OpenAIが最強モデルを逆手に取って自社を守る

AIエージェント群が散在する弱点を貫通経路に縫合する

Greg BrockmanはOpenAIとHugging Faceのセキュリティ事件を、ネットワークセキュリティ史の分岐点と位置づけた。攻撃者はもはや単一地点の突破に頼るのではなく、AIエージェントで散在する弱点を、本番環境に侵入できる一本の経路に縫い合わせる。

この事件では、エージェント群（agentic collective）が自律的にOpenAIの研究インフラに侵入し、別の会社の本番環境も連鎖的に陥落させた。使用された武器は珍しくないものだった。未公開のソフトウェア脆弱性と、すでにインターネット上に漏洩していたアカウント認証情報が、攻撃チェーンとして一つずつ連結された。

Brockmanはこう書いている。「すべての会社の技術的負債（システムの老朽化、設定の不備、期限切れの権限など、積み残された"つけ"）には大量の欠陥が潜んでおり、防御側は攻撃側より先にそれを見つけ出さなければならない。」

この事件はOpenAIの自社モデルに対する脅威度評価を直接書き換えた。Brockmanは、チームが実際のサイバー攻撃におけるモデルの能力を大きく過小評価していたことを認め、それを理由にセキュリティ要件を強化した。OpenAIは年初からネットワーク攻防能力を「信頼できる防御側」にのみ開放しているが、同時に外部ベンダーが数か月以内に追いつくと警告している。ある社のオープウェイトモデルが8月末にリリース予定であり、「脅威面を加速させる可能性が極めて高い」とされる。攻防のタイムラインは全体的に大きく前倒しされた。

同じ刃を、どう自社の防壁に据えるか

攻防双方が使うのは同じモデルで、差が残り数か月。OpenAIの賭けは、AIによって防御の人的コストを攻撃側が追いつけないレベルまで圧縮できるかどうかだ。

OpenAIは今年からネットワーク能力を防御側のみに開放している。最先端モデルが今日できる自動化作戦は、数か月後にはローカルにダウンロードした誰でもが可能になる。

防御側はどう応じるか。同じモデルを4つの工程に組み込む。1つ目はCodex上で動作する。コード変更はまずモデルを通過し、脆弱性はマージ前にブロックされ、修正パスが開発者に通知される。

2つ目は警告監視だ。OpenAIのほぼすべての初期セキュリティ警告は、まずモデルがトリアージし、その後人間が対応する。3つ目は継続的なレッドチーム走査だ。モデル自身が列挙・偵察・攻撃経路の可視化を行い、脆弱性、不整合、過大な権限、本来存在すべきでない信頼境界を発見し、攻撃者より先に封じ込める。

4つ目はより静かだ。モデルに数学的証明を生成させ、ソフトウェアセキュリティを形式的に検証する——数学的手法によって、あるコードにある種の脆弱性が存在しないことを厳密に証明する。人間はこれをとうに諦めていたが、モデルはまさに得意とする。OpenAIはまた、「超人的な安全性」を備えたコードを書けるようモデルを訓練しており、攻撃コストを根本から引き上げようとしている。

Brockmanの賭けは、攻防の経済学を逆転させることだ。脆弱性の発見・トリアージ・修正の人的コストがモデルによって圧縮されれば、防御側の限界費用が攻撃側より先にゼロに近づく。前提として、企業がまず権限・パッチ・設定といった基本的な衛生管理を整備し、その上でAIに残りの仕事を任せる必要がある。

15分で13件の落とし穴を発掘、モデル自身がボタンをクリックして修正完了

OpenAI共同創業者Greg BrockmanはChatGPT Work（GPT-5.6 Sol公開版）で自分の個人サイトをスキャンし、15分で13件の問題を発見した。自分を「多少わかるが正しい設定を覚えていない」と称し、モデルが補ったのはまさにその距離だ。

問題リストは派手ではない。DNSに他人がドメインを偽ってメールを送るのを防ぐレコードが設定されていない。jQueryは旧バージョンのままで、修正されていない脆弱性が山ほど残っている。CloudflareからAWSへのリクエストが平文HTTPで流れる——中間者がページを改ざんしCookieを盗むのも容易い。単体では致命的ではないが、Brockmanの判断は「これらが連鎖的に利用される光景が想像できる」。

続く1時間で、モデルはブラウザ内でCloudflareコンソールを操作し、ボタンを押し切った。DNS変更、TLS有効化、jQueryの完全削除、サイトをAWSからCloudflare Pagesへ移行、ドメインへのDMARCの段階的有効化（（メール偽造防止プロトコル。他人があなたのドメインになりすまして送信するのを防ぐ仕組み））。Brockmanは率直に言う。「これらの設定が必要なのは何となく知っているが、具体的にどう設定すべきかは覚えていない。」

背景と照らし合わせるとさらに刺さる。OpenAI-Hugging Face事件で攻撃側が用いたのも、「古い設定＋既知の脆弱性＋ネット上に漏洩した認証情報」を一本の経路に連結する手口だった。こうした穴を見つけられるAIを攻撃者が手にするのは、6月末にオープンソース版がリリースされる予定だ。Brockman自身のプロジェクトは、まず同じ刃を自社の防壁で試したに過ぎない。

