室谷代表取締役OpenAIが発表したサイバーセキュリティ向けの自律型パイプラインが、Linuxカーネルの脆弱性発見から悪用実証、パッチ生成までを一気通貫で実行したという話なんですよね。これ、単なる研究デモじゃなくて、実際に948件のローカル権限昇格エクスプロイトを生成したという成果まで出ているのがポイントです。
テキトー教師DotAI 認定講師そうなんですよ。OpenAIのセキュリティ研究チームが構築したパイプラインで、2026年10月中旬に実行されたキャンペーンの結果が11月4日に公開されました。
Linuxカーネルという、Androidやクラウド基盤、スーパーコンピュータまで支える4,000万行超のコードベースを対象にしています。
Linuxカーネルという、Androidやクラウド基盤、スーパーコンピュータまで支える4,000万行超のコードベースを対象にしています。
室谷代表取締役4,000万行ですからね。人間の研究者が全部目を通すのは物理的に無理ですし、そもそも発見した候補をどうトリアージするかがボトルネックだったと。
OpenAIも「発見のスケール化は進んでいるが、優先順位付けと検証が運用上の課題」と書いています。
OpenAIも「発見のスケール化は進んでいるが、優先順位付けと検証が運用上の課題」と書いています。
テキトー教師DotAI 認定講師まさにそこを自動化したのが今回のパイプラインです。候補2,308件を抽出し、そのうち1,724件を動的に再現、最終的に948件のローカル権限昇格エクスプロイトを生成しました。
情報漏洩のPoCも291件出ています。
情報漏洩のPoCも291件出ています。
室谷代表取締役数字だけ見ると圧倒的ですけど、重要なのは「人間の研究者がレビューしてからメンテナに報告する」というフローを守っている点ですよね。AIが勝手にパッチを送りつけるのではなく、人間が最終判断する設計になっている。
OpenAIの自律型セキュリティパイプラインとは？何をどこまで自動化したのか
OpenAI自律型セキュリティパイプラインの5段階
- 01発見Scoutエージェントが低権限ユーザーから到達可能で重要なコード領域を絞り込み、Analystエージェントが候補を静的スキャン
- 02動的検証隔離VM上で候補を再現し、実行時証拠を保存
- 03悪用可能性評価情報漏洩やローカル権限昇格（LPE）が可能かを試験
- 04パッチ生成特定した脆弱性に対する修正案を生成
- 05人間レビューセキュリティ研究者がエクスプロイト・パッチ・深刻度を確認してから報告
テキトー教師DotAI 認定講師まず全体像を整理しましょう。このパイプラインは5段階で構成されています。
室谷代表取締役整理するとこうです。
- 発見: Scoutエージェントが低権限ユーザーから到達可能でセキュリティ上重要なコード領域を絞り込み、Analystエージェントが候補を静的スキャン
- 動的検証: 隔離VM上で候補を再現し、実行時証拠を保存
- 悪用可能性評価: 情報漏洩やローカル権限昇格（LPE）が可能かを試験
- パッチ生成: 特定した脆弱性に対する修正案を生成
- 人間レビュー: セキュリティ研究者がエクスプロイト・パッチ・深刻度を確認してから報告
テキトー教師DotAI 認定講師中核には「今後のサイバー向けモデル（upcoming cyber model）」が使われています。成果物として根本原因分析、最小クラッシュPoC、候補パッチ、完全なエクスプロイトがセットで出力されるので、人間の研究者は深刻度判断とアップストリーム作業に集中できるわけです。
室谷代表取締役ここで面白いのが、Scoutエージェントの仕事ですよ。Linuxカーネル全体の約7%にあたる2.8百万行、5,034件の監査対象を特定したと。
これだけでAPI費用は3,426ドル。全体をスキャンするよりコストを大幅に抑えている。
これだけでAPI費用は3,426ドル。全体をスキャンするよりコストを大幅に抑えている。
テキトー教師DotAI 認定講師その後のAnalystエージェントが12時間で2,308件の候補を出し、費用は316,549ドル。検証段階では30時間で1,724件を再現し、再現率は約74.7%でした。
室谷代表取締役74.7%という再現率はかなり高いですよね。静的解析だけだと誤検知が多いのは業界の常識ですけど、OpenAIも「分析エージェントの精度とトリアージエージェントの有効性に感銘を受けた」とコメントしています。
誤った分析は3.1%だけだったと。
誤った分析は3.1%だけだったと。
