かんたん版：専門用語を使わずに説明しています
ひとことで言うと
要約すると、ChatGPTのOpenAIが、自分のAIを使って自社システムの弱いところを探し、直す取り組みを強めます。外の専門家にも手伝ってもらい、弱点を見つけた人へのお礼のお金も4倍以上にします。
何がすごいの？
たとえるなら、家の防犯を強めるために、プロの泥棒役を雇って「どこから入れるか」を試してもらうようなものです。
OpenAIは前回、製品を作るエンジニアの25%をこの作業に回しました。AIの「Codex」（＝プログラムを書くのが得意なAIのこと）を使い、弱点の再現や直し方の準備を進めました。
次回は、Cathedralという外部の研究者たちも加わります。重大な弱点を見つけた人への報奨金（＝見つけてくれたお礼のお金）は4倍以上に増やします。
さらに、電気や通信のような大事なしくみを守る人たちに、6カ月で10億ドル分、安くAIを使える枠を用意すると言っています。
自分に関係ある？
会社でセキュリティを担当している人には関係があります。OpenAIは前回の作業の進め方と学んだことを公開すると言っているので、自社の参考にできます。
弱点探しを仕事や副業にしている人は、報奨金の引き上げが関係します。ただ、具体的な金額は書かれていません。
一般の会社員やお金の面では、直接の影響は小さめです。
使ってみるには
10億ドル分の利用枠は、大事なしくみを守る防御担当者向けで、誰でも使えるものではありません。日本から申し込めるかも、まだ分かりません。
報奨金の制度に参加したい人は、OpenAIの公式ページで条件を確かめてください。
概要
ChatGPTを作るOpenAIが、自分たちのAIを使って、自社システムの弱いところを探して直す取り組みを強めます。
次回は外部の専門家集団も加わり、弱点を見つけた人へのお礼（報奨金）も4倍以上に増やします。
さらに、電気や通信のような社会の大事なしくみを守る人たちに、AIを安く使える枠を6カ月で10億ドル分用意します。守る側の人と、弱点探しを仕事にする人にとってうれしい発表です。
何が発表された？
OpenAIの公式ブログによると、同社は次回の社内「セキュリティスプリント」を準備しています。スプリントとは、短い期間に人手を集中させて、一気に作業を進めるやり方です。
今回の発表は、新製品ではありません。前回のスプリントを土台にした、取り組みの拡大です。次回の実施時期は、元記事には書かれていません。
発表の中身は、大きく次の4つです。
- 外部の研究者集団Cathedralと組み、OpenAIのモデルを使って自社の守りを試してもらう
- 脆弱性を見つけた人に報奨金を払う「Security Bug Bounty」を改善し、重大な発見への報奨金を4倍超にする
- 最も高性能なモデルを自社の防御に使い、「Daybreak」の顧客にも提供する
- 重要なサービスやデジタル基盤を守る防御担当者向けに、6カ月で10億ドル分の補助付き利用枠を約束する
あわせて、前回スプリントの設計と教訓、業界や政府の防御担当者を支える「設計図」も公開するとしています。
前と何が違う？
外部の研究者集団「Cathedral」が守りを試す側に加わる
前回は社内チームが中心でした。次回は、新しい研究者やセキュリティの協力企業が加わります。
名前が挙がったのがCathedralです。Cathedralの研究者は、OpenAIのモデルを社内チームと一緒に使い、守りの穴を探します。OpenAIは、弱点の見つけ方に「違った専門性とやり方」を持ち込めると説明しています。
社内の人だけだと、見落としのクセが似てきます。外の目を入れるのは、そこを補うためだと読めます。
重大な脆弱性の報奨金は「4倍超」に
OpenAIは、Security Bug Bountyの仕組みも改善します。バグバウンティとは、外部の人がシステムの弱点を見つけて報告すると、お礼のお金がもらえる制度です。
目玉は、重大な発見への報奨金を4倍超に増やすことです。OpenAIは、研究者に「自分たちの思い込みを疑ってほしい」と呼びかけています。
ただし、具体的な金額や新しい上限額は元記事に書かれていません。
前回は製品エンジニアの25%を投入し、AI「Codex」で修正まで準備
前回のスプリントで、OpenAIは製品エンジニアの25%を、弱点の発見と修正に充てました。
エンジニアは、プログラミング向けのAI「Codex」を使いました。Codexで見つかった問題を調べ、外とつながらない隔離環境で脆弱性を再現し、レビュー用の修正案を用意したといいます。
AIが弱点を見つけて終わりではなく、直す手前まで手伝った点がポイントです。次回はこのやり方をさらに広げます。
防御担当者に6カ月で10億ドル分の補助付き利用枠
今回、最も金額が大きいのがここです。OpenAIは、重要なサービスやデジタル基盤を守る最前線の防御担当者向けに、6カ月で10億ドル分の補助付きアクセスを約束しました。