同じ武器を、防御側が先に撃ち方を学ぶ

OpenAIが見せつけたものの核心は技術の誇示ではなく、一つの事実の承認だ。攻撃者と防御者が使うのは同じツールであり、自らの防壁を先に完成させた者がその時間差を手中にする。

OpenAIは自社に4つの防線を構築した。Codexによるコード検証で脆弱性をマージリクエスト前に塞ぎ、セキュリティ警告はまず最先端モデルを通過してから人間の当番に回され、モデルが継続的に内部システムの攻撃経路を列挙して過剰権限や信頼境界の不整合を掘り起こし、ネットワーク分離・最小権限・多層防御といった基礎を固める。

Brockmanが同業者に示す4ステップも率直だ。まず組織のコミットメントと予算を確保し、セキュリティチームにCodexまたは同等のエージェント（複数ステップの操作を自律的に実行できるAIアシスタント）を1体配備し、コミュニティのスキル（skills、モデルから呼び出せるワークフロープラグイン）で武装してセキュリティ専門家化させ、最後に最も優先度の高いシステムから展開を始める。全社一斉ではなく、そこから着手する。

この出来事が指し示すトレンドは一言に尽きる。AI攻防は時間との競争であり、技術の有無の問題ではない。Brockmanは個人サイトgregbrockman.comで実測した——Cloudflare前段、AWS後段の静的サイトに、GPT-5.6 Solは15分で13件の問題を掘り出した。DNSのメール偽造対策、暗号化されていないHTTP、旧バージョンjQueryまで。修正にはさらに1時間かかった。単体ではどれも致命的ではないが、連鎖させれば十分厄介だ。

今後は2点を見るべきだ。OpenAIが言及した「8月末リリース予定の新オープンソースモデル」がサイバー攻撃の门槛をさらに下げるか——Brockmanは明確にそう書いており、脅威面を加速させると述べている。もう1点は、他業界がいつからセキュリティチームへのAgent配備を本格化するか。試験運用ではなく、予算と評価指標に組み込まれた形での導入だ。

判断が裏付けられる兆候：主要テック企業の公開レポートに「AI処理した警告の割合」と「平均応答時間」という2つの指標の継続的な数字が現れること。判断が覆る兆候：またしても多くの企業がAIセキュリティをデモ段階で止め、本番警告パイプラインに組み込まないこと。

公式リストを待たず、自分で先にできること

OpenAIのブログ記事にはそのまま転用できる読者向け行動リストはなかった。手がけられるのは、Greg本人の15分間サイトスキャン体験に集中している。残りは、公式の公開を待つ価値があるもの、あるいは一つの違いをまず明確にしておくべきものだ。

まず彼が行った手順を再現しよう。あなた自身のサイト、個人ドメイン、インターネットに公開している資産をChatGPT Work（彼が使ったのは公開版GPT‑5.6 Sol）に投入してセキュリティ健康診断を実施する。

彼の例は具体的だ。15分で13件の問題を洗い出した。DNSのメール偽造対策未設定、旧バージョンjQueryの使用、CloudflareからAWS間の平文HTTPなどだ。単体では致命的でない問題も多いが、攻撃者はこれらを連鎖させて利用することを好む。

修正も同じツールで行う。Cloudflareコンソールでボタンを押す、jQueryを削除する、Cloudflare Pagesへ移行する、DMARCを段階的に有効化する（受信側がメールの真偽を検証できるようにする偽造防止プロトコル）。一連の作業は約1時間で完了する。

もう一層深く彼の言葉を読もう。「これは単なる個人サイトだ」。この一言で、読者はより大きな現実に引き戻される。あなたが管理しているのが会社であろうと個人サイトであろうと、同じプロセスで掘り出される「ロングテール的な問題」は増える一方だ。Greg本人も、「設定が要ることくらいは知っている」と認めているが、現場で正しく設定するにはツールに頼るしかない。この層を認めることが重要だ。彼は自分がセキュリティに詳しいとは言わず、判断をモデルに外注したと言っている。

では企業レベルはどうなのか。情報源として提供されているのはOpenAI自身の取り組みであり、転用可能なリストではない。Codex＋セキュリティプラグインでマージ前にコード検証、警告をまずモデル経由にしてから人間へ、最先端モデルで自社攻撃面を能動的に列挙、数学証明レベルの能力でソフトウェアセキュリティを形式検証。これらはすべてOpenAI内部で実施されていることであり、APIも、ダウンロードリンクも、「中小企業版」もない。

したがって今できるのは、「待つ間に手足を動かしておく」ことだ。OpenAIがこの4本柱のいずれかを呼び出し可能なツールとして公開するか注視しつつ、Gregの15分実験を思考実験として扱う。あなたがインターネットに最も露出させている資産の小さな一片を、今すぐ公開版モデルでスキャンさせて、何が出てくるか確認する。会社を管理している場合でも、まず個人プロジェクトで練習し、「スキャン→修正」のリズムを体感しておけば、企業向けツールが本当に公開されたとき、少なくとも受け止め方はわかる。