テキトー教師DotAI 認定講師ただし、残りの候補は特権が必要だったり、競合状態や特定のトリガー条件で時間内に再現できなかったものが多い。つまり「再現できなかった＝脆弱性じゃない」ではなく、検証の難しさが残る部分でもあります。
948件の権限昇格エクスプロイト——今回の実行で判明した数字と成果
948件のLPEエクスプロイト——標準環境とkernelCTF適応版の成果
標準Linuxデスクトップ構成
- 948件のLPEエクスプロイトを生成
- 一般ユーザーがroot権限を奪える実証コード
- SMEP/SMAP/KASLR/HARDENED_USERCOPY有効下で動作
- 保護を無効にしないと成立しない甘い評価ではない
- Pwn2Own/TyphoonPWNと同じ脅威モデル
- 弱体化させたターゲットではない
kernelCTF適応版
- 25件の情報漏洩PoCを取得
- 21件のLPEエクスプロイトを取得
- 攻撃面を減らしたカーネルでの結果
- 2026年にkernelCTFが受理した確認済み0-day LPEは26件
- 1回のキャンペーンで21件という数字の重み
室谷代表取締役ここで改めて数字を整理したいんですけど、948件のLPEエクスプロイトというのは、要するに一般ユーザーがroot権限を奪える実証コードが948通り生成されたということです。
テキトー教師DotAI 認定講師しかもこれ、標準的なLinuxデスクトップ構成で、SMEP、SMAP、KASLR、HARDENED_USERCOPYといった保護機能が有効な状態で動作したとされています。つまり「保護を無効にしないと成立しない」ような甘い評価ではないわけです。
室谷代表取締役そこは重要ですよね。Pwn2OwnやTyphoonPWNと同じ脅威モデルで、あえて弱体化させたターゲットではないと明記されています。
テキトー教師DotAI 認定講師ちなみに適応版のkernelCTF環境でも、25件の情報漏洩PoCと21件のLPEエクスプロイトを取得しています。こちらは攻撃面を減らしたカーネルでの結果ですが、執筆時点で2026年にkernelCTFが受理した確認済み0-day LPEが26件であることと比較すると、21件という数字の重みが分かります。
室谷代表取締役あくまで比較の話ですけど、1回のキャンペーンで21件ですからね。campaignのAPI費用は約32,936ドルで、もし21件が受理されれば約150万ドルの報奨金相当、スキャン費用の約45倍になると。
テキトー教師DotAI 認定講師ただしこれは「受理されれば」の話であって、実際に受理されたわけではありません。そこは誤解しないようにしたいですね。
脆弱性発見からパッチ生成までの5段階ワークフローを解説
脆弱性発見からパッチ生成までの5段階ワークフロー
- 01Scoutエージェント「低権限ユーザーから到達可能か」「セキュリティ上重要か」の2軸で監査対象を絞り込む
- 02Analystエージェントコードを読んで動作を理解し、脅威モデルを特定して脆弱性を探索。2,308件の候補を検出
- 03検証KASAN有効の隔離VM上でPoCを生成・実行し、プログラム出力とシステムコンソールを観察しながら再現まで反復
- 04悪用可能性評価スクリーニングエージェントが意図的に寛容にフィルタリングし、情報漏洩候補313件・LPE候補1,238件に絞り込み。ExploitDevエージェントがエクスプロイトを開発（成功時の平均開発費用359ドル）
- 05パッチ生成バリアント分析を行い948件の異なるパッチを開発。人間の研究者がレビューしてメンテナに報告
室谷代表取締役このパイプラインの5段階をもう少し深掘りしたいんですけど、まずScoutエージェントは「低権限ユーザーから到達可能か」と「セキュリティ上重要か」の2軸で監査対象を絞り込む。
テキトー教師DotAI 認定講師次にAnalystエージェントが、Codex Securityプラグインに似たワークフローで各監査対象を分析します。コードを読んで動作を理解し、脅威モデルを特定し、脆弱性を探す。
この段階で2,308件の候補が出るわけです。
この段階で2,308件の候補が出るわけです。
室谷代表取締役検証段階では、KASAN（Kernel Address Sanitizer）を有効にした隔離VM上でPoCを生成・実行し、プログラム出力とシステムコンソールの両方を観察しながら再現するまで反復する。
