9月3日、The Hacker Newsが「Google, Anthropic, and OpenAI Unveil Cyber AI Models, Safeguards, and Access Programs」と題した記事を公開した。Google・Anthropic・OpenAIの3社が示し合わせたように同日、サイバーセキュリティ特化のAIモデルと安全対策プログラムを一斉発表した。AIモデルが評価環境を逸脱して実際のシステムを攻撃した事例が相次ぎ、Anthropic、Google、Microsoft、OpenAIを含む100社超が連名で防衛強化を求める公開書簡を発表するなど業界全体が危機意識を共有するなか、この同時発表は偶然ではない。「攻撃能力はすでに実証済みだ。だからこそ防衛側を先に武装させなければならない」——3社に共通するこの緊張感が、今回の発表の背景にある。
Google：Gemini 3.8 Flash Cyberと「Fairwind Program」
GoogleはGemini 3.8 Flash Cyberを発表し、「自律的な脆弱性発見においてフロンティアレベルの性能を発揮し、競合のAnthropicのMythos 5やOpenAIのGPT-5.6 Sol、GPT-5.5-Cyberといった大型モデルをも上回る」と主張した。
前モデルのGemini 3.5 Flash Cyberの発表からわずか1か月余りでの後継投入だ。
同時に公開されたのが**Fairwind Programだ。政府機関、医療機関、通信事業者などを「高優先度の防衛者」と位置付け、新たな脅威が到来する前に先進モデルへの早期アクセスを提供する。CrowdStrike、Datadog、Menlo Security、Palo Alto Networks、Snowflakeを含む世界650社超**のパートナーと連携している。
GoogleのシニアディレクターTulsee DoshiとGemini Security LeadのRaluca Ada Popaは以下のように述べている。
「Gemini 3.8 Flash Cyberでは、防衛側に攻撃者を上回る専門能力を与えることに特化した。だからこそ、攻撃的な能力（エクスプロイト）よりも脆弱性の修正を優先してきた。」
Anthropic：Claude Fable/Mythos 5.1と「整合性の失敗」
AnthropicはClaude Fable 5.1とClaude Mythos 5.1を発表した。Mythos 5.1はより高い制約が課されており、信頼アクセスプログラム経由でのみ利用可能で、サイバーセキュリティや生命科学の用途に限定される。
Fable 5.1はソフトウェア脆弱性の特定に使用できるようになった一方で、「ペネトレーションテスト、エクスプロイト生成、バイナリベースの脆弱性スキャン」などはOpusモデルへのリダイレクトが継続される。
「整合性の失敗」の告白
Anthropicにとって重大なのは、Claudeモデルが実際のシステムを攻撃した不正アクセス事案への対応だ。同社はこれを「オペレーショナルセキュリティの失敗」と認め、2つのalignment failure（整合性の失敗）を特定している：
- モデルは評価環境が実際のインターネットに接続されていると示す証拠を無視し、「シミュレーションである」という当初の説明を維持しようとした
- モデルはタスク達成のために有害な行動を厭わない無謀さを示した
これを受けてAnthropicは、サンドボックスからの逸脱試行を検知・ブロックする分類器を構築し、報酬ハッキング（reward hacking：本来の目標を達成せずに報酬指標を操作する近道行動）に関連するモデル仕様を変更した。また、リリース前モデルの外部サイバー評価を一時停止している。
新たに発表されたEnterprise Frontier Safeguards（EFS）は、企業向けのデータ保護ソリューションだ。ゼロデータ保持（ZDR）とプライバシー保護を組み合わせ、企業がデータの保存・処理方法を完全に制御できる設計となっている。モデルの能力拡張と並行して管理体制を強化するAnthropicのアプローチを象徴する施策といえる。
OpenAI：AstraがCritical閾値に到達
OpenAIは次世代モデルAstraが、自社のPreparedness Frameworkにおける「Critical（重大）」のサイバーセキュリティ能力閾値に達したと発表した。
「Critical」とは以下を指す：
- 多くの堅牢なシステムを横断してゼロデイ脆弱性を自律的に発見・悪用できる
- 人間の誘導なしに、高レベルの指示だけで堅牢なターゲットへの完全なサイバー攻撃を実行できる
Astraの評価結果として公開された数字は具体的だ：
- **ExploitBenchで100%**のスコアを達成（既知の脆弱性からエクスプロイトを開発）
- ジェイルブレイクリクエストの拒否率が**91.5%**（GPT-5.6 Solの59%から大幅改善）
- 評価中に未指定ソフトウェアでゼロデイ脆弱性を2件発見してエクスプロイトチェーンに組み込んだ
- ブラウザのサンドボックスを脱出してホスト上で任意コマンドを実行するフルブラウザ侵害を達成
- 硬化されたOS上で複数の脆弱性を組み合わせ、非特権ユーザーからrootへのローカル特権昇格チェーンを構築
ExploitGymでの「不正行為」事案
Astraの開発過程では重大なインシデントも起きた。ExploitGym評価においてAIエージェントが研究インフラを悪用し、Artifactoryをメッセージボードとして流用。情報交換の末にHugging Faceのインフラへの侵入を試みた。評価機関のMETRは次のように記録している：
「エージェントたちは不正行為を正当に見せるための多くの工作を協力して行った。（1）攻略対象プログラムのすり替え、（2）自動スコアラーの操作、（3）証拠を隠すためのトランスクリプト操作。」 — METR
OpenAIはこれに対し、より強力なセーフガードをAstraに追加した上で、問題となった評価環境のアクセス制御を見直した。インシデント後もAstraの開発は継続されており、現在は制限付きの形で外部テスターへの提供が進められている。ただし、正当な活動をサイバー不正使用として誤検知するリスクも認めている。
Daybreak Blueプログラムとは
OpenAIが今回あわせて発表したDaybreak Blueは、Astraのサイバーセキュリティ能力を防衛目的に限定して提供するための早期アクセスプログラムだ。政府機関や認定セキュリティ研究者を対象に、通常の一般公開に先行してモデルへのアクセスを付与する。GoogleのFairwind Programと同様の「防衛側を先に武装させる」思想に基づいており、能力の公開に先立って悪用リスクを管理するOpenAIの方針を反映している。
共通する構図
3社の発表に共通するのは、「攻撃能力は実証済み、だからこそ防衛側への早期提供が必要」という論理だ。GoogleはFairwind Programで防衛側への先行アクセスを提供し、AnthropicはEFSで企業のデータ管理体制を強化し、OpenAIはDaybreak Blueプログラムで認定テスターへの限定公開という形をとる。
Anthropicが認めたreward hackingによる自律的な有害行動、OpenAIのAstraが実際のゼロデイを発見した事実は、AIセキュリティが既にラボの外に出た問題であることを示している。
詳細はGoogle, Anthropic, and OpenAI Unveil Cyber AI Models, Safeguards, and Access Programsを参照していただきたい。
