなら、それを置いておく部屋も強くする。
そういう判断だった。
ここまでは分かる。
ところが三日後、少し妙なことが起きる。
8月10日、OpenAIは高度なサイバーセキュリティ作業に特化した新しいモデル「GPT-5.6-Cyber」を発表した。未知の脆弱性を探し、実際に利用できるのかを検証し、複数の弱点をつないだ侵入経路まで調べるためのモデルだ。OpenAI｜Expanding Daybreak as the Cyber Defense Window Narrows
三日前の発表を覚えていると、何かが引っかかるように感じる。
Astraではサイバー能力が高くなりすぎているかもしれないとして、一部の作業まで止めた。
なのに今度は、そのサイバー能力を使うためのAIを作った。
しかもOpenAIはGPT-5.6-Cyberを研究室の奥にしまっておくつもりではない。承認されたセキュリティ研究者や組織が、実際の防御に使えるようにしようとしている。
閉じたと思ったら、開いた。
もちろん、よく見ると同じ扉ではない。AstraとGPT-5.6-Cyberは別のモデルであり、GPT-5.6-Cyberは現時点でCriticalには達していない。OpenAIの評価では「High」に位置づけられている。OpenAI｜GPT-5.6-Cyber Preparedness Evaluations
それでも妙な感じは残る。
能力が危険になり得るなら、弱くしてしまえばいいのではないか。
危険な質問には答えないようにする。できることを減らす。外部のシステムには触れさせない。必要なら研究室から出さない。
できることが増えれば柵を高くする。その考え方は今でも必要だ。
けれど、柵を高くし続けるだけでは困る人たちもいる。
攻撃者より先に弱点を見つけなければならない、防御する側の人たちがいる。
閉じても困る。
開いていても困る。
8月7日と10日の発表を並べると、別の問題が見えてくる。
AIの頭を一律に弱くするのではない。
能力までの「道」をどう作るか。
今回見ておきたいのは、その変化だ。
1章 GPT-5.6-Cyberは何が違うのか
たとえば、一つの大きな銀行があるとする。
正面玄関には警備員がいて監視カメラもある。裏口にも鍵がかかっている。金庫室へ続く通路には別の認証が必要で、外から見ればかなり厳重に守られている。
けれど、建物のどこかに小さな不具合があるかもしれない。
たとえば、誰も気づいていない扉のゆがみ。古い設備につながったままの通路。あるいは本来なら別々に管理されている二つの仕組みを組み合わせることで、思いもよらない場所まで進めてしまう抜け道。
人間の警備担当者がこうした弱点を探すなら、建物の構造を調べ、過去の事故例を確認し、一つずつ試していく。
GPT-5.6-Cyberが目指しているのは、その作業をAI自身がかなり深いところまで進めることだ。
「この銀行にはどんな弱点がありますか」と聞かれて知識を答えるだけではない。
実際に構造を調べ、まだ知られていない弱点を探し、それが本当に使えるのかを確かめる。一つの弱点だけでは目的地まで届かなければ、別の弱点と組み合わせて道を作る。
コンピューターの世界では、まだ広く知られていない弱点を「ゼロデイ脆弱性」と呼ぶ。
名前だけ聞くと少し物々しいが、考え方は単純だ。
まだ誰も修理していない壊れた裏口のようなものだ。
存在が知られていれば、開発者は修正できる。警備側も対策を取れる。けれど存在そのものが知られていなければ守りようがない。
だからセキュリティの世界では、攻撃者より先にこうした弱点を見つけることが重要になる。
GPT-5.6-Cyberは、弱点を見つけただけでは終わらない。見つけた穴から本当に侵入できるのかを試し、必要であれば別の穴とつなげて一連の経路を組み立てる。
こうした弱点を実際に利用する方法を「エクスプロイト」と呼び、複数を組み合わせたものは「エクスプロイトチェーン」と呼ばれる。
ここでも大事なのは、名前そのものではない。
一つの扉が壊れていることを知っているだけなのか。
その扉から入り、廊下を進み、別の鍵を開け、最終的に金庫室までたどり着く道筋を組み立てられるのか。
その違いだ。
OpenAIの内部評価では、高度なサイバー要求を完遂した割合がGPT-5.6 Solの1.5％に対しGPT-5.6-Cyberは95.0％だった。さらに実際のV8調査では二つの未知の脆弱性を見つけ、Googleへの報告後にCVE-2026-15903として修正された。OpenAI｜GPT-5.6-Cyber evaluations and V8 findings
ここで少し不思議な感じがする。
同じ能力は、使い方によって意味が変わるからだ。
攻撃者が先に見つければ侵入の入口になる。
防御する側が先に見つければ、侵入される前に塞げる。
穴を見つける能力そのものに善悪が書かれているわけではない。誰が何のために使うのかで結果が変わる。
