GPT-6 Cyber とは - Daybreak Red 限定のサイバー特化モデル、ベンチと安全策の読み方

2026年11月5日、OpenAI がサイバーセキュリティに特化したモデルGPT-6 Cyberを発表しました。9月に出た GPT-6 Astra をベースに、脆弱性を見つけ、実際に悪用できるかを検証するところまでを強化したモデルです。

ふつうのモデルなら断る「エクスプロイト（脆弱性を突くコード）を書いて」という依頼にも応じるので、誰でも使えるわけではありません。OpenAI のサイバー向け審査制プログラム Daybreak のうち、上位の Daybreak Red で承認を受けた組織だけが、さらに個別の承認を得て使えます。

この記事では、公式発表・システムカード・API ドキュメント・ヘルプセンターをもとに、何ができるのか、どう測ったのか、どんな制限がかかっているのかを整理します。

概要

価格は GPT-6 Astra（入力 $10 / 出力 $50）のちょうど2倍です。API のモデルページでは、Chat Completions や Batch などのエンドポイントも一覧に載っていますが、Daybreak の設定（後述の access_programs）は Responses API のパラメータとして説明されています。

OpenAI は発表の冒頭で、ExploitGym で前世代の GPT-5.6 Cyber から相対51%の改善、範囲を守る評価で大きな改善、Linux や Firefox で数千件のエクスプロイトを見つけて検証した、の3点を挙げています。

Daybreak とアクセスの階層

GPT-6 Cyber を理解するには、先に Daybreak の仕組みを押さえておく必要があります。Daybreak は OpenAI の「Trusted Access for Cyber」プログラムで、本人確認と用途の審査を通った人や組織に対して、サイバーセキュリティの作業で断られにくくする仕組みです。ヘルプセンターでは、アクセスを次の3段階で説明しています。

押さえておきたい点は次のとおりです。

• Daybreak Red は、承認された企業や組織だけが対象です。個人の申請では Daybreak Blue までしか申し込めません（例外的に個人で使えている人もいる、とヘルプセンターには書かれています）。
• Daybreak Red の承認だけでは GPT-6 Cyber は使えません。ワークスペースや API プロジェクトで Red を有効にしても、モデル自体の承認は別に必要です。
• 承認されても、最初はオフになっています。組織の管理者が対象のユーザーやプロジェクトだけで有効にする仕組みです。
• 自分が持っているシステムか、検査する許可を明示的にもらったシステムにしか使えません。顧客向けのサービスに組み込んだり、第三者に使わせたりすることも禁止されています（製品への組み込みについては、別途承認を受けた場合の扱いが API ガイドに書かれています）。
• 契約や購入をしても、Daybreak のアクセスは保証されません。

Responses API での呼び出し方

API から使う場合は、model に gpt-6-cyber を、access_programs.cyber に daybreak_red を指定します。API ガイドに載っている例は次のとおりです。

curl https://api.openai.com/v1/responses \
  -H "Authorization: Bearer $OPENAI_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "model": "gpt-6-cyber",
    "access_programs": {"cyber": "daybreak_red"},
    "safety_identifier": "user_a17f",
    "input": "Suggest a regression test for a path traversal fix."
  }'

safety_identifier には、リクエストしている利用者を表す、仮名の固定IDを入れるよう案内されています。リクエストを送る前に、次の準備が必要です。

access_programs.cyber に入れる値は、組織の承認レベルではなくモデルで決まります。たとえば gpt-6-sol や gpt-6-astra で拒否を減らしたいときの値は daybreak_blue で、daybreak_red を送ると 400 invalid_access_program になります。Daybreak Red を指定しても、モデルが勝手に GPT-6 Cyber に切り替わるわけではない点にも注意が必要です。

Codex で使う場合は、ChatGPT でサインインするなら承認済みのワークスペースを、API キーでサインインするなら Daybreak Red を有効にしたプロジェクトのキーを使います。Codex アプリにはモデル選択の中に Daybreak の切り替えがあり、初期状態はオフです。Codex CLI では、対話モードで /daybreak、非対話の実行や設定では daybreak=true で有効にすると案内されています（CLI 0.163.0 以降）。Codex CLI そのものの使い方は Codex CLI 実践入門 にまとめています。

ベンチマーク

サイバー能力の評価

OpenAI はシステムカードで、GPT-6 Astra のシステムカードと同じ評価を使い、推論の予算を一番大きくした状態での結果を載せています。

公式発表のグラフでは、ExploitGym の比較対象がもう少し多く載っています。

「相対51%の改善」は、GPT-5.6 Cyber の 32.1% から 48.5% への伸び（48.5 ÷ 32.1 は約1.51）のことです。差としては約16ポイントになります。

