11月10日、Dataconomyが「OpenAI says GPT-6 Cyber found 2,308 Linux kernel flaws」と題した記事を公開した。OpenAIのセキュリティ特化モデル「GPT-6 Cyber」がLinuxカーネルで2,308件の脆弱性を発見したという報告で、Linux開発者のLinus Torvaldsは「修正が新しい報告より速く届くようになっている」と週次アップデート内で言及している。AIによる脆弱性発見・修正サイクルが人間の開発プロセスを上回るペースで回り始めた可能性を示す事例として、業界内で注目を集めている。
GPT-6 Cyberが発見した脆弱性の規模
OpenAIは、GPT-6 CyberがLinuxカーネルに存在する2,308件の潜在的な脆弱性を特定し、そのうち1,726件を実際に再現することに成功したと発表した。
さらに同モデルは、948件の脆弱性に対してローカル権限昇格（Local Privilege Escalation）エクスプロイトの開発を支援したという。ローカル権限昇格とは、一般ユーザー権限でシステムにアクセスしている攻撃者が、root（管理者）権限を取得できる攻撃手法を指す。これが悪用されれば、カーネルレベルの完全な制御を奪われる可能性がある。
GPT-6 Cyberは11月5日に発表されており、前世代のGPT-5.6 Cyberと比較してバグ発見・修正能力が向上したとOpenAIは説明している。サイバーセキュリティベンチマーク「ExploitGym」では、51%の相対改善を記録した。ExploitGymはCTF（Capture the Flag）形式の実在するエクスプロイト課題群を用いてモデルの攻撃・防御能力を定量評価するベンチマークで、セキュリティ研究コミュニティが策定に関わっている。また、モデルが割り当てられたスコープ内で動作を維持できるかを測るテストでも、顕著な改善が見られたとされる。
「修正が報告を追い越す」Torvaldsの証言
興味深いのは、Linux開発者のLinus Torvaldsが11月8日のカーネルアップデートの中でこう述べていることだ。
「最近のリリースにはさまざまなAI修正が含まれている。修正が新しい報告より速く届くようになっているが、それが本当なら素晴らしいことだ」
— Linus Torvalds（週次カーネルアップデートより）
これは、AIによる脆弱性発見と修正のサイクルが、人間の開発プロセスを上回るペースで回り始めていることを示す証言として重みがある。Torvaldsは長年にわたりLinuxカーネルの品質管理を主導してきた人物であり、その言及はコミュニティへの影響力も大きい。
Linuxカーネルのセキュリティ開発体制は、従来、世界中のボランティア開発者とRedHat・Google・MicrosoftといったスポンサーによるCVEトリアージおよびパッチレビューによって成り立ってきた。しかし近年、脆弱性の報告件数増加とレビュー人員の不均衡が課題として指摘されており、GoogleやMicrosoftはすでに自社製品のセキュリティレビューにAIを試験導入している。GPT-6 Cyberはこの流れをさらに加速させる可能性を持つ。
Firefoxへの適用と「発見速度が速すぎる」という構造的問題
Linuxカーネルだけでなく、GPT-6 CyberはFirefoxにも適用されており、高深刻度（High Severity）の脆弱性を81件発見した。これらの修正パッチはすでにMozillaによって適用済みだという。
OpenAIは、LinuxカーネルのリサーチポストでAIによる自動パッチ生成が「今や不可欠」だと主張している。フロンティアAIモデルが脆弱性を発見するスピードが速すぎて、人間が悪用される前に対応できる時間が短くなっているというのがその理由だ。
この懸念は数字にも裏付けられている。Google Threat Intelligence Groupは10月に、2026年初頭から月次の脆弱性開示件数が2倍以上に増加していると報告している。さらに、実際に悪用が確認された脆弱性の件数も同様の増加傾向にあるという。AIが脆弱性を見つける速度が上がれば上がるほど、パッチを当てるまでのウィンドウが縮む。この問題に対してOpenAIが出した答えが「AIによる自動パッチ生成」だ。
エクスプロイト支援という高リスク領域と安全対策
一方で、948件ものエクスプロイト開発支援という数字は、悪用リスクの観点から慎重な評価が必要だ。OpenAIはGPT-6 Cyberへのアクセスを現時点では研究機関・セキュリティベンダー等に限定し、一般公開はしていないとしている。同社は従来よりUsage Policiesにおいてサイバー攻撃への悪用を禁止しており、GPT-6 Cyberでも同様の制限が適用される。ただし、エクスプロイトコード生成を支援できるモデルが万が一悪意ある第三者に利用された場合のリスクについて、元記事では詳細な言及がなく、OpenAIの公式な安全対策の全容は現時点では明らかではない点には留意が必要だ。
詳細はOpenAI says GPT-6 Cyber found 2,308 Linux kernel flawsを参照していただきたい。
