2026.11.04

OpenAIが、外の研究者と自社のAIで弱点を探す取り組みを強める。ChatGPTなどの重大な弱点の報奨金は最大3万ドルに、特に重大なものは賞与込みで約17万ドル

キラ

記事内に商品プロモーションを含む場合があります

・OpenAIが2026年11月2日、社内で集中して弱点を探して直す「セキュリティ・スプリント」の次の回を準備していると発表した。外の会社Cathedralの研究者も加わり、OpenAIのAIを使って守りを試す

・あわせて、外の研究者が弱点を見つけて知らせたときの報奨金を引き上げた。中・高・重大の段階の報奨金の幅の真ん中は、平均で4倍を超える

・ChatGPT、Codex、API Platformの重大な弱点は最大3万ドル。特に重大なものは最大10万ドルで、賞与を合わせると最大約17万2,000ドルになる

OpenAIは2026年11月2日、自社のサービスの弱点を見つけて直す取り組みを強めると発表しました。

サービスの弱点は、攻撃する側より先に見つけて直すことが大切です。OpenAIは、社内の技術者と自社のAIで弱点を探すのに加えて、外の会社の研究者や、弱点を知らせてくれる外の研究者の力も借りるとしています。

この記事では、OpenAIの発表で分かったことを整理したうえで、ふだんの仕事がどう変わるのかを考えます。

社内の技術者の25％で、弱点を探して直した

まずは、セキュリティ・スプリントです。

OpenAIの発表によると、次のとおりです。

・前回のスプリントでは、製品の技術者の25％を、システムの弱点を見つけて直す仕事に当てた

・技術者は、プログラムづくりのAI「Codex」を使って、見つかった弱点を調べ、切り離した環境で再現し、直すプログラムを用意した

・次の回には、セキュリティの会社Cathedralの研究者が加わり、OpenAIのAIを使って、OpenAIの守りを試す

・OpenAIは、これまでの守り方だけでは足りなくなっているとし、攻撃する側より先に弱点を見つけて直す流れを、続けて回すことが大事だとしている

OpenAIは、重要なサービスやデジタルの基盤を守る人たちが、性能の高いモデルを安く使えるよう、6か月で10億ドル分の支援を約束しているとしています。

報奨金は、幅の真ん中が平均で4倍超に

次に、外の研究者への報奨金（バグバウンティ）です。

・中、高、重大の段階の弱点について、報奨金の幅の真ん中を、平均で4倍を超えるところまで引き上げた

・ChatGPT、Codex、API Platformのような中心の製品の重大な弱点は、最大3万ドル

・特に重大なものは、これまでどおり最大10万ドルで、賞与を合わせると最大約17万2,000ドル

OpenAIが示した計算の例は、次のとおりです。

弱点の例	これまでの例	新しい計算の例
中：ChatGPTのプロジェクトで、読むだけの権限の人がファイルを上げられる	750ドル	2,415ドル
重大：1回のクリックでアカウントを乗っ取られる	6,500ドル	5万1,577ドル
特に重大：ほかの人のChatGPTの会話を見られる	10万ドル	17万1,925ドル

例は、どれも説明のためのものとしています。

質の高い報告や、続けて協力する人に上乗せ

ここで、新しい上乗せのしくみを見ておきます。

しくみ	中身
質の賞与	弱点を切り分け、いつ悪用できるか、どんな影響があるかを確かに示した報告に、上乗せの倍率をかける
常連の賞与	続けて協力する研究者に、5段階で上乗せする
重点の期間	新しく出た機能について、短い期間、特別な賞与の枠を設ける
さかのぼっての支払い	まだ報奨金を払っていない報告には、新しい幅を当てはめる。発表の前30日に払った分も、新しい幅で高くなる場合は差額を払う

仕事はどう変わるか：AIの会社の「守り」も、AIで速く回す時代に

ここからは、公式の情報をもとにした僕の見方です。

今回の発表で見えてきたのは、AIの会社の「弱点の見つけ方」の変化だと考えています。

これまで、弱点探しは、限られた専門家の手作業が中心でした。今は、AIが弱点を調べて再現し、直す案まで用意し、人が確かめる、という流れで、技術者の4分の1を当てるような大きな点検ができるようになっています。そのうえで、外の研究者には報奨金を大きくして、社内で見落とした弱点を知らせてもらう、という二重の守りです。

ChatGPTに仕事の資料や会話を預けている人にとっては、こうした守りの厚さが、安心して使えるかどうかの土台になります。Anthropicも、AIでプログラムの弱点を常に点検する「Claude Security」を出しています（Claude Securityの記事）。

ChatGPTに取引先とのやり取りや資料を預けている個人事業主にとっても、使っているAIの会社が、どう弱点を探して直しているかを知っておくことは、道具を選ぶ目安の1つになります。

あわせて、知っておきたいこともあります。

・報奨金の対象や金額の細かい決まりは、OpenAIのバグバウンティのページに書かれている

・計算の例は説明のためのもので、実際の金額は報告の中身で決まる

・弱点を探すときは、OpenAIの決まりに沿って行う。決まりの外で他人のアカウントを試すようなことはしない

まとめ：OpenAIが、外の研究者と自社のAIで弱点探しを強め、報奨金を引き上げ

OpenAIは、自社のAIと外の会社の研究者で弱点を探す次のセキュリティ・スプリントを準備し、外の研究者への報奨金を引き上げました。中心の製品の重大な弱点は最大3万ドル、特に重大なものは賞与込みで最大約17万2,000ドルです。

AIの会社の守りが、AIで弱点を速く見つけて直し、外の目も借りる形に変わってきた、というのがいちばん大きな変化です。

仕事でAIを使う人は、使っているサービスが、弱点の報告をどう受け付け、どう直しているかを、公式の案内で一度確かめておくのがよさそうです。

出典

・OpenAI「Preparing our next security sprint to harden OpenAI」（2026年11月2日） https://openai.com/index/preparing-our-next-security-sprint-to-harden-openai/

・OpenAI「Rewarding defenders with bigger bug bounties」（2026年11月2日） https://openai.com/index/rewarding-defenders-with-bigger-bug-bounties/

#OpenAI #セキュリティ

ABOUT ME