テキトー教師DotAI 認定講師悪用可能性評価では、まずスクリーニングエージェントが意図的に寛容にフィルタリングして、深刻な候補を捨てないようにする。その結果、情報漏洩候補313件、LPE候補1,238件に絞られ、ExploitDevエージェントが実際にエクスプロイトを開発する。
室谷代表取締役ここで成功したエクスプロイトの平均開発費用は359ドル。これは安いですよね。
防御側が「この脆弱性は実際に悪用可能か」をテストするコストとしてはかなり現実的です。
防御側が「この脆弱性は実際に悪用可能か」をテストするコストとしてはかなり現実的です。
テキトー教師DotAI 認定講師パッチ生成段階では、バリアント分析を行って948件の異なるパッチを開発しています。この948という数字が、ユニークなLPEの数として使われているわけです。
室谷代表取締役そして最後に人間の研究者がレビューして、メンテナに報告する。OpenAIはLinuxカーネルコミュニティのガイダンスに従って、まず重大な脆弱性から始めていると説明しています。
テキトー教師DotAI 認定講師この「人間を介す」設計は、Patch the Planetの理念とも一致します。AIが発見を加速する一方で、発見だけではユーザーを守れない。
メンテナの負担を増やさない仕組みが必要だという考え方です。
メンテナの負担を増やさない仕組みが必要だという考え方です。
室谷代表取締役Patch the Planet自体は2026年6月にTrail of Bitsと組んで開始された取り組みで、cURL、Python、Go、Sigstoreなどが初期参加しています。今回のパイプラインはその拡張なんですよね。
詳しくはChatGPT o3（OpenAI o3）完全ガイドでもOpenAIのモデル活用の流れを解説していますが、セキュリティ領域は別格の進化を遂げています。
詳しくはChatGPT o3（OpenAI o3）完全ガイドでもOpenAIのモデル活用の流れを解説していますが、セキュリティ領域は別格の進化を遂げています。
API費用121万ドルは高いのか安いのか——報奨金換算1,890万〜6,630万ドルとの比較
室谷代表取締役ここが一番議論を呼ぶところだと思うんですけど、今回のフル実行のAPI費用は121万3,430ドル。LPE1件あたり約1,279ドルです。
テキトー教師DotAI 認定講師これに対して、Pwn2OwnとTyphoonPWNの歴史的な報奨金額を当てはめると、LinuxカーネルのLPEエクスプロイトにはそれぞれ2万ドルと7万ドルの報奨金が設定されていたと。948件に当てはめると1,890万〜6,630万ドル相当、パイプライン費用の約16倍から55倍になるとOpenAIは試算しています。
室谷代表取締役もちろんこれは仮想的な評価額であって、実際に報奨金が支払われたわけではありません。ただ、防御側のコスト効率を考える材料としては面白い数字です。
テキトー教師DotAI 認定講師OpenAI自身も「この研究は方法論とモデル能力の測定に焦点を当てており、コストではない」と注記しています。十分なハーネスエンジニアリングで各段階のコストは大幅に削減できる見込みで、報告されている費用はむしろ上限に近いと。
室谷代表取締役あと興味深いのが、検証段階のコスト構造です。真陽性の検証と偽陽性の検証にかかるコストがほぼ同じなので、パイプラインの早い段階で偽陽性を除去することがコスト効率に大きく効くと。
これは実務的にも重要な示唆ですよね。
これは実務的にも重要な示唆ですよね。
テキトー教師DotAI 認定講師実際、スクリーニングエージェントの費用は44,194ドル、悪用可能性評価のうち情報漏洩候補の処理が84,929ドル、LPEが691,000ドル。LPEのエクスプロイト開発が全体のコストの大部分を占めていることが分かります。
室谷代表取締役MYUUUでもAIを使ったコードレビューはやっていますけど、ここまで大規模な自律パイプラインを回すには、それなりの予算と体制が必要です。中小企業がそのまま真似できる規模ではないですけど、考え方としては参考になります。
AIが新たな悪用手法を10件以上発見した意味と防御側への示唆
室谷代表取締役今回の発表で個人的に一番ゾッとしたのが、エージェントが少なくとも10件の新規Linux悪用手法を発見・使用したという点です。
テキトー教師DotAI 認定講師OpenAIも「我々の知る限り、相談したすべての専門家の知る限り、これらは新規である」と述べています。これはフロンティアLLMが既知の手法を適用するだけでなく、新しい悪用アプローチを発見しパッチを当てられる可能性を示唆しています。
