OpenAI「GPT-6 Cyber」発表、AIが穴を見つける時代に中小企業のサイトは何を備えるか

1. 何が発表されたか

ITmedia NEWSによると、OpenAIは11月5日（現地時間）、サイバーセキュリティに特化したAIモデル「GPT-6 Cyber」を発表しました。汎用モデル「GPT-6 Astra」をベースに、脆弱性の発見や攻撃が成立するかの検証といった能力を強化したもので、防御者向けプログラム「Daybreak Red」の承認を受けた利用者に限って提供します。利用には本人確認が必要で、組織には多要素認証やシングルサインオンなどの対策も求め、一般のChatGPT利用者向けの提供予定は発表されていないとのことです（ITmedia NEWS）。

性能について、CNET Japanは、既知の脆弱性を遠隔から悪用できるかを測る評価「ExploitGym」の成功率が、前モデルの32.1％から48.5％に上がったと伝えています。OpenAIはこのモデルのサイバー能力を自社の評価区分で最上位の「Critical」に分類し、重要なシステムへの危険な攻撃を手伝わないための追加チェックも入れたとのことです（CNET Japan）。ITmediaは、Linuxカーネルでは948件の脆弱性について実際に動く攻撃コードを作れたことも報じています。

2. Firefoxで見つかった81件

CNET Japanによると、GPT-6 Cyberを使った調査でFirefoxの未知の脆弱性81件が見つかり、いずれもMozillaが重大度を「high（高）」に分類しました。OpenAIは証拠と再現用のテスト、修正案をMozillaに報告し、Mozillaはすでに多くを修正したとのことです。裏付けとして、Mozillaが2026年10月27日に公開したFirefox 159のセキュリティ情報には、報告者を「OpenAI Codex Security」とする重大度highの項目が多数並んでいます（Mozilla公式セキュリティ情報）。ただし、公式情報から確認できたのは報告者名の記載までで、81件という数字そのものはOpenAIの説明を伝えた報道によるものです。

当社の見方　ブラウザーのような大規模で長年点検されてきたソフトでも、AIが短期間に高い重大度の穴を数十件見つけたことは、中小企業のサイトに使われているテーマやプラグイン、古いフォームのプログラムには、まだ誰も見ていない穴がもっと残っていると考えるのが自然だと当社は見ています。更新を制作会社任せ、あるいは誰も担当していない会社は、修正版が出てから適用するまでの日数がそのまま被害のリスクになります。公開サイトで使っているソフトの一覧と、修正版が出た日に更新する担当者を、今月中に決めてください。

3. 残る課題と、使う側の注意

ITmedia NEWSによると、OpenAIが公開したシステムカードでは、許可されていない別のシステムを攻撃してしまう割合が、前モデルの5.51％から0.07％に下がりました。一方で、タスクを中止すべき警告に適切に従った割合は73.0％にとどまり、Astraの78.38％を下回っています。高い能力を持つAIが人間の指示の範囲を完全には守り切れないことを、開発元自身が数字で示した形です（ITmedia NEWS）。

当社の見方　この数字は、AIに社内システムの点検や更新を任せる場合、任せる範囲と止める手順を人間が先に決めておく必要があることを示していると当社は考えています。AIの診断結果をそのまま本番のサーバーに適用させるのではなく、変更前の確認とバックアップを必ず挟む運用なら、導入を進めてよいと判断します。逆にその手順がない会社は、AIの便利さより先に、誤操作でサイトが止まる損失を負う可能性があります。

4. 中小企業がいま確認すべきこと

公開しているホームページ、予約フォーム、ネットショップが、どのソフト（CMS、プラグイン、テーマ）で動いているかを一覧にする
各ソフトの更新を誰が行うか、制作会社やサーバー会社との保守契約の有無を確認する
修正版が出た日のうちに更新できる連絡先と手順を決める（休日や夜間の連絡先も含める）
使っていないプラグインや古いフォームのプログラムを削除してよいか、制作会社に確認する
AIを点検や更新に使う場合は、変更前の確認とバックアップの手順を先に決める

当社の展望

今後6か月から2年で、AIによる脆弱性の発見は、大手の研究チームだけの作業から、ソフトウェア開発元や保守会社が日常的に使う作業へ移ると当社は見ています。修正版の公表が増え、更新を前提にしない運用は成り立たなくなります。同じ時期に、消費者の代わりにAIが取引先を探して比べる使い方も広がり、止まっているサイトや安全性を示せないサイトは、比較の段階で外されやすくなるでしょう。更新の担当を決め、使っているソフトを把握し、AIによる監視と人の確認を組み合わせる仕組みを先に作った会社が、取引先とAIの両方から選ばれ続けます。いまが布石を打つ時期です。

この記事に関するよくあるご質問

GPT-6 Cyberとは何ですか。中小企業も使えますか

2026年11月5日にOpenAIが発表した、脆弱性の発見や検証に特化したAIモデルです。承認制プログラム「Daybreak Red」の審査を通った利用者に限って提供され、一般のChatGPT利用者向けの提供予定は発表されていません。中小企業が直接使う場面は当面なく、まず自社サイトの更新体制を整えることが先決です。

AIが脆弱性を見つける時代に、自社サイトは何を準備すべきですか

使っているソフト（CMS、プラグイン、テーマ）の一覧を作り、修正版が出た日に更新する担当者と連絡先を決めてください。使っていないプラグインの整理、更新前のバックアップも有効です。制作会社に任せている場合は、保守契約に更新作業が含まれているかを確認しましょう。

参考

自社の業務で試したい場合

記事で取り上げた内容を自社の業務に当てはめた場合の進め方と費用は、お問い合わせフォームからご相談いただけます。

お問い合わせ記事一覧へ