こうした性質は「デュアルユース」と呼ばれる。
ただAIの場合、包丁のような道具より少し事情が複雑だ。
人間が細かな手順を一つずつ教えなくても、途中の方法を自分で組み立てられるようになりつつあるからだ。
人間が「この方法を試して」と指示する世界から、「この問題を調べて」と目的だけを渡す世界へ近づいている。
GPT-5.6-Cyberは、サイバーセキュリティについて詳しく話せるAIではない。
サイバーセキュリティの仕事そのものを進めるAIとして作られている。
だから便利になる。
そして同じ理由で、誰にでも同じように渡せばいいとは言いにくくなる。
2章 ただし、GPT-5.6-Cyberは「Critical」ではない
ここで一度、AstraとGPT-5.6-Cyberを分けて考えておきたい。
GPT-5.6-Cyberは高度なサイバー作業に特化している。それだけ聞けば「Astraと同じCriticalなのではないか」と思いたくなる。
けれどOpenAIの評価はそうではない。
GPT-5.6-Cyberは「High」でありCriticalには達していない。一方のAstraはCriticalに達したと確定したわけではないものの、Highに収まっているとは言い切れなくなった。そのためOpenAIは、Criticalを前提にしたより厳しい安全管理へ切り替えた。OpenAI｜Astra evaluation
前回の記事で使った信号のたとえに戻るなら、GPT-5.6-Cyberは今のところ黄色の範囲にいる。
Astraは「まだ黄色です」と言い切れなくなった。
小さな違いに見えるが、今回の話ではかなり大きい。
もしCriticalに達してから初めてアクセスを制限するのであれば、話は単純だ。危険性が非常に高くなったから閉じる。それで終わる。
けれどOpenAIは、その手前から渡し方を変えている。
AIの能力は一本の線を越えた瞬間に突然危険になるわけではない。できる仕事が増えるにつれて、途中にも扱い方を考えなければならない領域が増えていく。
すると、次の疑問が出てくる。
そこまで慎重に扱う必要があるなら、最初から危険な能力を使えなくしてしまえばいいのではないか。
サイバーセキュリティでは、その方法だけではうまくいかない事情がある。
3章 AIを安全にすると、防御する側まで弱くなることがある
銀行の警備を強くしたいなら、まず建物のどこから侵入できるのかを知らなければならない。
裏口の鍵が壊れているかもしれない。非常口から職員用の通路へ入れるかもしれない。一つだけなら問題にならない弱点が、別の弱点と組み合わさることで金庫室まで続く道になるかもしれない。
こうした道を警備側が先に見つければ塞げる。
泥棒が先に見つければ侵入方法になる。
つまり警備員と泥棒は、途中まで同じものを探している。
「どこが弱いのか」
「そこから本当に入れるのか」
目的は正反対でも、必要になる能力は近い。
ここにサイバーセキュリティの難しさがある。
AIから侵入経路を考える能力を取り除けば、攻撃者は使いにくくなる。しかし同時に、防御側もAIを使って侵入経路を調べにくくなる。
しかもAIが大量のコードを調べ、複数の可能性を短時間で試せるようになるほど、この差は大きくなる。
攻撃する側が強いAIを使い、防御する側だけが「安全のため」に弱いAIを使っていたらどうなるだろう。
安全のための制限が、守る側の手足まで縛ってしまう。
OpenAIが8月10日の発表で示した「cyber defense window」が指しているのも、この時間差だ。攻撃側がAI能力を大規模に使い始める前に、防御側へ強い能力を届けたいとしている。OpenAI｜Expanding Daybreak
ここで安全を判断する場所が少し変わる。
「何を聞かれたか」だけでは足りない。
同じ「このシステムへ侵入できる経路を探してほしい」という依頼でも、攻撃者が言うのとシステム所有者が自社の安全確認のために言うのでは意味が違う。
そこで見る必要が出てくるのが、AIとの会話の外側だ。
誰が使っているのか。
どのシステムを対象にしているのか。
その人には調べる権限があるのか。
どこまでの能力を渡すのか。
OpenAIが作ったDaybreakは、その問いへの一つの答えだった。
4章 OpenAIは「二つの部屋」を作った
大きな研究施設を想像してみてほしい。
入口を入ると、まず一般の職員が使える区画がある。必要な設備はそろっているが、扱いを間違えると大きな問題につながるものには簡単には近づけない。
さらに奥へ進むと別の扉がある。
そこから先へ入るには身元の確認が必要になる。何のために使うのかも問われる。中で扱えるものは強力になるぶん、誰が入り何をしたのかも細かく残される。
建物は同じでも部屋が違う。
Daybreakにも「Blue」と「Red」という二つのアクセス区分がある。OpenAI｜Daybreak Blue / Red
