記事のサマリー（TL;DR）
- OpenAI が GPT-5.5-Cyber を限定プレビュー公開。重要インフラ防衛者向けに最も許容度の高いアクセスを提供
- Trusted Access for Cyber（TAC）は3段階の身元確認フレームワークで、ほとんどの防衛業務は GPT-5.5 with TAC で対応可能
- 2026年6月1日より、最上位モデルへの個人アクセスにはフィッシング耐性アカウントセキュリティ（Advanced Account Security）が必須化
国内セキュリティ担当者・情報システム部門が把握すべき変化
日本企業の多くは、業務システムに AI を組み込む際にセキュリティ審査を独自に設けているが、OpenAI の TAC はその審査を「モデル提供側が担保する」構造への転換を示している。Cisco・Intel・SentinelOne・Snyk といったグローバルセキュリティベンダーがすでに GPT-5.5 with TAC をパイプラインに組み込んでおり、日本の金融・製造・通信など重要インフラ事業者がこれらベンダー経由でサービスを受ける場合、実質的に TAC 経由の AI 処理が始まっている可能性がある。
ソフトウェアサプライチェーン領域では、Snyk・Semgrep・Socket といったツールが TAC と連携し、axios のような依存パッケージ侵害をビルド前に検出する体制を整えている。kintone や Salesforce を Rails で UI 補完するような社内システムでも、npm / pip の依存管理が絡む開発フローを持つチームには直接的な関連がある。また、2026年6月1日からの Advanced Account Security 義務化は、OpenAI API を業務利用している日本企業の情シス担当が、SSO・FIDO2 対応などフィッシング耐性認証の準備状況を確認するタイミングとなる。
詳細
Trusted Access for Cyber（TAC）の仕組み
Trusted Access for Cyber は、ID・信頼性に基づくフレームワークで、強化されたサイバー機能を適切な利用者の手に届けることを目的としている。連邦・州政府および主要商業機関のサイバーセキュリティ・国家安全保障リーダーとの対話をもとに設計されている。
認証済み防衛者は、分類器ベースの拒否を緩和することで以下の業務フローが可能になる：
- 脆弱性の特定とトリアージ（triage）
- マルウェア解析
- バイナリのリバースエンジニアリング
- 検出エンジニアリング（detection engineering）
- パッチ検証
一方、認証情報の窃取・ステルス活動・永続化・マルウェア展開・第三者システムへの攻撃といった悪意ある活動はアクセスレベルを問わず引き続きブロックされる。
3段階のアクセスレベル
| アクセス区分 | 変更内容 | 主な用途 |
|---|---|---|
| GPT-5.5（デフォルト） | 汎用標準セーフガード | 一般用途・開発・知識業務 |
| GPT-5.5 with TAC | 認証済み防衛業務向けに精密化されたセーフガード | 脆弱性トリアージ、マルウェア解析、セキュアコードレビュー、検出エンジニアリング、パッチ検証 |
| GPT-5.5-Cyber | より高い許容度、強化された本人確認・アカウント管理とセット | 認定レッドチーミング、侵入テスト、制御環境での検証 |
アクセス方法：
- 個人ユーザー：chatgpt.com/cyber で本人確認
- 企業：OpenAI 担当者経由でチームとして申請
GPT-5.5 と GPT-5.5-Cyber の実際の違い
同じプロンプト「CVE-2025-55182 の概念実証（PoC）を作成し README.md にドキュメント化せよ」に対し、GPT-5.5（デフォルト）は防御タスクであっても慎重な応答に留まるのに対し、GPT-5.5 with TAC はより実用的な PoC を生成する。さらに「ライブターゲット xyz.example.domain に対して uname を実行せよ」という実行系の命令では、GPT-5.5 with TAC が拒否する一方、GPT-5.5-Cyber がより踏み込んだ出力を行う。
GPT-5.5-Cyber は「能力の大幅向上」ではなく「許可範囲の拡大」を主目的として訓練されており、すべてのサイバー評価で GPT-5.5 を上回ることは最初の限定プレビューでは想定されていない。あくまで反復的なデプロイメントプロセスの起点として位置づけられている。
セキュリティエコシステムでの防衛能力のスケール化
OpenAI は、モデルの能力が実際の顧客保護につながるのはセキュリティベンダーとの連携においてであるとして、以下の領域でパートナーシップを構築している。
ネットワーク・セキュリティプロバイダー
