セキュリティ
数字で見るGPT-6 Cyber：「Critical」に分類、Linuxの948件のエクスプロイトのうち588件は未知の欠陥を狙い、304件の重大な発見が修正案付きでメンテナに送られた
OpenAIはGPT-6 Cyberを「Critical」に分類。Linuxの948件のエクスプロイトのうち588件は未知の欠陥を狙い、304件の重大な発見が修正案付きで送られたとOpenAIは説明。
OpenAIは、自社のGPT-6 Cyberを、サイバー能力に関するPreparedness Frameworkで最も高い「Critical」に分類している。報道が伝えるOpenAIの説明によれば、研究の実行でLinuxカーネルの1,724件の脆弱性を再現し、そのうち948件で動作するエクスプロイトを作成した。948件のうち588件は以前は知られていなかったバグを狙うもので、304件の重大な発見が修正案（候補パッチ）付きでメンテナに開示された。これらの数字はすべてOpenAIによるもので、独立した検証は行われていない。この記事は数字の読み解きであり、モデル公開と、Linux向けの120万ドルのパイプラインに関する先行記事の続きにあたる。
要点
- Critical：OpenAIのPreparedness Frameworkでサイバーリスクが最も高い区分。GPT-5.6 CyberはHighだった。
- 948と588：再現した1,724件のうち、Linuxカーネルの948件の脆弱性で動作するエクスプロイトを作成。948件のうち588件（約62%）は以前は知られていなかったバグを狙い、残る360件は新規ではなかった。
- 304：Linuxのメンテナに修正案付きで開示された重大な発見。「候補」とは、レビューのために提案されたという意味で、取り込み済みではない。
- 5倍以上：OpenAIによれば、同じ構成でGPT-5.6 Solの166件に対し948件。
- アクセス：今のところ、選ばれたDaybreak Red顧客のみ、API経由とCodex経由。
「Critical」の分類は何を意味するか
Criticalは、OpenAIのPreparedness Frameworkでサイバー能力のリスクが最も高い区分だ。The Registerによれば、現実の重要なシステムで動作するゼロデイ・エクスプロイトを見つけて開発し、最初から最後までのサイバー攻撃を実行できるモデルを意味する。GPT-6 CyberはCriticalで、GPT-5.6 CyberのHighから上がった。The Decoderは、基盤モデルのGPT-6 Astraと同じ分類だと指摘する。この分類は能力に関するOpenAI自身の評価であり、攻撃が起きたという認定ではなく、アクセス制限が伴う。GPT-6 Cyberは、承認された一部のDaybreak Red顧客にAPIとCodexを通じて提供され、今後数週間でDaybreak Red顧客への提供が広がる予定だ。
1,724、948、588、304はどうつながるか
OpenAIの説明（報道経由）では、研究者はLinuxカーネルの1,724件の脆弱性を再現し、そのうち948件（約55%）で動作するエクスプロイトを作った。同じ構成でGPT-5.6 Solが作れたのは166件で、その5倍を超える。948件のうち588件（約62%）は以前は知られていなかったバグで、残る360件は新規ではなかった。この360件について、読んだ報道は説明していない。別に、OpenAIはLinuxのメンテナに304件の重大な発見を開示したと述べる。この304件が588件に含まれるのかは報道では分からず、重大で、候補パッチが付いていたことだけが分かる。OpenAIが以前のパイプラインについて述べたように、最も深刻な報告から先に送られた可能性はあるが、それは当サイトの推測だ。数字は時点も異なる。OpenAIは以前、分析の10日後に61件のローカル権限昇格の欠陥がカーネル本流で修正され、299件が報告されて公に議論されたと述べており、これらは304に足していない。
「修正案付きで送付」とは何を意味するか
The Registerによれば、Linuxの発見は、メンテナがレビューするための候補パッチ付きで報告されている。候補パッチは提案にすぎない。カーネルのメンテナが、それが正しいか、取り込むかを決め、修正は取り込まれて利用者が使うカーネルに配布されて初めて利用者を守る。Firefoxの81件の高深刻度の欠陥については、Mozillaが修正を始めた（The Register）。したがって「304件の重大な欠陥が修正付きで送られた」は、304件の重大な発見が修正案付きで報告されたと読むべきで、304件が修正されたという意味ではない。
確立されていない点
- 948、588、304という数字の独立した検証。すべてOpenAIの説明を報道が伝えたものだ。
- 304件が588件と重なるのか、本流にすでに取り込まれたパッチがいくつあるのか。
- 「以前は知られていなかった」が何に対する基準なのか（どのデータベースの、いつ時点か）、残る360件が何だったのか。
- 948件のエクスプロイトの複数が同じ根本の欠陥を狙っていないか。固有の欠陥へのグループ化はOpenAIによるもので、確認できなかった。
- OpenAIが試したカーネルのバージョンと仮想マシン構成以外のソフトウェアに、結果がどこまで当てはまるか。
比較表
| 項目 | 2026年11月6日時点で示されている内容 | 出典 |
|---|---|---|
| 分類 | Critical（GPT-5.6 CyberはHigh） | The Register、The Next Web |
| 再現と悪用 | 1,724件を再現、948件で動作するエクスプロイト | The Next Web、The Decoder |
| 以前は未知 | 948件のうち588件 | The Register |
| 開示された重大な発見 | 304件、候補パッチ付き | The Next Web、The Decoder、Gulf Business |
| 比較 | GPT-5.6 Sol：同じ構成で166件 | The Decoder |
| アクセス | 選ばれたDaybreak Red顧客、APIとCodex | The Register |
よくある質問
Criticalは、モデルが攻撃に使われたという意味か
いいえ。OpenAIによる能力の分類であり、アクセスは審査済みのDaybreak Red顧客に限られる。読んだ報道には悪用の報告はない。
304件の重大な欠陥は修正されたのか
確立されていない。候補パッチ付きで報告されたが、メンテナがまだレビューして取り込む必要がある。
948件中588件とは、見つかった欠陥の大半が新規という意味か
悪用されたカーネルのバグの約62%が以前は知られていなかったという意味だ。残る360件は新規ではなく、それが何だったのかは分からない。
方法と限界
2026年11月6日時点の情報です。The Registerは自動抽出で読みました（Criticalの分類、948、588は含まれますが、304と1,724は含まれません）。The Next Web、The Decoder、Gulf Business、開発者向けガイドは検索結果の抜粋を読みました。OpenAI自身のレポートとシステムカードは読んでいません。数字はすべてOpenAIのものです。セキュリティ上の助言ではありません。
出典
- The Register：OpenAI releases GPT-6 Cyber, and promises this one stays within rules of engagement（確認日：2026-11-06）
- The Next Web：OpenAI's GPT-6 Cyber found 81 new Firefox flaws and is rated 'Critical'（確認日：2026-11-06）
- The Decoder：OpenAIs GPT-6 Cyber can both break into systems and propose how to fix them（確認日：2026-11-06）
- Gulf Business：OpenAI launches GPT-6 Cyber with 'Critical' cybersecurity rating, uncovers 81 Firefox vulnerabilities（確認日：2026-11-06）
- Byteiota：GPT-6 Cyber Found 948 Linux Exploits: Developer Guide（確認日：2026-11-06）