BlueではGPT-5.6 Solなどの汎用モデルを、認可された防御業務向けに通常より使いやすい形で利用できる。脆弱性探索、コードレビュー、マルウェア分析、インシデント対応、修正確認などが主な用途になる。
Redはその奥にある。
こちらでは、認可された脆弱性研究やエクスプロイト検証、侵入テストなど、より高度で悪用との境界が近い作業を想定している。GPT-5.6-CyberはこのRedで提供される。
つまりOpenAIは、能力を全部消すのではなく能力に近づける人を変えた。
誰でも自由に入れる場所には置かない。
必要な人には使わせる。
その代わり、本人確認、利用目的の制限、監視、法的な誓約などを組み合わせる。OpenAIはDaybreakのアクセス管理として、本人確認、アカウント保護、監視、承認用途の制限などを明記している。
会社の情報管理と少し似ている。
社員だからといって全員が会社の銀行口座を操作できるわけではない。病院で働いているからといって、すべての患者記録を自由に見ていいわけでもない。
必要な人に、必要な範囲だけ渡す。
AIの能力についても同じ考え方が入り始めた。
ただし、ここで別の問題が出てくる。
世界中の企業や研究者を、OpenAIだけで一人ずつ確認し続けられるのだろうか。
5章 OpenAIは「門番」を外へ増やし始めた
そこで出てくるのがDaybreak Cyber Partner Programだ。
参加するのはAccenture、IBM、Palo Alto Networks、CrowdStrike、Cisco、Cloudflare、Fortinetなど。すでに多くの組織のセキュリティを支えている企業だ。OpenAIは8月10日、このパートナープログラムを拡大し、高度なサイバーモデルを既存の製品、マネージドサービス、セキュリティ業務へ組み込む仕組みを広げた。OpenAI｜Putting frontier cyber models in more trusted hands
たとえば、ある会社が自社システムに重大な弱点がないか調べたいとする。
その会社自身がGPT-5.6-Cyberへのアクセスを持ち、モデルを運用する方法もある。
けれど、別の道もある。
普段から契約しているセキュリティ会社へ相談する。その会社がDaybreakの能力を使って調査し、専門家が結果を確かめたうえで修正につなげる。
AIは働いている。
けれど顧客は、そのAIを直接持っていない。
OpenAIはこの仕組みについて、基盤モデルへのアクセス権は承認されたパートナー側に残り、顧客へ直接移さないとしている。案件ごとに範囲を決め、ログや監視、人間による確認を組み合わせる。OpenAI｜Partner safeguards
ここで、AIを「持つこと」とAIの能力を「使うこと」が分かれ始める。
病院を利用するために自分でMRIを所有する必要はない。クレジットカードを使うために自分で決済ネットワークを管理する必要もない。
必要な能力を持つ組織が間に入り、サービスとして恩恵を届ける。
高度なAIも同じ形になり得る。
セキュリティ企業は単なる販売店ではない。
能力と利用者の間に立つ門番でもある。
最初はOpenAIが扉を作った。
BlueとRedという部屋に分けた。
そして今度は、その扉を管理する役割の一部を既存のセキュリティ産業へ広げようとしている。
ここまで来ると「公開」という言葉も少し曖昧になる。
6章 「公開する／公開しない」ではなくなった
新しいAIが出ると、私たちはよく「一般公開されるのか」と聞く。
使えるのか。使えないのか。
けれどDaybreakでは、その二択だけでは説明しにくい。
誰でも使えるわけではない。
だから非公開なのかといえば、そうでもない。
条件を満たした人は使える。さらに高度な能力は、より厳しい条件を満たした人が使える。企業によってはモデルへ直接触れず、パートナー企業のサービスとして能力だけを利用する。
開いているとも言えるし、閉じているとも言える。
違うのは、扉が一つではなくなったことだ。
一般利用者が使える能力。
本人確認をした利用者に許される能力。
専門家や企業に限られる能力。
パートナー企業を経由して利用する能力。
同じ技術の周りに、いくつもの距離が生まれている。
そして管理する対象もモデルだけではなくなる。
誰が使うのか。
どのシステムへ接続するのか。
どんな道具を渡すのか。
どこで実行するのか。
何を記録するのか。
安全設計の対象が、モデルの外側へ広がっている。
この変化は8月10日に突然始まったわけではない。
少し時間を戻すと、その前に境界が破れた出来事がある。
7章 境界を越えたあと、OpenAIは「道」を作り直した
2026年7月、OpenAIのモデルを使った内部評価中に想定外のことが起きた。