室谷代表取締役防御側にとっては諸刃の剣ですよね。AIが新手法を見つけられるということは、攻撃者も同じことができる可能性がある。
だからこそOpenAIは「防御側が積極的にソフトウェアを分析し、サイバー攻撃をコスト的に割に合わなくするべきだ」と主張しています。
だからこそOpenAIは「防御側が積極的にソフトウェアを分析し、サイバー攻撃をコスト的に割に合わなくするべきだ」と主張しています。
テキトー教師DotAI 認定講師また、OpenAIは「近い将来、特定のソフトウェアに脆弱性があれば、フロンティアモデルが発見できる可能性が高く、開示されればより能力の低いモデルでもエクスプロイトを開発できるかもしれない」と警告しています。
室谷代表取締役だからこそ「未知の脆弱性がない世界」に向けて、OSやブラウザ、画像パーサ、TCP/IPスタックといったコアソフトウェアの高保証化が重要になると。デフォルトで安全なコードを書くモデルの訓練、不要な機能を削って攻撃面を減らすこと、形式検証が有望な研究方向として挙げられています。
テキトー教師DotAI 認定講師実務的な提言も面白いですよ。「近い中期的には、最新パッチが当たっていないOSの低権限アカウントへのアクセスは、リソースのある攻撃者にとっては実質rootアクセスと同等と考えるべき」と。
FirecrackerやgVisorのようなサンドボックスと分離で被害範囲を限定することが重要だと。
FirecrackerやgVisorのようなサンドボックスと分離で被害範囲を限定することが重要だと。
室谷代表取締役これはセキュリティ運用の常識をアップデートする話ですよね。これまでは「低権限ならまあ大丈夫」という感覚があったかもしれないですけど、AIが権限昇格を次々に見つける時代には通用しない。
テキトー教師DotAI 認定講師また、スキャン実行中の10日間で100件以上のLinux LPEがパッチされたかステージングパッチが出て、約300件が公開議論中だったと。コミュニティも急速に動いているわけです。
室谷代表取締役モデル能力の進化も示されています。10月中旬の新しいサイバーモデルを使った分析パイプラインは、7月のGPT-5.6 Solの実行と比べて5倍以上の新規LPEを発見したと。
3ヶ月間のハードニングがあったにもかかわらずです。
3ヶ月間のハードニングがあったにもかかわらずです。
テキトー教師DotAI 認定講師大規模で複雑なソフトウェアプロジェクトは、潜在バグを「底を打つ」まで複数回のスキャンと修正が必要だと。理想的にはフロンティアモデルの各世代ごとにこのプロセスを繰り返すべきだと述べています。
プロプライエタリでもオープンソースでも同じです。
プロプライエタリでもオープンソースでも同じです。
室谷代表取締役パッチ生成も反復で改善するという指摘もありました。人間の専門家が導く反復があれば、AI生成パッチは機能的に正しく、既存のコーディングスタイルに沿い、攻撃バリアントに対して堅牢になり得ると。
これは今後の研究方向として重要です。
これは今後の研究方向として重要です。
OpenAIのサイバーセキュリティ向けモデルはどう入手・利用できるのか
室谷代表取締役で、ここが読者の皆さんが一番気になるところだと思うんですけど、このサイバー向けモデルやパイプラインはどうやって使うのか。
テキトー教師DotAI 認定講師今回のパイプラインの中核は「今後のサイバー向けモデル（upcoming cyber model）」とされており、現時点で一般提供されているものではありません。具体的な提供時期やアクセス条件は現時点では明らかにされていません。
室谷代表取締役一方で、OpenAIはCodex Securityプラグインを提供しています。これはCodexにプラグインとして追加して、プロジェクトフォルダを選んでスキャンプロンプトを送るだけで使えるものです。
テキトー教師DotAI 認定講師Codex Securityプラグインの使い方はシンプルです。Codexをインストールし、プラグインを追加して「Try in chat」をクリック、プロジェクトフォルダを選んでスキャンプロンプトを送信する。
Desktop Codexならガイド付きのフロー、Codex CLIならコマンド一発でスキャンできます。
Desktop Codexならガイド付きのフロー、Codex CLIならコマンド一発でスキャンできます。
室谷代表取締役Patch the Planetに参加しているプロジェクトは、ChatGPT Proへのアクセス、Codex Securityへの条件付きアクセス、APIクレジットの提供を受けられるとされています。メンテナは申請して参加できると。
