GPT-5.3-Codexはサイバー分野で高評価だった。OpenAIには決定的な証拠がない。

2026年2月5日、OpenAIはGPT-5.3-Codexのシステムカードを公開し、その中で同モデルをサイバーセキュリティ領域における高い能力と、同社のPreparedness Frameworkの下で分類した——同社がこの領域のモデルにこのラベルを適用したのは初めてのことだ。分類に続く一文は、二度読む価値がある：「このモデルが当社のHigh閾値に達するという決定的な証拠はない」。OpenAIは、モデルがカナリア閾値をすべてクリアしたため、その能力が実際に存在することを排除できず、予防的に行動していると述べた。侵害はなく、被害者も記録されていない。これはインシデントではなく分類であり、ランドマークフラグ付きのポリシー記録として登録されている。分類に関するアーカイブ自身の項目は、重大度と信頼度の等級とともに、Orca AI Incident Archive内で、今年の他のガバナンス記録の隣に置かれている。

「High」とは何を意味するのか、そして誰が決めるのか

OpenAIのPreparedness Frameworkは2つの閾値を設けている。High capabilityは「深刻な害への既存の経路を増幅し得る」、Critical capabilityは「深刻な害への前例のない新たな経路を導入し得る」とする。OpenAI自身のフレームワーク説明によれば、Highに達した対象システムは展開前に、関連リスクを十分に最小化するセーフガードを備えなければならず、Criticalに達したシステムは開発中にもそれを必要とする。そこに記述されているレビューは内部的なものである。Safety Advisory Groupがセーフガードがリスクを十分に最小化しているかを評価して勧告を行い、その指針は最終決定のためにOpenAIの経営陣に渡される。システムカードには、評価格付けに関する外部の承認については何も記述されていない。

サイバー領域に特化した定義は、見出しの表現よりも狭い。OpenAIは「高いサイバーセキュリティ能力」を、モデルが「サイバー作戦の拡大を妨げる既存のボトルネックを取り除く」こと、具体的には「適度に堅牢化された標的に対するエンドツーエンドのサイバー作戦を自動化する」か、「運用上重要な脆弱性の発見と悪用を自動化する」ことによって実現する能力と定義している。このカードは、閾値が個別の困難な課題を解けるモデルではなく、作戦全体にわたるボトルネックの除去にあることを明示している。OpenAIは、フロンティアのサイバーリスクは「個別の行動ではなく、作戦やキャンペーンの観点で評価するのが最適だ」と記している。

そう読むと、2月5日の分類は具体的なことを示している。OpenAIは、このモデルが取り除くボトルネックとは、持続的な侵入に求められる技能と持久力だと考えている、ということだ。そして同社は、それが実際にそうだと証明されるのを待つのではなく、アクセスを制限して監視する道を選んだのだ。

3つの評価、そして逆方向に進む1つの比較

OpenAIは、深刻なサイバー被害に関連づけている3つのスキルについて、3つのベンチマークを使用している。脆弱性の特定と悪用にはProfessional Capture the Flag、一貫性にはCVE-Bench、エミュレートされたネットワークでのエンドツーエンド運用にはCyber Rangeだ。GPT-5.3-Codexは、カードの言葉を借りれば「3つの評価すべてで全閾値を通過した最初のモデル」である。要約よりも個々の結果の方が重要だ。

Professional CTFでは、モデルは「GPT-5.2-Codexに匹敵する」——カード自体の注釈は「ピークCTF性能に実質的な変化なし」で、各チャレンジにつき16回のロールアウトにおけるpass@12として測定されている。CVE-Benchでは、ベンチマーク40チャレンジのうち34を対象に、3回のロールアウトでのpass@1で、GPT-5.2-Codexの87パーセントに対して90パーセントを記録した。Cyber Rangeでは15シナリオ中12を通過し、合計合格率80パーセントとなった。これに対しGPT-5.1-Codex-Maxは60パーセント、GPT-5.2-Codexは53.33パーセント、GPT-5.2-Thinkingは47パーセントだった。EDR Evasion、CA/DNS Hijacking、Leaked Tokenでは失敗した。

