OpenAIは、AIエージェントを活用してソフトウェアの脆弱性検出から修正案の作成までを支援する新たなセキュリティ製品2種を公開した。

13日付のSecurity Boulevardによると、同社はイベント「Cyber at the Frontier」で、「Daybreak Red Team」と「Daybreak Defense Factory」を発表した。

両製品は、OpenAIのセキュリティプラットフォーム「Daybreak」の一部として提供される。企業のセキュリティチームや開発チームによる、脆弱性の発見から検証、修正までの作業を自動化するのが狙いだ。

OpenAIのグレッグ・ブロックマン社長は、高度なAIモデルが企業ネットワーク防御の中核を担うようになるとの見方を示した。従来型のセキュリティ対策の重要性は維持されるとしつつ、今後は高度なAIを前提に防御体制を構築すべきだと強調した。

このうちDaybreak Red Teamは、ペネトレーションテスト向けの製品だ。複数のAIエージェントがアプリケーションコードを分析し、脆弱性が実際の攻撃に悪用可能かどうかまで検証する。従来の脆弱性スキャナーが問題候補の検出にとどまるのに対し、同製品は実用的な攻撃成立性の確認まで踏み込む点が特徴だ。

Red Teamは、バグバウンティ報告や脆弱性公開レポート、コードスキャンツールのアラートも取り込んで分析する。開発者が脆弱性を修正した後は、その修正が適切かどうかを再テストする。エージェントは隔離環境で動作し、審査機構「Guardian」を通じて承認されたアプリケーションと接続先にのみアクセスできるよう制限される。OpenAIは現在、Red Teamの事前利用申請を受け付けている。

もう一方のDaybreak Defense Factoryは、検出した脆弱性に対する修正コードの作成を支援する。OpenAIの「GPT-6 Cyber」を基盤に、AIエージェントがコードリポジトリを確認し、修正コードを提案する。GitHubリポジトリと連携して新たに追加されたコードを監視できるほか、定期点検のスケジュール設定にも対応する。Snyk、Endor Labs、Wizといった既存のセキュリティ企業が持つ脆弱性データも取り込める。

最終的な修正判断は開発者が担う。開発者は脆弱性の判断根拠を確認した上で、OpenAI Codexを使って修正案を調整し、GitHubのプルリクエスト草案を作成できる。

作成されたパッチは、人によるレビューと承認を経て配布される。Defense FactoryはChatGPTの追加機能として提供され、Daybreak利用企業が先行利用できる。