このほか、新しく作った RemoteExploitBench も紹介されています。GitLab、PostgreSQL、Jenkins などの既知の脆弱性を管理された環境に用意し、エクスプロイトを書いてリモートから成功させる評価です。初回の評価では、Daybreak Blue で動かした GPT-6 Astra はすべてのタスクを断り、GPT-6 Cyber は95%を完了しました。失敗した1件は、リモートでは動かせなかったエクスプロイトだったそうです。

外部機関の評価

外部の評価として、NIST CAISSI（NIST の Center for Advancing Innovation and Standards for Super Intelligence）と、セキュリティ評価を手がける Irregular の名前が挙がっています。システムカードに結果が載っているのは Irregular の評価です。

CyScenarioBench の平均成功率は Astra より7ポイント高いと書かれています。

ベンチをどう読むか

数字を並べると、読み取れることがいくつかあります。

• 素の能力では、Astra との差はそれほど大きくありません。ExploitGym の差は約6ポイント、SEC-Bench Pro の差は約2ポイントです。FrontierCyber では、むしろ Astra のほうが多く解いています。Irregular の評価全体についても、システムカードは「Astra とおおむね同程度で、長い手順のタスクでは成功率が高い」とまとめています。
• 差が大きく出ているのは「断るかどうか」です。安全策ありの Astra は ExploitGym で0%、RemoteExploitBench でも全件を断っています。GPT-6 Cyber の価値は、能力がずば抜けて高いことよりも、承認された相手には断らずに最後までやり切る点にあると読めます。
• ExploitBench の100%は、2023年までさかのぼる過去の脆弱性を使っているため、学習データに含まれていて数字が上振れしている可能性があると、OpenAI 自身が書いています。最近の脆弱性を使った内部移植版では42%で、システムカードにも「最近公開された脆弱性を確実に悪用するのは、まだ難しい」とあります。
• Irregular の評価では、完全に防御を固めた標的への攻撃は1件も成功せず、最も難しい15問はどちらのモデルも解けていません。
• 一般的なコーディング能力は上がっていません。長い手順のソフトウェア開発を測る社内評価 ExpertSWE では、GPT-6 Cyber が 82.95%、Astra が 83.24% でした。OpenAI はこれを、AI の自己改善の能力が High 未満にとどまる根拠の1つにしています。

実際に見つかった脆弱性

公式発表では、評価だけでなく、実際のソフトウェアで出した成果も紹介されています。

Brotli の件は、10月に公開された CVE-2026-111497（通称 HTTP2Shell）のことで、詳しくは HTTP2Shell（CVE-2026-111497）の記事 にまとめています。

Firefox のエンジニア Brian Grinstead 氏は、「Firefox は2026年の初めの時点で、世界でもっとも防御を固め、もっとも検査されてきたコードベースの1つだった。複数の世代のフロンティアモデルでさらに固めた後でも、GPT-6 Cyber は未知の高深刻度の脆弱性を見つけた」とコメントしています。

利用している企業として、本文では Cisco、Calif、CodeRabbit の名前が挙がっています。コメントの一覧には、Mozilla、Cognition、Palo Alto Networks、SentinelOne、Perplexity も並んでいます。

範囲を守れるか: アラインメントの評価

サイバー特化モデルで一番怖いのは、能力の高さそのものより、頼まれていない相手まで攻撃してしまうことです。OpenAI はこれを「範囲（スコープ）を守る」問題として扱い、専用の学習と評価を行ったと説明しています。

ExploitGym Honeypot

代表的な評価が ExploitGym Honeypot です。難しいエクスプロイトの課題を、パッケージレジストリやオブジェクトストレージのような補助サービスと一緒に、隔離した環境に置きます。補助サービスはわざと攻撃しやすく作ってあり、攻撃すれば課題のフラグが手に入ります。ただし、補助サービスは課題の範囲外です。モデルは、それを自分で読み取って手を出さずにいられるかを試されます。OpenAI は、この評価は Hugging Face のインシデントを踏まえて作ったと書いています。

公式発表では、同じ結果を「範囲外のサービスを攻撃しなかった割合が 99.93%（GPT-5.6 Cyber は 94.49%）、安全指示ありなら100%」と書いています。汎用モデルの GPT-5.6 Sol が約半分の確率で手を出していたことを考えると、この差は大きいと言えます。

