OpenAI、Webアプリを侵入テストするAIエージェント製品2つを発表

何が発表されたか

OpenAI は2026年11月12日のイベント「Cyber at the Frontier」で、サイバーセキュリティ製品群 Daybreak の新製品2つを発表した。SecurityWeek が11月13日に報じた。

Daybreak Red Team（早期アクセス）

• 複数のAIエージェントでWebアプリケーションの侵入テストを行い、弱点の可能性を調査して脆弱性を確定する。
• コードスキャナーの検出結果、バグバウンティの報告、脆弱性開示レポートのレビューにも使える。
• 現在は早期アクセスで、申し込みを受け付けている段階。

Daybreak Defense Factory（リサーチプレビュー）

• Daybreak Red Team や Wiz、Snyk、Endor Labs などのツールが出した検出結果を調査する。
• エージェントが脆弱性をコード内で追跡し、パッチを下書きする。マージ前にエンジニアがレビューする前提。
• 接続した GitHub リポジトリのスキャン、新規コミットの監視、定期的な評価の実行に対応する。
• GitHub のドラフトプルリクエストを作成するが、パッチを自動でデプロイすることはしない。
• Daybreak へのアクセス権を持つワークスペース向けに、ChatGPT のプレビュープラグインとして提供される。

取るべき対応

• これは防御側に提供される製品であり、ただちに対応が必要な脆弱性情報ではない。影響を受けるのは、自社または受託案件のWebアプリの脆弱性診断・修正フローを持っているチーム。
• Defense Factory が「ドラフトPRを作るが自動デプロイはしない」構成になっている点は、エージェントに修正を任せる際の設計として参考になる。自前でコード修正エージェントを組み込む場合も、マージ前の人間レビューを必須にする前提を崩さないほうがよい。
• 攻撃側がすでにAIで脆弱性探索を進めている状況（別途公開されている脅威レポートを参照）に対し、防御側のツールも同種の自動化に向かっている。診断の頻度やタイミングを見直す材料にはなる。
• 提供形態は早期アクセスとリサーチプレビューのため、現時点で一般の制作会社がすぐ使える状態ではない。