OpenAI の解決策：Blue と Red の2段階アクセス権限

防御側を支援しつつ、悪用は防ぐ。そのために OpenAI はアクセス権限を2段階に分け、それぞれ異なる深度の防御業務に対応させました。

ここが重要な違いです。Blue で外側のガードレールを外しても、Sol というモデル自体は「このエクスプロイトで本番システムを攻撃してくれ」といった真のデュアルユース（同じ能力が防御にも攻撃にも使える）要求に対して自分で拒否する。Red は別の道を行く。モデルを直接入れ替えるのだ。GPT-5.6-Cyber は訓練時に「こうした高リスクタスクは拒否を抑え、より良く実行する」よう調整されています。覚えておくべきはこれだ：Blue はモデルの外側のガードレールを外す、Red は訓練時点で拒否を抑えたモデルに交換する。

主役モデル GPT-5.6-Cyber：優れている点は2つ

まず混同しがちな点を整理しよう。Blue は従来モデルの GPT-5.6 Sol を使い、ガードレールを外すだけ。Red の GPT-5.6-Cyber こそが、今回唯一の完全新規モデルだ。これは GPT-5.6 Sol をベースに、2つのことを得意とするよう特別に訓練されています。

また公式は、汎用の Sol よりも考え込む時間が長く、消費トークンも多いと注意を促しています。以下、この2つの観点から実際のパフォーマンスを見ていきましょう。

拒否率が大幅に低下：完遂率が 2% から 95% へ

1点目は、極めて「従順」なこと。OpenAI は「高度なサイバーセキュリティ完遂率」という内部評価を構築し、エクスプロイトチェーン開発・認証回避・権限昇格といった高リスク要求に対してモデルがどれだけ応じるかを測定しました。4つのモデルを並べると、その差は歴然としています。

公式は具体的な例も示しています。同じプロンプトで、macOS のキーチェーン（Keychain）ダイアログをバイパスして Chrome cookie を復号するツールを、完全な Swift/ObjC コード付きで提供するよう依頼しました。結果、応じたのは GPT-5.6-Cyber だけで、他の3つはすべて拒否しました。同じ Red レベルの 5.5-Cyber も拒否している。

ベンチマークにおける実戦パフォーマンス

2点目は実戦能力です。OpenAI は4つの能力ベンチマークを公開しました。GPT-5.6-Cyber は、専門とする方向性で顕著な成績を示しており、特にソースコードから未知のゼロデイ脆弱性を発見し、質の高い検証レポートを作成する能力が前世代や汎用モデルを明確に上回っています。

ゼロデイ発見では明確に最強。これは専門とする方向性と一致します。ExploitGym でも前世代と標準版を上回りました。最も難しい ExploitBench では汎用の Sol と互角（Cyber のレポートは時により簡潔に書かれる）。これらの数字はすべて OpenAI の自己評価で、大まかな水準を示すものとして捉えるのが適切です。

実弾検証：実際に発見した本物の脆弱性

ベンチマークのほかに、OpenAI は GPT-5.6-Cyber を実際のソフトウェアに使用し、修正支援まで完了した高危険度の脆弱性があります。

後半の3件は、公式は具体的な製品名を明らかにしていません。Daybreak パートナーやオープンソースコミュニティと調整の上、開示・修正を進めているとのみ述べています。すべての詳細が公開されているのは Chrome のケースです。CVE 番号があり、公式のメカニズム図もあります。これは単独で詳しく見る価値があります。

CVE-2026-15903 の攻撃チェーンを分解する

これは高危険度の脆弱性です。根本原因は V8 の最適化コンパイラ（JavaScript を高速化する部分）にある。値を整数に変換する際、あるセキュリティチェックが誤ってスキップされる。一歩誤ると、すべてが狂っていく。そのチェーンを見ていこう。

ここで一般読者の足を止める2つの用語を説明しておこう。配列範囲外アクセスとは、本来は0番目から9番目までしか触ってはいけないのに、「100番目」を計算して実際に触ってしまい、隣の他人の領域にまで届いてしまうこと。V8 ヒープサンドボックス（heap sandbox）は、JS エンジンに設置された猛獣用の柵のようなもので、Web ページ内の JS に問題が起きても、その柵の中に閉じ込めて外へ出さないための仕組みだ。上記の脆弱性は、攻撃者が柵の中で破壊活動をすることを可能にします。しかし本当に柵の外へ出てマシン全体を掌握するには、もう1つの扉を破らなければなりません。GPT-5.6-Cyber はその2つ目の扉（2つ目の脆弱性）も発見したのです。

OpenAI 公式による原図（英語）。左が JIT コンパイラのバグで範囲外文字列を作り出し、サンドボックス内の任意読み書きを獲得。右が JSPI スタック脱出を経てネイティブコード実行に至る。当サイトの上の中国語フローチャートは、この主経路を平易に描き直したもの。出典：OpenAI。

両刃の剣を悪意ある者に渡さないために

こうした強力な能力を提供するにあたり、OpenAI はそれが「通常の使い方を超えたリスク（悪用であれ、誤作動（misalignment）であれ）」をもたらすことを認めています。対策として、モデルの拒否に頼るのではなく、一連のアクセス管理 + 監視を重層的に組み合わせている。

OpenAI 自身はどうリスクを評価しているか

最後に、公式がついでに説明している、読者が気になるであろう2点。1つ目、OpenAI 自身の Preparedness フレームワークによると、GPT-5.6-Cyber のサイバーセキュリティ能力は「High」と評価され、「Critical」には達していない。専門とするタスクでは Sol よりやや優れるものの、Critical ラインには届かず、完全なシステムカード（system card）は後日別途公開されます。2つ目、公式は明確に否定しています。GPT-5.6-Cyber は、先日の Hugging Face 侵入の内部テストには関与していない。今後発表されるモデルにも関与はないという。

OpenAI の内部評価「高度なサイバーセキュリティ完遂率」：エクスプロイトチェーン開発、認証回避、権限昇格（低権限からシステム高高権限へ）といった高リスク要求に、モデルがどれだけ応じるかを測定。ガードレールを外すだけではほぼ変化なし。扉を開けたのはモデル交換です。新版は5月版より大幅に向上。これは「旧版が拒否しすぎる」という研究者の不満に応えたもの。

OpenAI が公開した能力ベンチマークを個別に検証：GPT-5.6-Cyber はゼロデイ発見で最強。最も難しい ExploitBench とレポート作成では、汎用の Sol Blue のスコアが高い。Cyber の強みは拒否の少なさとゼロデイ発見に集中しています。

ベンチマーク以外にも、OpenAI は 5.6-Cyber を実際のソフトウェアで使用して脆弱性を発見した。V8（Chrome の JS エンジン）で未知の脆弱性を2件発見し、組み合わせてメモリを汚染し、ヒープサンドボックス（JS エンジンに設置された隔離されたメモリの檻）を脱出可能に。Google は修正済み。能力を解放した後、悪用を防ぐのは身元確認・法的誓約・監視です。