同時に、最も高性能なモデルを「Daybreak」の顧客に提供するとも書いています。Daybreakがどんなサービスかの詳しい説明は、元記事にはありません。
前回の設計と教訓を外部に公開する
OpenAIは、前回スプリントの仕組み（アーキテクチャ）と教訓を公開するとしています。業界や政府の防御担当者を支えるための設計図も、あわせて共有します。
自社だけで抱えず、他の組織がまねできる形で出す点が、今回の発表の特徴です。
数字で見るとどう変わった？
前の版と並べて比べられる数値は、元記事にはありません。示された数字は次のとおりです。
- 前回スプリントで弱点探しに回した製品エンジニアの割合：25%
- 重大な発見への報奨金の引き上げ幅：4倍超
- 防御担当者向けの補助付き利用枠：10億ドル
- その利用枠の期間：6カ月
前回スプリントで見つかった脆弱性の件数や、修正にかかった時間は書かれていません。成果の大きさは、数字では確かめられない状態です。
ライバルと比べてどう？
比べる材料は多くありません。以下は編集部の知識による補足です。
（編集部注）GoogleやMicrosoftも、外部の研究者に報奨金を払う脆弱性報奨金制度を以前から運営しています。バグバウンティ自体は、大手IT企業では珍しい仕組みではありません。
今回のOpenAIの特徴は、次の2点です。
- 自社のAI（Codex）を、弱点の調査から修正案づくりまで使ったと明かしている
- 防御担当者向けに、6カ月で10億ドルという具体的な支援額を出している
一方で、報奨金の具体額は示されていません。他社の制度と金額で比べることは、今の時点ではできません。
料金は？
元記事では、利用料金の言及はありません。
分かっているのは、重要インフラの防御担当者向けに、6カ月で10億ドル分の「補助付き」利用枠を用意するという点だけです。誰がどれだけ安く使えるのか、申し込み方法はどうなるのかは書かれていません。
バグバウンティの新しい報奨金額も、元記事では明らかになっていません。
料金の詳しい比較は ChatGPTの料金はいくら？無料版・Go・Plus・Proの違いをやさしく比較 へ
日本で使える？
まだ分かりません。元記事には、日本を含む地域ごとの条件が書かれていません。
- 10億ドル分の利用枠は「重要なサービスやデジタル基盤を守る防御担当者」向けで、一般の個人が使うものではありません
- 対象の国・地域、審査の有無、申し込み先は元記事に記載がありません
- バグバウンティに参加したい人は、OpenAIのSecurity Bug Bountyの公式ページで条件を確認してください
- Daybreakの提供地域や日本語対応も、元記事からは分かりません
自分にはどう関係する？
会社員として
社内のセキュリティやシステムを担当している人には関係があります。OpenAIは、前回スプリントの設計と教訓を公開するとしています。
AIに弱点を探させ、隔離環境で再現し、修正案まで作らせる流れは、自社の脆弱性対策の参考になります。公開資料が出たら、チームで読み合わせる価値があります。
副業・独立を考えている人
脆弱性探しを副業や本業にしている人には、報奨金の引き上げが直接関係します。重大な発見の報奨金が4倍超になるからです。
ただ、具体的な金額は分かりません。参加前に、公式ページで対象範囲と金額を確かめてください。それ以外の副業には、直接の影響は小さいです。
お金・資産づくりの面で
この立場への直接の影響は小さいです。10億ドルの利用枠はOpenAIの支援策で、個人の家計や資産に直結する話ではありません。
この数字はどう読む？
10億ドルは、円にすると約1,580億円です（サイソク編集部の計算、1ドル=157.90円・11/2時点のECB参照レートで換算）。
これを6カ月で出すという約束で、1社の支援策としては大きな額です。ただし、何組織に配るのか、1組織あたりいくらなのかは書かれていません。金額の大きさだけで、個々の防御担当者への効果は判断できません。
これまでの流れ
- 10月9日：OpenAIが、Codexでシステム障害の原因を特定し、数分で自動修正するデモを公開（Codexの障害自動復旧デモ）
- 11月3日：前回スプリントでCodexを脆弱性の調査と修正案づくりに使ったと公表し、次回スプリントの準備と報奨金4倍超を発表（今回）
10月のデモは障害対応、今回はセキュリティです。どちらも、Codexを「直す作業」まで使う方向で共通しています。
まとめ
OpenAIは、AIで弱点を見つけて直す流れを、社内から外部の研究者や防御担当者へ広げようとしています。
編集部としては、前回の成果が件数などの数字で示されていない点が気になります。報奨金も「4倍超」とだけあり、金額は不明です。ここは期待しすぎず、公開される教訓の中身を見て判断した方がよさそうです。
セキュリティ担当の人は、公開資料が出たら自社の対策と照らし合わせてください。弱点探しを仕事にする人は、報奨金の新条件を公式ページで確かめておきましょう。
