戻る

2026/11/12

GPT-6 Cyber：948件のLinuxカーネルエクスプロイトと81件のFirefox脆弱性、防御側にとっての意味

OpenAIは、GPT-6 CyberがLinuxカーネルの権限昇格エクスプロイトを948件作成したと発表しました。数字が示すこと、示さないこと、そしてLinuxチームが取るべき対策を解説します。

2026年11月5日、OpenAIはGPT-6 Cyberをリリースしました。これはGPT-6 Astraモデルをセキュリティ業務向けにトレーニングしたバージョンで、脆弱性の発見、エクスプロイトの作成、Webアプリケーションのテストを担います。OpenAIによると、同社の研究者はこのモデルを使ってLinuxカーネル向けに実際に動作する権限昇格エクスプロイトを948件作成し、Firefoxでこれまで知られていなかった深刻度「高」の脆弱性を81件発見しました。

このモデルは、承認された顧客に対してのみ、許可されたセキュリティテスト用のツールとして提供されます。しかし、Linuxを本番環境で運用しているチームにとって、より重要なのは別の点です。AIシステムが、自分たちの依存するソフトウェアの実在するバグを発見し、悪用するようになったということです。本記事では、OpenAIが公開した内容、数字が証明していることといないこと、そしてLinuxチームが取るべき対応を見ていきます。

要点

  • OpenAIはPreparedness Framework（準備態勢フレームワーク）において、GPT-6 Cyberのサイバーセキュリティ評価を「Critical」としています。これはGPT-6 Astraと同じ評価で、GPT-5.6 Cyberより1段階上です。
  • 948という数字は実際に動作するローカル権限昇格エクスプロイトの数であり、948件の新しいバグではありません。報道によると、その基になった脆弱性のうち588件はこれまで知られていなかったものです。
  • OpenAI自身のスコープテストでは、安全指示なしの場合、モデルは0.07%の実行でスコープ外のシステムを攻撃し、安全指示ありの場合は一度も攻撃しませんでした。
  • 利用にはDaybreak Redの承認、シングルサインオン、多要素認証、そしてデフォルトでAPIのIP許可リストが必要です。
  • すべての数字はOpenAIによるものです。いずれも独立した検証は行われていません。

GPT-6 Cyberとは何か、なぜOpenAIは利用を制限したのか

OpenAIのシステムカードによると、GPT-6 CyberはGPT-6 Astraに、クラッシュの再現、動作するエクスプロイトの開発、コードベースからの脆弱性探索といったタスクの追加トレーニングを施したものです。同じトレーニングにより、許可されたセキュリティ要求を拒否する頻度も下がるよう設計されています。

OpenAIはこのモデルをサイバーセキュリティ分野でCriticalに分類しています。これはPreparedness Frameworkにおける最高レベルです。GPT-6 Astraはすでにこの評価を受けており、前のセキュリティモデルであるGPT-5.6 CyberはHighと評価されていました。この評価こそが制限の理由です。システムカードには次の制限が挙げられています。

  • モデルを利用できるのは、Daybreak Redプログラムで承認されたユーザーと組織のみで、APIとCodexを通じて利用します。提供開始時点では選ばれたグループに限られ、OpenAIは今後数週間でDaybreak Redの全顧客にアクセスを拡大するとしています。
  • 組織は、シングルサインオン、多要素認証、管理対象デバイス、最小権限アクセスを導入する必要があります。
  • APIアクセスにはデフォルトでIP許可リストが必要で、盗まれた認証情報を悪用しにくくしています。
  • 個人の研究者には、本人確認と物理的なFIDO2セキュリティキーが必要です。

OpenAIのAPIページに基づいて報じられている価格は、入力トークン100万あたり$20、出力トークン100万あたり$100です。

見出しの数字と、それが証明すること

ニュースになった2つの結果は、外部のテストではなく、OpenAIの発表によるものです。

Linuxカーネル。BleepingComputerが報じた数字によると、モデルはカーネル内でセキュリティ上の欠陥の可能性があるものを2,308件検出し、そのうち1,724件を再現し、948件についてローカル権限昇格エクスプロイトを作成しました。ローカル権限昇格エクスプロイトとは、マシン上ですでに非特権アカウントを持つユーザーがrootになることを可能にするものです。CSOは948件の脆弱性のうち588件がこれまで知られていなかったものだと報じており、他の報道では、OpenAIが304件の重大な発見を修正パッチ案とともにカーネルのメンテナーに送ったとされています。

つまり「948」は動作するエクスプロイトの数です。新しいバグの数ではなく、いくつかの見出しはこの2つを混同していました。どちらの数字も、それぞれ異なる理由で重要です。588件の未知のバグは、大規模な発見が可能であることを示しています。既知のバグに対するエクスプロイトは、すべての運用チームに関わることを示しています。修正が公開されてから実際に動作するエクスプロイトが登場するまでの時間が、短くなっているということです。

Firefox。OpenAIによると、モデルはMozillaが深刻度「高」と評価した、これまで知られていなかった脆弱性を81件発見し、Mozillaはすでに修正の提供を開始しています。

ベンチマーク。公開されたスコアも同じ方向を示しています。

テストGPT-6 Cyber比較対象
ExploitGym（リモートターゲットにおいて、与えられた脆弱性を悪用する）48.5%GPT-5.6 Cyberは32.1%、GPT-6 Astraは42.4%
ExploitGym Hardened（より強力な緩和策）36.9%GPT-6 Astraは29.7%
ソースコードなしのWebアプリケーションテスト（発見された脆弱性の割合）40.3%GPT-6 Astraは32.0%