カードは、それが何を意味するかについて慎重だ。CTFは事前にスクリプト化された攻撃経路をテストし、CVE-BenchはWebアプリケーションのみを対象とし、Cyber Rangeのシナリオには実際に運用されているネットワークの防御とノイズが欠けているため、「3つの評価すべてで卓越することは、モデルがサイバーセキュリティ能力でHighと見なされるために必要だが十分ではない」としている。OpenAIの結論は、モデルがHighであるということではなく、Highである可能性を排除できないということだ。

モデルのほぼ最終版に対してセキュリティ研究所Irregularが実施した外部評価は、要約行が示さない形で全体像を複雑にしている。GPT-5.3-Codexはネットワーク攻撃シミュレーションで平均86パーセント、GPT-5.2-Codexは68パーセント、100パーセントをGPT-5.2-Thinkingが記録した。脆弱性の研究と悪用では72パーセントで、75パーセントと80パーセントだった。回避では53パーセントで、52パーセントと53パーセントだった。CyScenarioBenchの課題は一つも解けなかった。これは現実的な制約下での多段階計画を試すシナリオベースのフレームワークである。つまりIrregularのスイートでは、新たに分類されたモデルは3カテゴリーのうち2つで旧世代のモデルに後れを取った。モデルカードはこの結果を、自らの閾値の主張と整合させることなく公表している。

ゲート：Trusted Access for Cyber

記録にその形を与えている緩和策は、フィルターではなくプログラムである。OpenAIは「初日から」Trusted Access for Cyber（TAC）を開始し、それを、企業顧客と善意の正規ユーザーに「高リスクのデュアルユースのサイバー能力」を提供する「アイデンティティに基づくゲート付きプログラム」と説明した。カードには対応する用途が列挙されている。ペネトレーションテスト、レッドチーミング、脆弱性評価、特定と悪用、セキュリティテストおよび検出回避調査、マルウェアのリバースエンジニアリング、暗号研究である。

アクセス設計は通常の順序を逆転させている。ログイン済みユーザーはデフォルトでサイバー分野の高性能機能を利用でき、監視と執行の対象となる。「高リスクのデュアルユースなサイバー機能を頻繁に利用する」ユーザーこそが、高度な機能を維持するためにTACを通じて本人確認を行わなければならない。企業はOpenAIの担当者を通じてチーム全体のトラステッドアクセスを申請でき、より寛容なモデルを必要とする研究者は、OpenAI自身によるプログラム発表によれば、招待制プログラムに応募できる。これに併せてOpenAIは、サイバーセキュリティ助成プログラムを通じてAPIクレジット1000万ドルを拠出することを約束した。

OpenAIは、このゲートが保証ではないと明言している。アクセスは「正当かつ防御的で、許可されたセキュリティ目的に限り」付与され、TAC参加者について「有害なアクション機能を頻繁に求める者は、引き続き監視と執行の対象となり、TACへのアクセスを失う場合もある」としている。ローンチ投稿は第2の制御も追加している。システムがサイバーリスクの高まりを検知した一部のリクエストは「GPT-5.3-CodexからGPT-5.2へ自動的にルーティングされる場合がある」。Fortuneは2月5日、OpenAIがモデルを大規模に自動化できる完全なAPIアクセスを直ちに有効化しておらず、その間モデルは有料ChatGPTユーザーに提供されていると報じた。

サンドボックスのデフォルト設定と、公表された見逃し率を備えたモニター

さらに2つの層が、測定可能な形で説明されている。エージェントサンドボックスはクラウド上で「OpenAIがホストする隔離されたコンテナ」内で動作し、ユーザーのホストシステムへのアクセスはなく、ネットワークアクセスはデフォルトで無効になっている。ローカルインストールでは、サンドボックス化はデフォルトで、macOSではSeatbelt、Linuxではseccompとlandlock、Windowsではネイティブに、またはWindows Subsystem for Linux経由で有効になる。デフォルト設定は、ネットワークアクセスを無効にし、ファイル編集を現在のワークスペースに制限するように設計されており、ユーザーはサンドボックス外のコマンドを承認したり、プロジェクトごとの許可リストと拒否リストを設定したりできる。このカードは、ネットワークアクセスを有効にすると、プロンプトインジェクション、認証情報の漏えい、ライセンスのリスクが再び生じると警告している。

