守れるかは使うAI次第とOpenAI社長、脆弱性の実証から修正までAIが担う新製品2つ

　OpenAIは11月12日（米国時間）、WebアプリケーションをAIエージェントが試験して脆弱性を検証する「Daybreak Red Team」と、脆弱性の検出から修正までを自動化する「Daybreak Defense Factory」を発表した。同社のサイバーセキュリティ基盤「Daybreak」に加わる新製品で、同日の基調講演でグレッグ・ブロックマン社長らが説明した。Daybreak Red Teamは早期アクセスとして提供を始め、利用を希望する企業は関心登録を行う。

　Daybreak Red Teamは、複数のエージェントがソースコードとアプリの文脈情報を使い、攻撃経路を調べて脆弱性を確認する仕組み。コードスキャナーやバグ報奨金（バグバウンティ）、脆弱性の開示報告で見つかった指摘を検証し、修正の優先順位づけに使える証拠を示すという。パッチを当てたあとに同じ攻撃が通るかを試し、アプリの変更に合わせて評価を繰り返すこともできる。

　エージェントが到達できるアプリやエンドポイントは、隔離環境と「Guardian review」で制限する。評価の範囲を企業側が管理できる点を特徴に挙げている。

　一方のDaybreak Defense Factoryは、エージェントが脆弱性をコード上でたどり、パッチを作る製品だ。既存のセキュリティツールやDaybreak Red Teamの検出結果を取り込み、各問題をエージェントが調べて修正案を用意する。エンジニアはマージの前にパッチを確認してテストする。新しいコミットの走査や定期チェックも設定でき、検出と修正を継続的に回せるとしている。コーディングAI「Codex」と一緒に、パッチを調整することも可能だ。

　The Registerによると、Defense Factoryのエージェントには最新のサイバー特化モデル「GPT-6 Cyber」を使っているという。サイバー応用AIを率いるナンシー・ウォン氏は、エンジニアはパッチと、その有効性を示すテストが付いたマージ可能なプルリクエストを受け取れると説明した。

　ブロックマン氏は、企業は自社を守るために使う前線モデルの水準と、その活用の度合いに応じてしか安全になれない段階に来たと述べた。セキュリティの基本は重要だとしつつ、AIモデルにできることを前提に、セキュリティ運用を見直すべきだと訴えた。