OpenAIは2026年8月10日、信頼済みの防御側向けプログラム「Daybreak」を拡張し、一般用途モデルを使うDaybreak Blueと、より高度な脆弱性研究向けのDaybreak Redを発表しました。あわせて、GPT-5.6 Solを土台にした専用モデルGPT-5.6-CyberもDaybreak Redで提供されます。今回の変化は、単に新しいモデルが増えたという話ではありません。セキュリティチームがAIにどこまで権限を渡せるか、承認フローをどう制御するか、誰を申請対象にするかまで含めて、運用設計を見直す必要がある更新です。
結論: 何が変わったのか
今回の要点は3つです。1つ目は、通常のGPT-5.6 Solでは防御目的でも拒否されやすかった高度なサイバータスクに対して、信頼済み利用者向けの専用経路が用意されたこと。2つ目は、BlueとRedで扱える作業の深さが明確に分かれたこと。3つ目は、アクセス条件と安全策が強化され、2026年9月1日からDaybreak個人アカウントではハードウェアセキュリティキーが必須になることです。企業にとっては、PoCを始めるだけでなく、誰がどの層を使うのかを申請段階で線引きする必要が出てきました。
Daybreak BlueとRedの違い
Daybreak Blueは、多くの防御チーム向けの入口です。OpenAIの説明では、脆弱性の洗い出し、セキュアコードレビュー、マルウェア解析、インシデント対応、パッチ検証などが主な用途で、一般用途モデルであるGPT-5.6 Solに対して、防御側の正当業務に合わせたガードレール緩和が行われます。一方のDaybreak Redは、より高度な脆弱性研究、exploit validation、セキュリティテスト向けです。社内CSIRTやPSIRTが日常的に扱う検証でも、実 exploit 鎖の再現や認証回避の検証まで踏み込むならRed側の申請が前提になります。
OpenAIは内部評価としてAdvanced Cybersecurity Completion Rateを公開しており、exploit-chain開発や認証回避などの高度な依頼に対する完了率は、GPT-5.6-Cyberが95.0%、GPT-5.6 Solは通常状態で1.5%、Daybreak Blueでも2.0%、旧GPT-5.5-Cyberは57.3%でした。つまり、Blueは防御実務を止めにくくするための緩和、Redは高度研究を成立させるための専用枠と考えるのが自然です。
GPT-5.6-Cyberで強くなる作業
公式説明では、GPT-5.6-Cyberはゼロデイ探索、exploit chain開発、既知脆弱性を実行可能な形まで詰める評価で改善が見られました。実例としてOpenAIは、V8で2件の未知脆弱性を見つけ、Googleへ協調開示し、少なくとも1件はCVE-2026-15903として修正済みだと述べています。また、人気データベースで3件のcritical、モバイルOSで少なくとも5件、OSカーネルでは権限昇格につながる400件超の問題を発見したとしています。防御側が見るべき点は、モデルの派手さではなく、脆弱性の発見から報告書作成、修正確認までの一連の時間短縮です。
ただし、万能ではありません。OpenAI自身も、Vulnerability Discovery and Report Writing評価ではGPT-5.6-Cyberの報告が短くなる傾向があり、GPT-5.6 Solに劣る場面があったと明記しています。つまり、Redだから常に上位互換ではなく、調査の深掘りはCyber、説明資料や長めの報告書草案はSol寄りという使い分けが現実的です。
企業が先に決めるべき管理項目
導入前に最低限決めたいのは、誰が申請主体か、どのシステムまで評価対象に含めるか、実行時の承認モードをどう固定するか、ログをどこに残すか、の4点です。OpenAIはDaybreak利用者に対し、本人確認、アカウント保護、モニタリング、用途制限、法的表明を条件にしています。さらにCodex利用ではfull-access modeからauto-review modeへの切り替えを強く推奨しており、昇格権限が必要な操作はレビュー対象に入る設計です。既存の脆弱性診断ベンダー契約や本番環境の変更管理と衝突しないよう、BlueとRedの申請窓口をSOC任せにせず、情シス・法務・開発基盤で合意しておくのが安全です。
実務では、Blueを「広く使う防御アシスタント」、Redを「限定メンバー向けの高権限検証枠」と分けるのが導入しやすいです。たとえばBlueはSecure code review、インシデントの初動整理、パッチ差分の確認まで。Redは再現性のある検証環境での exploit 妥当性確認、PoC生成、外部公開前の再現調査までに留めると、権限設計が分かりやすくなります。
導入判断の目安
Daybreak Blueが向くのは、セキュリティ人員が限られ、既存のSASTやEDRだけでは拾いきれない設定不備やコードリスクを短時間で洗いたい組織です。Daybreak Redが向くのは、製品セキュリティ、脆弱性研究、レッドチーム、あるいは顧客環境の検証責任を持つ組織です。逆に、評価対象や法的責任範囲が曖昧なまま『とりあえず高度なモデルを試す』運用は危険です。9月1日から個人アカウントでハードウェアキー必須になるため、申請だけ先に通して放置するやり方も避けた方がよいでしょう。
自社のSOC、PSIRT、開発基盤に合わせてBlue/Redの申請線引きや承認モード設計を整理したい場合は、 導入相談はこちら 。PoC設計から運用ガードレール作成まで一緒に整理できます。
