OpenAI GPT-5.5-Cyber、EUの防衛チームに限定公開

OpenAIがEU Cyber Action Planを発表し、サイバーセキュリティ特化モデルGPT-5.5-Cyberをヨーロッパの審査済みチームへ限定公開しました。対象は欧州の企業・政府機関・サイバーエージェンシー、そしてEU AI OfficeをはじめとするEU機関で、ペネトレーションテスト（ペンテスト：攻撃者の視点で脆弱性を発見するテスト手法）や脆弱性評価といった防衛目的の用途に使えます。AIをサイバー防衛に組み込む動きはAnthropicのGlasswingプロジェクトでも進んでいましたが、今回のOpenAIの動きにより欧州での「AI×セキュリティ」の競争が一段と加速しています。

背景と文脈
技術/ビジネス面
これからどうなるか
まとめ
参考リンク

背景と文脈

GPT-5.5-Cyberは、2026年5月初旬に米国の審査済みセキュリティ研究者向けに最初の限定プレビューが公開されたモデルです。通常のGPT-5.5との違いは「能力の高さ」ではなく「許容範囲の広さ」にあります。標準モデルでは安全上の理由から制限されるセキュリティ関連のタスク——攻撃コードの解析・脆弱性の詳細な説明・レッドチーミング（正規の手法でシステムの弱点を探すセキュリティ演習）——に対応できるよう訓練されています。

EU展開の背景にはEUのAIおよびサイバーセキュリティ政策があります。EU AI法（AI Act）が施行され、AIシステムに対するリスク管理と透明性の要件が求められる中、政府や重要インフラ事業者は規制に準拠しながらAIをセキュリティ業務に使える手段を求めていました。OpenAIのAction Planはその需要に応える形で設計されています。

「Trusted Access for Cyber」は3段階のアクセスレベルで構成されており、最も高い権限を持つユーザーはGPT-5.5-Cyberにアクセスできます。6月1日からは、最上位モデルへアクセスする個人に対してフィッシング耐性のある多要素認証の有効化が必須となり、セキュリティの担保も強化されています。

技術/ビジネス面

white buildings under white sky — Photo by Charles Postiaux on Unsplash

GPT-5.5-Cyberの実際の能力について、OpenAIは「標準のGPT-5.5よりサイバー能力が大幅に向上するわけではない」と明示しています。改善の主な内容はセキュリティ関連タスクへの「制約の緩和」であり、同じ質問でも標準モデルでは断られる回答を、審査済みユーザー向けには提供する仕組みです。

英国のAISI（AI Safety Institute：AIの安全性を評価する政府機関）はGPT-5.5のサイバー能力評価を実施しており、「現時点で高度な攻撃への実質的な底上げはない」と結論づけています。つまり、このモデルはサイバー攻撃の能力そのものを大きく引き上げるものではなく、防衛側が既知の攻撃手法をより効率的に研究・対策するためのツールとして設計されています。

ビジネス面では、EUの企業がOpenAIのGPT-5.5-Cyberを使う場合、まず組織審査を経てTrusted Access for Cyberに承認される必要があります。個人ではなく組織単位での申請となり、データ処理に関するEU規制（GDPR等）への準拠も要件に含まれます。AIベースのSOC（Security Operation Center：セキュリティ監視センター）や脆弱性管理プラットフォームに組み込む用途が想定されます。

これからどうなるか

OpenAIとAnthropicが揃って欧州の防衛機関向けにAIを展開する動きは、「サイバーセキュリティのAI化」という大きなトレンドを象徴しています。AIによる脆弱性スキャンや侵入テストの自動化は既に実験的な段階を超えており、実際の防衛インフラへの統合が進みつつあります。

一方で、同じモデルが攻撃者の手に渡った場合のリスクも議論されています。OpenAIが審査制度を設けているのはその懸念への対応ですが、審査の有効性や悪用の検知・対応をどのように継続するかは未解決の課題です。

開発者視点では、社内のセキュリティチームがこのモデルを使った自動化ツールを構築できる可能性があります。ただし、欧州でのアクセスには組織審査があるため、まずTrusted Access for Cyberへの申請プロセスを確認し、自社のセキュリティポリシーとの整合性を検討することが最初のステップになります。