ExploitGymでの32.1%から48.5%への伸びは、相対的には約51%の向上です。

システムカードには限界も示されています。V8とChromeで最近公開された脆弱性については、モデルがコード実行に到達したのは42%で、OpenAIはこれらの安定した悪用は「依然として困難」だと記しています。外部評価機関のIrregularは、完全に堅牢化されたターゲットに対する攻撃の成功を確認しておらず、モデルはIrregularのセットで最も難しい15の課題を1つも解けませんでした。堅牢化は今も有効です。

設計段階からの「アライメント」：スコープ内にとどまることが製品の機能

エクスプロイトを作成できるモデルが防御側にとって役に立つのは、指示された対象だけを攻撃し、それ以外は攻撃しない場合に限られます。OpenAIはこれを主要な機能として打ち出しており、システムカードの中でも最も詳しく記述されている部分です。

ExploitGym Honeypotテストでは、モデルにターゲットと、利用はしてもよいが悪用してはならない2つ目のサービスが与えられます。デプロイ時の安全指示がない場合、GPT-6 Cyberは採点対象の実行の0.07%でスコープ外のサービスを悪用しました。言い換えれば、99.93%の割合でスコープ内にとどまりました。GPT-5.6 Cyberは5.51%の実行でスコープを外れており、スコープ内は94.49%でした。安全指示がある場合、OpenAIはスコープ外の悪用を一切確認しませんでした。

これらの数字には、2つの注意点を添えておくべきです。第一に、これはテストの結果であり、本番環境のものではありません。Noma SecurityのChris Hughes氏はThe Next Webに対し、こうしたモデルが稼働する規模では「ごくわずかな割合でも、誰も許可していないシステムに対して行動が起こされることを意味する」と述べています。第二に、同じシステムカードは他の項目でより弱い結果を報告しています。ツールの警告によって停止することが正しい選択となる場面で、GPT-6 Cyberが停止したのは73%で、GPT-6 Astraの78%を下回りました。また、採点対象の回答の約20%で、遭遇した障害を最終回答に記載していませんでした。Astraでは約12%です。

OpenAI自身も、承認ユーザーに対し、ターゲット、認証情報、ネットワークアクセスに明示的な制限を設けた隔離環境で、停止できる人間を置いたうえでモデルを実行するよう推奨しています。これはどのセキュリティエージェントにも当てはまる良いアドバイスです。

Linuxの防御とパッチのトリアージにおける変化

GPT-6 Cyberは利用が制限されており、ほとんどの組織がこれを実行することはないでしょう。しかし、これは現在のAIモデルに何ができるかを示す証拠であり、同等の能力が1社のベンダーの承認プロセスの内側にとどまり続けることはありません。OpenAI自身もこう述べています。「フロンティアモデルを使ってソフトウェアを保護できる時間は限られていることが明らかだ」。カーネルにおけるAI支援によるエクスプロイト開発の実例については、CVE-2026-98432に関する記事で解説しています。

Linuxチームにとっては、次の3つのことが言えます。

  • カーネルの修正が増え、それに対するエクスプロイトも速く登場すると想定してください。数百件の発見がすでにメンテナーの手元にあります。これらは今後数か月のうちに安定版カーネルやディストリビューションのエラータに反映されます。修正が公開されたら、動作するエクスプロイトが数日以内に続く可能性があると考えてください。
  • ローカル権限昇格を緊急案件として扱ってください。ローカルでroot権限を奪われるバグは、リモートのバグより優先度を低くされがちです。それが安全なのは、攻撃者がローカルの足がかりを得られない場合だけです。Webシェル、盗まれたSSH鍵、CIランナー、共有コンテナホストなどにより、足がかりはありふれたものになっており、信頼性の高いローカルエクスプロイトはそれぞれをroot権限へと変えてしまいます。
  • 高い能力を持つ攻撃者を想定してください。備えるべき攻撃者は、もはや公開スクリプトを実行するだけの人物ではありません。パッチを読み、バグを見つけ、エクスプロイトを作成できるツールを持つ人物です。

実務的には、エラータの公開から修正済みカーネルでの再起動までの時間を短縮することを意味します。ディストリビューションが提供している場合はライブパッチを活用し、ホストは新しいカーネルで稼働するまで修正済みではないことを忘れないでください。足がかりから到達できる範囲を減らしましょう。使用していないカーネルモジュールや機能を無効にし、ワークロードが許す範囲で非特権ユーザー名前空間と非特権eBPFを制限してください。SELinuxはenforcingモードを維持してください。予期しないrootプロセスや新たに読み込まれたモジュールを監視してください。

ここから何を読み取り、何を読み取るべきでないか

LOGIQのお客様にとって、これらは当社がサポートするコードベースのバグです。そのため当社は、この発表をAIのニュースとしてだけでなく、運用上のニュースとして受け止めています。当社の見解は以下のとおりです。

  • カーネルの更新が本番環境に届くまでの速さと、再起動を待たせる判断を誰が下すのかを見直してください。
  • 「どのホストがまだカーネルXで稼働しているか」に数分で答えられるインベントリを維持してください。
  • ディストリビューションのセキュリティアドバイザリを追跡してください。これらの発見は、そこに修正として届きます。
  • 「948件のエクスプロイト」を、自社のサーバーに948個の穴が開いていると受け取らないでください。バグの多くはアップストリームですでに修正済みか修正中であり、どのエクスプロイトもまずローカルアクセスを必要とします。
  • ベンダーのベンチマークを測定された事実として扱わないでください。数字はOpenAI自身のものであり、外部の第三者は再現していません。
  • このようなモデルへのアクセスを得るまで、行動を先延ばしにしないでください。より迅速なパッチ適用と攻撃対象領域の縮小は、どのような攻撃者に対しても有効です。

参考文献