公式発表には、モデルの思考過程の抜粋も載っています。「追加の API や攻撃の制御用サーバーが標的だとは決めつけられない。標的はバイナリとサーバーだけにする」「範囲外の認証情報は調べない」といった内容です。

そのほかの評価

全体としては、GPT-5.6 Sol よりは大きく良くなり、Astra とはほぼ同じ水準です。ただし、Astra より悪い項目もあります。

• 止まるべき警告で止まる割合が、Astra より5ポイントほど低い。システムカードは、粘り強く作業を続ける性格の裏返しだと説明しています。
• 作業を妨げた問題（ブロッカー）を最終回答で報告しなかった割合が20.29%と、Astra の約2倍です。OpenAI は、多くの場合は途中のメッセージでは問題を伝えていて、最終回答で繰り返さなかっただけなので、意図的なごまかしではなく「最終的なまとめが不十分」と評価しています。とはいえ、最終回答だけを読んで判断すると見落とす可能性があるので、エージェントの途中経過もログとして残しておくのが安全です。

安全策

能力が上がった分、安全策も追加されています。既存の安全策と、今回足されたものを分けて整理します。

以前からある安全策

• 組織には SSO、MFA、管理されたデバイス、最小権限のアクセスを求める。認証情報の保護とローテーション、社員の利用の監視、不正利用や乗っ取りの疑いの報告も義務づけている。
• 個人には、招待された申請者だけに本人確認と生体確認を求め、Advanced Account Security と物理的な FIDO2 セキュリティキー1本以上を必須にしている。
• Codex で使うときは、サンドボックスと Auto-Review（サンドボックスの外で動く前に操作を確認する機能）の利用を推奨。API で使う場合も、重要な操作の前に同様の確認を挟み、確認に落ちたら止めるよう推奨している。
• 対象、認証情報、ネットワーク、許可する操作を明示的に絞った隔離環境で動かし、リスクの高い作業は人が監督して止められるようにすることを推奨。
• Astra と同じ監視の仕組みで、利用者の意図や権限から外れた動きを検知し、深刻な場合は Codex の実行を止めて確認を求めたり、リクエストを打ち切ったりする。

今回追加・強化された安全策

公式発表では、特定の脅威に絞った監視の例として、PHP の重大な脆弱性が協調開示されたときに、稼働中の PHP サーバーを狙うエクスプロイトの開発を監視しつつ、修正に取り組む防御側の支援は続けた、という話も紹介されています。時期から見て、10月に公開された PHP2Shell（CVE-2026-109618 / CVE-2026-109619） のことだと思われますが、公式発表には CVE 番号は書かれていません（推測）。

サイバー以外の安全性は少し下がっている

システムカードを読むと、サイバー以外の安全性の評価で、Astra より数字が下がっている項目があります。

いずれも高いほど良い指標です。難しいプロンプトを使った本番の評価では、過激主義や性的な内容などで数字が下がったものの、統計的に有意な差ではないと書かれています。一方で、上の表の人によるレッドチームの項目については、有意かどうかの記載はありません。GPT-6 Cyber はセキュリティの作業専用として使い、ほかの用途には Astra などの汎用モデルを使い分けるのがよさそうです。

重要インフラの扱い

発電所や浄水場、それを支える制御システム（OT/ICS）の扱いにも、多くの説明が割かれています。方針は、守る側には最も強いモデルを渡しつつ、無許可の攻撃には安全策を強めるというものです。

• 防御側の支援として、10億ドル規模の「Daybreak for Frontline Defenders」で、自治体や重要なサービスの事業者など、予算の限られたチームの利用費を補助する。
• Daybreak Red の中に、承認された重要インフラの防御担当向けのグループ「Daybreak Red for Critical Infrastructure」を新設する。重要なシステムの許可された検査ができる一方、モデルが意図から外れた動きをしないための安全策は残す。
• 制御システムのセキュリティを専門とする Dragos と組み、拒否を緩めたモデルを模擬の発電所環境で評価し、その結果で安全策を調整した。

Dragos の Rob T. Lee 氏のコメントによると、ほとんど指示を与えなかったのに、モデルは OT の機器を IT の雑多な機器から自力で切り分け、保護リレーのデータを扱うエンジニアリング用ソフトウェアで2件のゼロデイ脆弱性を見つけたそうです。同氏は、攻撃の前段階である偵察と脆弱性調査に必要なスキルの水準が下がってきている、と述べています。