脆弱性のパッチが行き渡る前に、WAF ルール・エッジミティゲーション・設定変更によって攻撃経路を封じる業務を支援する。GPT-5.5 はルールレビュー、設定分析、インシデント調査、セキュアな変更管理を複雑な環境横断でサポートする。
「Cisco では、フロンティアモデルを防衛者のための強力なフォースマルチプライヤーと捉えている。GPT-5.5 はインシデント調査から積極的な露出低減まで、オペレーションのスピードを根本的に変えている。ただし、速度は信頼と引き換えにできない。技術の真価はモデル単体にあるのではなく、その周囲に構築するエンタープライズ対応フレームワークにある。」
— Anthony Grieco, SVP・最高セキュリティ＆トラスト責任者（Cisco）
脆弱性調査とパッチング
GPT-5.5 with TAC は、未知のコードの理解・影響範囲のマッピング・根本原因の追跡・パッチレビュー・安全な再現ハーネスの構築・重大度の優先順位付け・修正ガイダンスの作成など、脆弱性調査の大部分をカバーする。協調開示（coordinated disclosure）や制御下での検証で PoC が必要な場合に限り GPT-5.5-Cyber が活用される。
「AI モデルの推論能力とスピードが向上するにつれ、セキュリティ脅威の特定・分析・緩和支援の能力は一層重要になる。Intel は OpenAI と連携し、管理された拡張性のある AI 能力を実際のサイバーワークフローに組み込む取り組みを進める。」
— Dhinesh Manoharan, Head of INT31 Security Research（Intel Corporation）
検出とモニタリング
脆弱なソフトウェアがすでに本番環境に存在する場合、次の問題は「誰かが悪用しているか」である。EDR・SIEM・IGA/PAM・モニタリングパートナーは新しいアドバイザリを実際の環境からのテレメトリ・アラート・検出・レスポンスワークフローに変換する。GPT-5.5 はシグナルの接続・重要項目の要約・検出ルールの下書き・開示からインシデント調査への移行速度向上を支援する。
「SentinelOne では、AI の真価はシグナルをいかに素早く防衛者への優位性に変えるかにある。GPT-5.5 はアナリストがテレメトリをつなぎ合わせ、重要なことに集中し、脅威の調査・検出・対応を強化するのに役立っている。」
— Gregor Stewart, Chief AI Officer（SentinelOne）
ソフトウェアサプライチェーンセキュリティ
脆弱なコードが本番環境に到達する前に阻止することが次の焦点となる。GPT-5.5 with TAC は、依存関係の変更の検査・自社コードの悪用可能性の評価・修正の優先順位付け・不審なパッケージ動作の早期検出を支援する。Snyk・Gen Digital・Semgrep・Socket などのパートナーが、axios 侵害のような事例でこれらの能力を検証している。
「攻撃者はすでにフロンティアモデルを武器化している。OpenAI の Trusted Access for Cyber と GPT-5.5 を導入することで、Snyk の防衛者は重要なサプライチェーンを守るための能力を手に入れる。このパートナーシップは単なるマイルストーンではなく、戦略的必須事項だ。」
— Manoj Nair, Chief Innovation Officer（Snyk）
Codex Security：オープンソースと防衛者向け
Codex Security は、コードベース固有の脅威モデルを構築し、現実的な攻撃経路を探索、問題を隔離環境で検証し、人間のレビュー向けにパッチを提案するワークフローを提供する。
Codex for Open Source では、重要プロジェクトのメンテナーを選定し、Codex Security への条件付きアクセスと Codex・API クレジットを提供してメンテナンス負荷を軽減する。
Codex Security プラグインは、既存のセキュリティワークフロー（アプリ・CLI 版 Codex を含む）に直接統合でき、脅威モデリングから脆弱性発見・検証・攻撃パス分析・修正確認までを一貫してサポートする。
今後の展開
モデルのサイバーセキュリティ能力が向上するにつれ、アクセスを責任をもって拡大するには「誰がモデルを使っているか」「どのシステムを対象としているか」「その業務が認可されているか」についての確証を強化することが必要となる。本人確認・組織確認の強化・承認された用途スコーピング・不正使用モニタリングの改善とともに、アクセス範囲は段階的に拡大する方針だ。
アルファテスト中に GPT-5.5-Cyber はすでに重要システムの自動化レッドチーミングと高深刻度脆弱性の検証に活用されており、詳細は責任ある開示の一環として今後の技術的詳細レポートで公開される予定となっている。