OpenAIは2026年11月2日（米国時間）、自社のシステムを堅牢化するための次の社内セキュリティスプリントを準備していると発表した。新たな研究者や外部のセキュリティパートナーを社内チームと組ませ、自社のAIモデルを使ってシステムを試し、強化する取り組みである。
パートナーにはセキュリティ企業のCathedralが加わる。あわせて、外部の研究者が脆弱性を報告する「Security Bug Bounty」プログラムも改善し、重大な発見への報奨金を4倍以上に引き上げるという。
外部のCathedralと組み、自社モデルで防御を試す
次のスプリントでは、Cathedralの研究者がOpenAIのモデルを使い、OpenAIのチームとともに同社の防御を突破できるかを試す。OpenAIは、Cathedralが弱点を見つけるうえで独自の専門性と手法を持ち込むと説明している。狙いは、自社のプラットフォームを守る力を高めることにある。
CathedralのCEO兼共同創業者であるGavin Kliger氏は発表の中でコメントを寄せた。外部のセキュリティ企業と組み、自社のモデルで防御を継続的に試すOpenAIの姿勢は重要な手本になるという。そのうえで、あらゆる企業がこうした能力の活用を考えるべきだと述べている。
なお、スプリントの実施時期や期間、参加する人数は示されていない。
バグバウンティの報奨金を引き上げ
OpenAIは今回、Security Bug Bountyプログラムの改善も明らかにした。目玉は、重大（クリティカル）な発見に対する報奨金を4倍以上に増やすことだ。研究者には、OpenAIの前提を疑い、システムと防御の手法の両方を強くする手助けを求めている。
報奨金の具体的な金額や、改善の詳しい内容はこの発表では示されていない。プログラムの詳細は、発表内でリンクされている別の案内で説明されている。
前回スプリントではプロダクトエンジニアの25%を投入
今回の取り組みは、AIを使って自社の弱点を継続的に見つけ、直していく活動の一環だという。OpenAIは、前回のスプリントでこの手法の効果が示されたとしている。前回はプロダクトエンジニアの25%を、システムの弱点の発見と修正に充てた。
前回のスプリントでは、エンジニアがコーディングエージェント「Codex」を使って作業を進めた。発見された問題を調べ、隔離された環境で脆弱性を再現し、レビュー用の修正パッチを準備したという。OpenAIは、前回の取り組みの構成と得られた教訓も公開している。
「従来の防御だけでは足りない」
OpenAIは取り組みを広げる理由として、従来のサイバー防御だけではもはや十分ではない点を挙げた。業界で最近起きたインシデントは、脅威がいかに速く現れるかを示したという。そのため、攻撃者より先に弱点を見つけて直す、継続的な防御のループを作ることが重要だとしている。
同社は、防御側に残された機会を「defender's window」と表現している。この機会を保ち続けるには、組織が最先端のサイバー能力を使ってシステムを強化する必要があるという。OpenAIは最も高性能なモデルを自社の防御に使うとともに、セキュリティ向けの取り組み「Daybreak」の顧客にも提供している。
さらに、重要なサービスやデジタルインフラを守る最前線の防御担当者向けに、6カ月間で10億ドル分の利用補助を約束した。産業界や政府の防御担当者を支援するための指針（ブループリント）もあわせて公開している。
企業への示唆
今回の発表で注目したいのは、AIを使った脆弱性の発見と修正を、一度きりの診断ではなく継続的な活動として組み込んでいる点だ。前回のスプリントでは、エンジニアの4分の1を投入し、再現から修正パッチの準備までをAIで支援した。自社でもAIを開発に使っている企業は、同じ仕組みをセキュリティの検証に転用できないかを検討する余地がある。
外部の専門家と組む体制にも学ぶ点がある。社内チームだけでは、自分たちの前提を疑う視点が不足しがちだ。外部のセキュリティ診断サービスやバグバウンティを組み合わせ、定期的に第三者の目で検証する仕組みがあるかを点検したい。
一方で、AIの活用は攻撃者側でも進んでいる。脅威が現れる速さに対し、自社の脆弱性対応のサイクルが追いついているかを見直すことが、情シスやセキュリティ部門にとっての実務的な論点になるだろう。
ITトレンドでセキュリティ診断サービスについてチェック！[【ランキング】セキュリティ診断サービスおすすめ22選を比較！料金相場や選び方も解説]
OpenAIのセキュリティ分野の取り組みはこちらもチェック！[OpenAI、サイバーセキュリティ専用モデル「GPT-5.5-Cyber」を限定公開――信頼ベースのアクセス制御で防御と安全性を両立]
まとめ
OpenAIは、外部のセキュリティ企業Cathedralと組んだ次の社内セキュリティスプリントの準備を発表した。自社のAIモデルで防御を試し、弱点を先回りして見つける狙いだ。あわせてバグバウンティでは、重大な発見への報奨金を4倍以上に引き上げる。
スプリントの時期や報奨金の具体額は、この発表では示されていない。それでも、AIで脆弱性の発見から修正までを回す継続的な防御の考え方は、多くの企業にとって参考になる。自社の脆弱性対応の体制とスピードを見直すきっかけにしたい。