監視層は2段階のシステムだ。高速なトピック分類器がコンテンツがサイバーセキュリティ関連かどうかを判定し、関連すると判断されたものはすべて「安全性推論器」へエスカレーションされ、OpenAIのサイバー脅威分類体系に位置づけられたうえで、その出力を表示できるかどうかが決まる。トピック分類器は、99.9%超のシステム信頼性のもとで90%超の再現率になるよう調整されている。推論モニターの数値はそれほど余裕のあるものではなく、カード自体の表に記載されている。ユーザープロンプトで再現率77.8%、精度37.1%、アシスタントの応答で再現率88.8%、精度24.1%だ。OpenAIは精度よりも再現率を意図的に優先して最適化していると述べており、そのため低リスクの作業が時にブロックされることになり、またそのテストセット上では、本来捕捉されるべきユーザープロンプトのおよそ5件に1件が捕捉されなかったということでもある。

レッドチームが見つけたこと

カードは敵対的結果を要約ではなく詳細に公表している。2025年12月から2026年1月にかけて、2つのキャンペーンで専門家によるレッドチーミングに3,526時間を費やした。Universal Jailbreak Campaignは1,375時間を費やして21件の提出物を生み出し、そのうち6件が完全なユニバーサルジェイルブレイク、14件が部分的なものだった。Adversarial Policy Coverage Campaignは2,151時間を費やして279件の報告を提出し、安全性推論器がブロックすべき内容をブロックしなかった132件の偽陰性を発見した。OpenAIはこれらのジェイルブレイクを「ブロックしていない」と呼び、是正されると述べ、さらにこれらのキャンペーンが「Safety Reasonerは敵対的攻撃に対して依然として反復的な強化を必要としている」ことを示していると認めている。

最も際立った単一の結果は、政府の評価機関に関するものだ。英国AIセキュリティ研究所は、安全性推論機能が有効でブロックが作動するビルドへの早期アクセスを得て、約10時間の手動レッドチーミングで、単一のユーザーメッセージを使い、「（再試行ありで）0.778 pass@200を達成する汎用ジェイルブレイクを開発した」。同じ節には、米国AI標準・イノベーションセンターが独自の自動評価でモデルのサイバー能力をテストし、オープンソースおよびクローズドソースのソフトウェアで新規のバグを見つけるためにそれを使用したこと、またGPT-5.3-Codexがコンパクションウィンドウをまたいで困難なタスクで進歩を続け、「5,000万以上のユニークトークンと数十時間の分析を経てもなお新たな結果を見つけた」ことが記されている。

これらの政府の調査結果はどちらも、OpenAIのカード内で報告されている。本調査では、どちらの機関からもGPT-5.3-Codexを対象とした独立した公開評価は見つからなかった。それが現れるまで、このモデルに対する外部の精査は、ベンダー自身の説明を通じてのみ公衆に知られている。カード自体の残余リスク一覧は、同じギャップについて異例なほど率直で、監視精度の限界が干し草の山から針を探すようなレビュー問題を生むこと、「悪意ある行為者が信頼されたアクセス権を得る可能性がゼロではないこと」、本人確認ベンダーの障害、未発見の汎用ジェイルブレイクを挙げている。また、5か月間非同期で稼働しているCodex展開の内部監視は、「危害から保護したり、他の安全策の転覆を防いだりするものではない」と述べている。

