何が発表されたか
OpenAIはセキュリティ向け取り組み「Daybreak」のアップデートとして、(1)コード解析からパッチ生成までを担うCodex Securityプラグインの刷新、(2)サイバー特化モデル「GPT-5.5-Cyber」の正式版投入、(3)25社超のセキュリティ企業と複数政府を束ねるパートナー網の構築、の3点を打ち出しました。3月に研究プレビューとして公開されたCodex Securityは、これまでに3,000万コミット・3万コードベース超を走査し、約50万件の修正を自動確定、7万件を人間がレビューして確定しています。
「発見」から「修正」へ移る主戦場
注目すべきは、OpenAIが「真のボトルネックは脆弱性の発見ではなく、その修正にある」というAnthropicと同じ問題認識を明示したことです。新しいCodex Securityは脅威モデルと突き合わせて到達可能性を判定し、対象を絞ったパッチを生成・検証します。SARIFやCodeQLでの出力、他社スキャナやバグバウンティ報告のトリアージ、バッチでのパッチ自動生成にも対応し、最終承認は人間が行う設計です。
GPT-5.5-Cyberの位置づけ
GPT-5.5-Cyberは、脆弱性の再現を測るCyberGymで85.6%、エクスプロイト化を測るExploitGymで39.5%、長期的な脆弱性発見を測るSEC-bench Proで69.8%を記録し、通常版GPT-5.5(81.8%/25.95%/63.1%)やClaude Opus 4(CyberGym 73.1%)を上回ったとされます。攻撃用途への悪用を避けるため、利用は検証済みの防御側に限定。一般的な企業利用にはGPT-5.5+Trusted Access for Cyberの併用が推奨されます。
国家とOSSを巻き込む構図
パートナーにはCisco、CrowdStrike、Palo Alto Networks、IBM、Wiz、Palantir、PwC、KPMGなどが名を連ね、政府側ではJapan、Germany、France、South Korea、UK、EUのENISAなどがTrusted Access契約を結びました。さらにOSS側では、Trail of BitsやHackerOneらと組んだ「Patch the Planet」を始動。cURL、Go、Python、Sigstoreなど30以上のプロジェクトが参加し、初回5日間のスプリントで数百件の問題を洗い出し、数十件のパッチが取り込まれています。
💼 事業会社視点：これは自社にどう効くか
この発表は、SIerや受託開発、SaaSベンダーにとって「セキュリティ運用の中身が静かに置き換わる」シグナルです。日本政府もTrusted Access契約に名を連ねており、今後はCisco・CrowdStrike・IBM・Palo Alto Networksなど既存ベンダー製品の内部でGPT-5.5+Trusted Access for Cyberが回る前提で調達・運用設計を見直す必要があります。
CISO・事業責任者の打ち手は3点。第一に、社内のSAST/DASTやバグバウンティ運用を「人が直す」前提から「AIが起票・修正案・検証まで出す→人が承認」のワークフローに組み替え、人員配置と承認ルールを先に決めること。第二に、受託開発・SES主体の企業は「脆弱性修正の工数」が単価の根拠になりにくくなるため、AIパッチの品質保証や運用責任を新しい有償サービスとして商品化する必要があります。第三に、自社で使うOSSがPatch the Planetの対象(cURL、Go、Python等)に入っているなら、パッチ流入が早まる前提でアップデート検証パイプラインを増強すべきです。「AIがパッチを書く時代」に主導権を失う側は、ベンダーロックインと運用ブラックボックス化が同時に進みます。