今週、世界最大のAIスタートアップであるOpenAIは、サイバー機能に最適化されたGPT-5.4のファインチューニング版「GPT-5.4-Cyber」を発表した。同社はまた、重要なソフトウェアの防衛を担当する検証済みの防衛担当者やチームを対象とした「Trusted Access for Cyber（TAC）」プログラムを数千規模に拡大すると発表した。
OpenAIの発表ブログ記事によると、TACプログラムは拡大され、サイバーセキュリティ防衛担当者として認証を受けたユーザーにGPT-5.4-Cyberへのアクセスを提供する。同社は、新モデルにアクセスできる人物を管理するために、本人確認とKYC（顧客確認）管理を使用する計画だ。
「これは、正当なサイバーセキュリティ業務に対する拒否境界を下げ、バイナリリバースエンジニアリング機能を含む高度な防御ワークフローの新機能を可能にするGPT-5.4のバージョンです。この機能により、セキュリティ専門家はソースコードにアクセスすることなく、コンパイルされたソフトウェアをマルウェアの可能性、脆弱性、セキュリティの堅牢性について分析できます」と発表ブログ記事は述べている。
この発表は、AnthropicがClaude Mythos Previewと、重要インフラの潜在的な脆弱性を特定するために選ばれた組織に同スタートアップの強力な新モデルへのアクセスを提供するイニシアチブ「Project Glasswing」を発表してからわずか1週間後のことだ。
GPT-5.4-Cyberについて現時点で判明していること
Mythos Previewとは異なり、GPT-5.4-Cyberはその機能に関する情報がほとんどない状態でローンチされた。AnthropicがMythosの自律的攻撃を実行し数千の脆弱性を発見する能力を詳述したのに対し、OpenAIは新モデルがGPT-5.4よりもサイバー許容性が高いこと以外、その機能についてあまり語っていない。
このモデルが組織に新たな防御機能を提供するのか、それともMythosへの対応としてのPRリリースと言えるのかについては、重要な疑問が残る。
Info-Tech Research Groupのシニアビジネスアナリストであるトーマス・ランドール氏は、ビデオ通話で筆者に「OpenAIの発表に対する私の第一印象は、先週のMythosのメディアイベントに対してやや反応的だということです」と語った。ランドール氏にとって、まだ早い段階ではあるが、Anthropic側により防御的な可能性があるように見える一方、5.4-CyberとTACの発表は、より強力なモデルへのアクセス方法の定義に焦点を当てているように見えるという。
OpenAIはリリースについて即座にコメントしなかったが、同社の広報担当者は筆者にフォローアップ記事をメールで共有し、米国AI標準・イノベーションセンター（CAISA）と英国AIセキュリティ研究所（UK AISI）にGPT-5.4-Cyberへのアクセスを提供し、モデルのサイバー機能と保護措置に関する評価を実施できるようにしたと述べた。
同社はまた、バンク・オブ・アメリカ、ブラックロック、BNY、シティ、シスコ、クラウドストライク、ゴールドマン・サックス、iVerify、JPモルガン・チェース、モルガン・スタンレー、エヌビディア、オラクル、SpecterOps、Zscalerなど、信頼されたアクセスプログラムに登録した企業の一部を共有した。
「重要なポイントは、サイバーセキュリティがこれらのフロンティアモデル間の新たな差別化要因になる可能性があるということかもしれません」とランドール氏は2番目のブログ記事のリリース前に述べた。「しかし現時点では、Anthropicの方がもう少し地に足がついているという証拠が多いです」
ランドール氏はまた、OpenAIがTACプログラムをProject Glasswingよりも幅広い個人や組織に開放する決定も、これがPR主導のモデルリリースであることを示す指標として受け取られると指摘している。
GPT-5.4-Cyberが重要な理由
現時点では、GPT-5.4-CyberもClaude Mythosも一般リリースされていないが、近い将来、同様のモデルが登場する可能性が高い。結局のところ、AnthropicとOpenAIは企業価値評価を正当化するために新リリースを提供するという途方もないプレッシャーに直面しているだけでなく、他のベンダーが同等の機能を開発する見込みもある。
これら2つの限定リリースは、フロンティアAIモデルが今後、攻撃的および防御的オペレーションにおいてより大きな役割を果たすことを示している。例えば、Anthropicが脆弱性発見におけるMythosの潜在的な攻撃能力を強調したのに対し、OpenAIはGPT-5.4-Cyberを組織向けの防御ツールとして提示することを選択した。
「GPT-5.4-Cyberは、AI主導の脆弱性発見がいかに急速に成熟しているかを反映しています。注目すべきは、これらのモデルが問題を発見できるということだけでなく、より一貫して、より少ない人的労力でそれを行っているということです」と、セキュリティ自動化プロバイダーTaniumのセキュリティ・製品設計研究担当シニアディレクターであるメリッサ・ビショッピング氏はメールで筆者に語った。
「最大の影響はスピードと規模です。私たちがセキュリティで何年もプレイしてきたイタチごっこは、今や増幅された規模で動いているだけです」とビショッピング氏は述べた。「モデルが脆弱性の特定に優れるにつれて、発見と悪用の間の時間は縮小し続けています。これにより、組織は継続的な検証とリアルタイム対応に向かうプレッシャーを受けています。オープンウェイトモデルがエコシステムに登場すれば、そのプレッシャーは増大するでしょう」とビショッピング氏は述べた。
セキュア・バイ・デザインへの道
新たな脅威をもたらすだけでなく、これらのモデルは改善を続けるにつれて防御オペレーションを変革する可能性を秘めている。「このモデルはセキュリティ関連のタスクにおいてはるかに優れています。そして『はるかに』と言いましたが、実際にはそれほどではありません。10〜15%程度優れているように見えます。少なくとも、それが私がMythosで見たものです」と、Contrast SecurityのファウンダーでCTOのジェフ・ウィリアムズ氏は、GPT-5.4-Cyberに関するビデオインタビューで筆者に語った。
ウィリアムズ氏は2つのモデル間に実質的な違いはないと考えているが、短期的には脆弱性の過剰供給が見られると予想している。とはいえ、彼はこれらのツールが長期的にサイバーセキュリティを再定義する能力について楽観的だ。
「これらのモデルは、明日のセキュリティを実現する鍵となるはずです。しかし、今のところ彼らはそのように売り込んでいません。そして、それが危険だと思います。人々はこれらを『おお、脆弱性を見つけて悪用するために使うんだ』というように見ていますが、それは昨日のセキュリティです。そして私は、これらのモデルを使って実際に業界を変え、物事をより安全にするために何かができると楽観しています」とウィリアムズ氏は述べた。
ウィリアムズ氏にとって、明日のセキュリティとはセキュア・バイ・デザインだ。彼は、防衛担当者が脆弱性スキャンから、AIを使用した脆弱性の修復へと進み、最終的にはこれらの脆弱性がそもそもコードに入り込むのを防ぐセキュリティアーキテクチャと設計の実装へと進むと示唆している。
いずれにせよ、AnthropicとOpenAIの両社が外部研究者からの支援を募っているという事実は、このテクノロジーを最大限に活用するには業界全体の取り組みが必要であるという認識の表れだ。それはツールを開発するだけの問題ではなく、防衛担当者がそれらを効果的に使用する方法を学ぶのを支援することでもある。