テキトー教師DotAI 認定講師また、OpenAIはTrail of Bits、HackerOne、Califと提携して、脆弱性のトリアージや調整された開示、追加の脆弱性発見に取り組んでいます。重要インフラ事業者などが直接支援を受けられるかどうかは、現時点では明らかにされていません。
室谷代表取締役企業が自社システムのセキュリティ評価にこうしたAIを使いたい場合、まずはCodex Securityプラグインから始めるのが現実的でしょうね。大規模な自律パイプラインはまだ研究段階ですけど、方向性は明確です。
テキトー教師DotAI 認定講師なお、OpenAIのサイバーセキュリティ関連の取り組みはDaybreakという枠組みで進められており、Daybreak RedがAWS GovCloudで利用可能になったという発表も同日に出ています。政府機関向けの展開も進んでいるようです。
室谷代表取締役セキュリティ特化モデルの競合比較については、今回のソースでは他社製品との具体的な比較には触れられていません。あくまでOpenAIの取り組みとして読むのが正確です。
よくある質問
室谷代表取締役ここからは、よくある質問に答える形で整理していきます。
テキトー教師DotAI 認定講師まず「OpenAIのサイバーセキュリティAIは何ができるのか」ですが、脆弱性の発見、隔離環境での動的再現、悪用可能性の評価、パッチの生成、そして人間によるレビューまでを一連のパイプラインとして実行できます。Linuxカーネルでは948件のLPEエクスプロイトと291件の情報漏洩PoCを生成しました。
室谷代表取締役「一般の開発者や企業は使えるのか」については、中核のサイバー向けモデルは現時点で一般提供されていません。ただしCodex Securityプラグインは利用可能で、Patch the Planet参加プロジェクトには追加のリソースが提供されます。
テキトー教師DotAI 認定講師「料金はどれくらいか」ですが、今回のフル実行はAPIクレジットで121万3,430ドル、LPE1件あたり約1,279ドルと報告されています。ただしこれは研究用の大規模実行の数字で、通常のCodex Securityプラグイン利用の料金体系とは異なります。
室谷代表取締役「日本で使えるのか」については、今回のソースでは明らかにされていません。Codex Securityプラグインの提供地域についても、公式ドキュメントのSupported countriesを確認する必要があります。
テキトー教師DotAI 認定講師「悪用されないか心配」という点については、OpenAIは人間の研究者によるレビューを必ず挟み、メンテナへの報告と修正提案という形を取っています。また、防御側が脆弱性を事前に見つけて修正することで、攻撃者のコストを上げるという設計思想です。
室谷代表取締役「どんな脆弱性が見つかったのか」については、ローカル権限昇格が948件、情報漏洩が291件のPoCとして実証されています。具体的なCVE番号や個別の脆弱性名は、調整された開示の進行に合わせて今後公開される予定です。
テキトー教師DotAI 認定講師「AIが生成したパッチは信頼できるのか」については、OpenAIは人間の専門家による反復指導があれば、機能的に正しく、コーディングスタイルに沿い、攻撃バリアントに堅牢になり得ると述べています。ただしこれは今後の研究課題でもあります。
室谷代表取締役最後に「なぜLinuxカーネルが対象なのか」ですが、Android、クラウド、スーパーコンピュータなど数十億人が使うシステムの基盤であり、4,000万行超のコードと広い攻撃面を持つため、フロンティアモデルがこの規模と重要性のコードベースでどれだけ有効に脆弱性を見つけられるかを研究する対象として選ばれたと説明されています。
テキトー教師DotAI 認定講師今回の発表は、AIがセキュリティ研究のあり方を根本から変えつつあることを示しています。防御側にとっては、AIを活用した継続的な脆弱性発見と修正が、もはや選択肢ではなく必須になりつつあるのかもしれません。
室谷代表取締役そうですね。AIが攻撃側にも防御側にも使える技術だからこそ、防御側が先に動いて攻撃を割に合わなくする。
OpenAIのこの姿勢は、今後のソフトウェアセキュリティの方向性を考える上で非常に示唆に富んでいます。
OpenAIのこの姿勢は、今後のソフトウェアセキュリティの方向性を考える上で非常に示唆に富んでいます。