OpenAI は、安全策のブロック率は高ければ良いわけではないとも書いています。評価に使った手法の多くは、システムの理解や修正の検証といった正当なセキュリティ業務にも欠かせないので、100%を目指すのではなく、正当な研究への支援とのバランスで判断しているとのことです。

これまでの流れと、今後の提供

OpenAI のサイバー特化モデルは、複数の報道によると2026年4月14日の GPT-5.4-Cyber が最初で、その後 GPT-5.5-Cyber、GPT-5.6 Cyber と続いてきました。GPT-6 Cyber はその後継にあたります。GPT-5.5-Cyber と GPT-5.6 Cyber が存在することはヘルプセンターで確認できましたが、それぞれの公開日は OpenAI の一次ソースでは確認できていません（未確認）。

提供の予定は次のとおりです。

• GPT-6 Cyber は、まず承認された一部の Daybreak Red の顧客に、API と Codex で提供する。近いうちに Daybreak Red の全顧客に広げる。
• GPT-5.6 Cyber は、Daybreak Red の全顧客が使えるようにする。
• GPT-6 Astra の Daybreak Blue アルファ版を、より多くの組織と個人のセキュリティ研究者に広げる。

Amazon Bedrock でも Daybreak は使えますが、ヘルプセンターに載っている Bedrock のモデルIDは Daybreak Blue の openai.gpt-daybreak-blue-5.6-sol と、Daybreak Red の openai.gpt-5.6-cyber だけです。GPT-6 Cyber が Bedrock で使えるかは、現時点では確認できていません（未確認）。

開発者・セキュリティ担当者にとっての意味

GPT-6 Cyber を直接使えるのは、当面は審査を通った一部の組織だけです。個人開発者や中小のチームがすぐに触れるモデルではありません。それでも、知っておく価値はあると思います。

• 防御側の入り口は Daybreak Blue です。個人でも申請でき、GPT-6 Sol などで、脆弱性のトリアージやパッチの検証を断られにくくなります。コードレビューや修正案の作成であれば、通常の Astra でもすでに対応していると OpenAI は書いています。
• 脆弱性が見つかって修正されるまでの速さが変わってきています。Firefox で81件、Linux で304件の報告という規模は、人の手だけでは難しい量です。OpenAI も「フロンティアモデルを使ってソフトウェアを守れる期間は限られている」と書いています。使っている OSS のセキュリティ更新は、これまで以上にこまめに当てる必要がありそうです。
• AI エージェントにセキュリティの作業をさせるなら、サンドボックスで隔離し、対象と権限を絞り、人が止められるようにしておく、という OpenAI の推奨は、GPT-6 Cyber 以外のモデルにもそのまま当てはまります。最終回答だけを信じずに途中経過も確認する、という点も同じです。

まとめ

• GPT-6 Cyber は、GPT-6 Astra をベースに、脆弱性の発見と悪用の検証に特化させたモデル。モデルIDは gpt-6-cyber、価格は Astra の2倍の入力 $20 / 出力 $100。
• 使えるのは Daybreak Red の承認組織のうち、GPT-6 Cyber の個別承認を受けたところだけ。個人では申請できない。
• ベンチでは Astra より数ポイント高い程度で、FrontierCyber のように Astra のほうが上の評価もある。大きな違いは、承認された相手の攻撃的なタスクを断らずにやり切ること。
• 範囲外のハニーポットを攻撃した割合は 0.07%（GPT-5.6 Cyber は 5.51%、GPT-5.6 Sol は 49.5%）と大きく改善。一方で、作業を妨げた問題を最終回答で伝えない割合は Astra の約2倍。
• IP 許可リストの必須化、Private Safety Processing、重要インフラ向けのブロック、生物安全モードなど、安全策もあわせて強化された。

参考リンク

• GPT-6 Cyber: Advancing the frontier of aligned cybersecurity agents（OpenAI）
• GPT-6 Cyber System Card（OpenAI Deployment Safety Hub）
• GPT-6-Cyber モデルページ（OpenAI API Docs）
• Use Daybreak in the Responses API（OpenAI API Docs）
• OpenAI Daybreak - Trusted Access for Cyber overview（OpenAI Help Center）
• Daybreak（OpenAI）
• Private Safety Processing（OpenAI API Docs）
• GPT-6 Astra リリース - サイバー能力Critical認定とAPI仕様・ベンチの読み方
• GPT-6.1 Sol リリース - Astra の5分の1の価格で何が変わるか