何が起きたか
OpenAIは月曜、サイバーセキュリティ関連の複数施策を発表しました。中心となるのが、セキュリティ企業Trail of Bitsと立ち上げた「Patch the Planet」です。HackerOneやCalifも協力し、ボランティア運営が多いオープンソース(OSS)の保守者に対し、脆弱性の発見・修正、コードベース強化、AIセキュリティツール導入支援を無償で提供します。
初動の5日間スプリントでは、Trail of Bitsの全従業員の約5分の1にあたる25人のエンジニアが保守者と並走。初週で数百件のバグを洗い出し、数十件のパッチを生み出しました。参加プロジェクトは30件超で、さらに増える見込みです。参加保守者にはChatGPT ProとCodex Securityの6か月無償利用権も付与されます。
なぜ重要か
背景には、AI生成の低品質バグ報告(いわゆる「slop CVE」)が保守者を疲弊させている現実があります。Trail of BitsのFouad Matin氏は「保守者はOSSへの愛情で活動しているのに、今やslopなCVEのレビューに追われている」と指摘。AIがバグ発見を加速する一方、その負担はOSS側に偏っていたわけです。
さらにFive Eyes(米英加豪NZの諜報同盟)は同じ月曜、フロンティアAIモデルが攻防両面のサイバー能力を「年単位ではなく数か月で」根本変革すると異例の共同声明を出しました。攻撃側AIに対し、防御側の整備が間に合っていない緊張感がにじみます。
商業競争という側面
OpenAIはGPT-5.5-Cyberの改良版も発表。CyberGymベンチで85.6%を記録し、AnthropicのMythos 5(83.8%)を上回りました。Anthropicは今月、Fable 5とMythos 5をトランプ政権のサイバー懸念を受け市場から撤退、ホワイトハウスは輸出規制を課しています。両社ともIPO準備中で、政府との「信頼アクセス」関係の確立は競争上の生命線です。Patch the PlanetはOSSコミュニティへの貢献であると同時に、AIコーディングツールの正当性を社会に印象づける戦略的施策でもあります。
💼 事業会社視点：これは自社にどう効くか
日本企業が今、見るべき論点
第一に、SaaS・自社プロダクトを持つ事業会社は、依存OSSの脆弱性対応スピードが競争条件に組み込まれつつあると認識すべきです。Five Eyesが「数年ではなく数か月」と警告した通り、AI攻撃側の進化は速く、サプライチェーン経由の侵害が経営リスクとして急上昇します。SBOM整備と、Patch the Planet参加プロジェクトの把握は即着手すべきです。
第二に、受託開発・SIerにとってCodex Securityのようなスキャナの台頭は、コードレビュー工数の単価が下がる前提への移行を意味します。納品物に対する「AIによる脆弱性検査済み」の標準化を提案ベースで先取りし、価格ではなくリスク移転で差別化する戦略が必要です。
第三に、ECや金融など個人情報を扱う企業の役員は、ベンダーロックインの再評価を。OpenAIが20兆トークンを補助している現状はマーケティングコストであり、永続的な価格保証ではありません。AnthropicのMythos 5撤退が示すように、地政学リスクで主力モデルが突然使えなくなる事態を想定し、複数モデル併用のアーキテクチャを今期の意思決定に組み込むべきです。