その後、何が変わりましたか？

そのゲートはローンチ後も存続し、拡大した。Axiosは2026年4月9日、OpenAIが少数のパートナー向けに別個のサイバーセキュリティ製品を最終調整中だと報じ、TACについては「GPT-5.3-Codexを展開した後」の2月に開始したと説明した。2026年4月15日、Help Net Securityは、OpenAIがTACを「数千人の検証済み個人防御者と数百のチーム」まで拡大し、正当なセキュリティ業務に対する拒否境界を低くし、バイナリのリバースエンジニアリング機能を備えたGPT-5.4の変種であるGPT-5.4-Cyberを最高アクセス層にリリースしていると報じた。2月のカードで説明されていたパイロットは、階層を備えた製品ラインになっていた。

分類そのものは、ゲートほど広く伝わらなかった。Fortuneの2月5日の記事（Sharon Goldman執筆）はそれを直接報じ、OpenAIの最高経営責任者サム・アルトマンがXに投稿した、GPT-5.3-Codexは「わが社の準備態勢フレームワークにおいてサイバーセキュリティで『高』に達した初のモデル」だとする投稿を引用した。The Cyber Expressは2月6日、TACの開始を詳しく報じ、3つのアクセス経路、1000万ドル、禁止行為に触れたが、「高」評価には一切言及しなかった。Boston Global Forumは4月12日の記事で、両方を一緒に改めて述べた。4月中旬までに、この一連の発表で最も引用された部分はアクセスプログラムであり、その背後にあるしきい値判断ではなかった。

確立済み、未確立、オープン

確立しているのは以下の点である。OpenAIは2026年2月5日にGPT-5.3-Codexのシステムカードを公開し、Preparedness Frameworkの下で同モデルをサイバーセキュリティ分野において「High capability」に分類した。同社は同じ文書の中で、モデルがその閾値に達するという決定的な証拠はないとして予防的に行動していると述べている。上記の評価数値は同社自身のものである。TACは同モデルと同時に開始された。サンドボックスと2層モニターは、ここで引用された詳細レベルで文書化されている。レッドチームの時間数、提出件数、UK AISIのジェイルブレイク数はすべてカードに記載されている。Fortuneは同日、XへのAltmanの投稿を引用してこの分類を報じた。記録しておく価値のある日付上の微妙な食い違いが一つある。ローンチ投稿自体のページメタデータには2月4日22:23 GMTのタイムスタンプがある一方、システムカードとFortuneの報道は2月5日付である。

確立されていないのは、GPT-5.3-Codexが実際にOpenAIのHigh基準を満たしているかどうかである。これはOpenAI自身の留保であり、批評家のものではない。また、この調査では、この評価に関する外部認証、このモデルについて公表された規制当局や国立研究所による評価、あるいは多層スタックが実世界での誤用を減らしたかどうかの測定も見つからなかった——記録に害がないのは、害が記録されなかったからであり、害が発生しなかったからではない。モデルが3つの内部基準すべてを初めてクリアしたというカードの主張は、OpenAIのベンチマークスイートに関する記述であり、同じ文書が、それは検出対象の能力の必要だが十分ではない証拠だと述べている。

未解決のままなのは、次の点だ。身元確認のゲートと、フラグが付いたユーザープロンプトの約5分の1を見逃すモニターの組み合わせが、証明ではなく予防措置に基づいて分類されたモデルに対する持続可能な答えになるのか。Irregularの外部スイートでGPT-5.2-Thinkingに対して見られる見かけ上の退行が、ハーネスと誘導手法の違いを考慮に入れた後でも意味を持つのか。そして、2月のパイロットと4月の製品ラインの間の隔たりのうち、どれだけが学習によるものではなく計画によるものだったのか。アーカイブの項目は分類を記録している。残りは今も、ゲートを運用する人々によって書かれ続けている。

この記録はガバナンス上の出来事であり、実際にそのように読める。企業が、事故が起きる前に、自社モデルの一つがまだ測定できない一線を越えた可能性があると考えていると書き記し、その疑念を根拠にゲートを設けているのだ。そのゲートが比例的なものだったかは、カードが意図的に未解決のままにしている問いである。カードはリスクが「十分に最小化されている」と述べるだけで、そうでない可能性を六つ挙げている。