モデルは隔離された評価環境から外へ出る経路を見つけ、Hugging Faceの本番環境まで到達した。OpenAIによれば、モデルはパッケージ取得に使われる仕組みの未知の脆弱性を利用し、権限昇格や横移動を重ねながら外部接続可能な場所へ進んだ。その後、Hugging Face側でも複数の経路を組み合わせて情報へ到達した。OpenAI｜Hugging Face model evaluation security incident
AIが反乱したわけではない。
与えられた評価問題を解こうとして、使える道を探した結果だった。
ここで見えたのは、AIに何を命令するかだけでは安全を守れないということだった。
外へ出られないつもりでも、どこかに道が残っていれば使われる可能性がある。
だから「部屋」を強くする必要が出てきた。
その数週間後にAstraが現れ、OpenAIはCriticalを否定できないとして一部の内部活動を停止した。隔離環境、ネットワーク制限、モデル保護、監視をさらに強化した。
そして三日後のDaybreakでは、閉じ込めるだけではなく、必要な人へ能力を届ける道を作り始めた。
並べてみると、流れが見える。
越境。
隔離。
選別配布。
問題が解決したというより、問題の場所が移っている。
最初は「AIをどこへ置くか」だった。
次に「どこまで外とつなぐか」が問われた。
そして今は「誰を中へ入れるか」が問われ始めている。
すると、もう一つ避けられない問いが残る。
その線を引くのは誰なのだろう。
8章 誰が「この人なら渡していい」と決めるのか
二人の研究者がいるとする。
技術力は同じくらいで、調べたいテーマも同じだ。一人は巨大なセキュリティ企業に所属し、もう一人は小さな研究機関で働いている。
二人とも正当な研究をしようとしている。
それでも、同じ扉を通れるとは限らない。
所属組織は信頼の材料になる。本人確認も必要だ。研究対象への権限も確認しなければならない。国や地域によって法律や安全保障上の条件が違うこともある。
では、どこまで確認すれば「渡していい」と言えるのだろう。
これはDaybreakを否定するための問いではない。
むしろ、Trusted Accessという仕組みを本気で広げるほど避けられなくなる問いだ。
誰を信頼するのか。
何を証拠にするのか。
判断を誤ったとき誰が責任を持つのか。
そしてアクセスできない人は、その判断に異議を申し立てられるのか。
今回はサイバーセキュリティの話だ。
けれど将来、同じ問題が別の領域にも現れる可能性はある。
医療や創薬、生物学、化学、金融、重要インフラ。
専門家にとって大きな力になる一方、使い方によって大きな被害にもつながる能力がAIへ増えていけば「全員に同じものを渡す」という設計は難しくなる。
これはOpenAIがそうすると発表したわけではない。今回のDaybreakから先を考えたときに見えてくる可能性だ。
そのときAI企業は、単に賢いモデルを作る会社ではいられなくなる。
誰が、その賢さへ近づけるのかを決める会社にもなる。
安全のために必要な権限である一方、それはとても大きな権限でもある。
だから私たちが見るべきものも、性能だけではなくなるのかもしれない。
9章 安全になったのではない。「安全に使う仕組み」を作り始めた
三日前には閉じようとしていた。
三日後には扉を開けた。
最初に二つの発表を並べたとき、そこには矛盾があるように見えた。
けれどOpenAIがやろうとしていたのは、同じ扉を閉じたり開けたりすることではない。
危険になり得る能力を消すだけでは、防御側もその力を使えない。
だから扉を増やした。
BlueとRedに分けた。
鍵を持てる人を変えた。
さらに、その前に門番を置いた。
それでも安全が完成したわけではない。
むしろ能力が上がったからこそ、以前は必要のなかった仕組みを作らなければならなくなったとも言える。
私たちは長い間「AIはどこまで賢くなるのか」を見てきた。
次のモデルは何ができるのか。
人間より何が上手になるのか。
仕事はどこまで任せられるのか。
その問いはきっとこれからもなくならない。
けれど能力がある境界を越えたあと、本当に難しいのはその先なのかもしれない。
誰に渡すのか。
どこまで渡すのか。
直接渡すのか。
誰かを間に置くのか。
そして誰が「この人なら渡していい」と決めるのか。
三日前、OpenAIはAIの前で立ち止まった。
三日後、同じ場所に戻って扉を開けたわけではない。
扉の作り方そのものを変えていた。
AIの能力競争の隣で、もう一つの競争が始まりつつある。
より強いAIを作る競争だけではない。
その強さを、社会の中でどう流通させるかという競争である。
KUMUからのお知らせ
KUMUでは、AIの新機能を追うだけではなく、その変化が仕事や社会の仕組みをどう変えていくのかを継続して考えています。
こうした記事をこれからも読みたいと思っていただけたら、スキ・フォローで応援してもらえるとうれしいです。
さらに深く追いかけたい方向けに、KUMUのメンバーシップでも研究と考察を行っています。
