報奨金4倍増・元DOGE職員を採用して自社を攻撃：OpenAIのセキュリティ不安はどこから来るのか

2026年11月3日、OpenAIはセキュリティ脆弱性バグバウンティプログラムの大幅改定を発表した。ChatGPT、Codex、およびAPIプラットフォームのクリティカルな脆弱性に対する1件あたりの基本報酬は最高3万ドルに引き上げられ、品質乗数や特別賞金プールと組み合わせることで、最上位のレポートには合計17.2万ドルの報酬が支払われる。Help Net Securityの報道によれば、中高度およびクリティカルレベルの報酬の中央値は平均4倍以上に増加した。同時にOpenAIはCathedral Systemsとの提携を発表し、新たな内部セキュリティスプリントを開始する計画を明らかにした。CathedralのリサーチャーはOpenAI自身のモデルを直接使用し、AIでAIを攻撃する形でOpenAIの防御体系に挑む。

2026年10月31日、二つの注目すべき侵害事件が同日に明らかになった。クラウドアプリケーションホスティングプラットフォームのNorthflankは侵害を受けたことを公表し、攻撃者が顧客の保存するAIサービスのAPIキーにアクセスして不正利用したことを明らかにした。影響を受けたキーにはOpenAIおよびAnthropicの両社のアカウント認証情報が含まれていた。ブロックチェーン分析企業のChainalysisも同日、顧客の氏名・メールアドレス・ユーザーID・組織内役割が漏洩したデータ侵害を公告した。

Northflankの事件は単独で分析する価値がある。窃取されたのはNorthflank自身の業務データではなく、顧客がプラットフォームに組み込んだAI APIキーだった。これは、攻撃者が中間層のサービスプロバイダー1社を突破するだけで、正規の資格情報としてダウンストリームのAIサービスを呼び出せることを意味する。モデル層のアクセス制御をすべて回避した上で、クォータの消費、プロンプトの埋め込み、あるいはAPI呼び出しの悪意あるエンドポイントへのリダイレクトまで可能になる。

Cathedral Systems：この安全保障企業の存在自体がひとつのシグナルである

Cathedral Systemsは2026年に設立され、創業チームは元DOGE（政府効率化省）の技術者で構成されており、脆弱性の迅速な発見で知られている。OpenAIがこの企業を起用した方法も異例だ。Cathedralのリサーチャーは自分たちが使い慣れた独立したツールを使うのではなく、OpenAIのモデルを使ってOpenAIの防御の穴を探すよう求められる。

この設計自体が、AIの能力的限界に関する実験である。同一のモデル群に攻撃者と防御者の両方を演じさせるということは、OpenAIが現在のモデルはセキュリティテスト分野において十分な自律能力を持つと確信していることを意味する。そうでなければ、この仕組みは意味をなさない。しかしそれゆえに、Cathedralが何を発見できるか・できないかはモデルの上限に依存し、モデルのブラインドスポットがそのままスプリントのブラインドスポットとなる。OpenAIは現時点で、このスプリントの対象範囲・開始・終了時期、またCathedralがどのシステム階層のアクセス権を得るかについて開示していない。

報酬体系の変化が示すもの

今回の改定において、報酬体系の変化の方向性は数字そのものよりも分析価値が高い。Help Net Securityの報道によれば、新プランでは5段階のロイヤルティ報酬体系と新機能テスト向けの特別賞金プールが導入された。高品質なレポートには基本報酬への乗数倍増が適用される。またOpenAIは、公告前30日以内に提出済みで未決済のレポートについて新基準で差額を補填し、その期間内のすべてのレポートの本来の報酬を再計算することを約束した。

この「30日遡及」条項は技術的には善意のものだ。しかしその存在が示しているのは、OpenAIが旧来の報酬基準が市場水準を下回っていることをすでに認識しており、高価値なレポートを取りこぼしていた可能性があるということだ。つまり、脆弱性は存在したものの、研究者が報告を選ばなかったか、より高い報酬を提示する他のプラットフォームへ労力を向けていたかもしれない。

OpenAI社内では「Defense Factory（防御工場）」と呼ばれるプロジェクトも稼働している。社内エンジニアが自社のモデルを使って既知の脆弱性を継続的に再現し、修正策の有効性を検証するという仕組みだ。これはAI支援による防御のクローズドループ機構だが、その有効性は会社が何から守るべきかを本当に把握しているかどうかに大きく依存する。そして外部攻撃者の視点こそ、「Defense Factory」が自力では最も補いにくい次元だ。Cathedralの参画は、まさにこの盲点を埋めるためのものだ。

シグナルの背後にある深層ロジック

これらの出来事を並べて見ると、プラットフォームエコシステムへの侵害（10月31日）→ 報酬4倍増＋外部レッドチーム導入（11月3日）→「過去30日」への遡及補填、という流れが浮かぶ。合理的な解釈は、OpenAIが何らかの内部情報をすでに把握しており、この時点でより高いセキュリティコストを投じることが合理的だと判断したということだ。

AI企業のセキュリティ投資は長らく構造的なジレンマに直面してきた。モデルとインターフェース能力のイテレーション速度が、セキュリティ監査のカバー速度を体系的に上回っているのだ。ChatGPTの機能拡張のたびに新たな攻撃面が生まれ、モデルのアップグレードのたびに従来の挙動境界テストを一からやり直す必要がある。この文脈において、「報酬4倍」は「セキュリティが4倍向上した」ことを意味しない。OpenAIが脆弱性発見に対してより高い外部コストを払う意思を示したに過ぎず、実際にクリティカルな脆弱性を発見できるかどうかは、研究コミュニティの実際のカバー能力とCathedralスプリントの質にかかっている。

報酬額よりも、Cathedral提携においてより追跡すべき問題は、このスプリントの成果が公開されるかどうかだ。ChatGPTのコア機能に影響する脆弱性が発見された場合、修正の時間的窓の中で一貫した情報管理が行われるのか。OpenAIの発表はこれらの問いに答えていない。しかしその答えこそが、このセキュリティスプリントが真の能力向上なのか、それとも実質よりもPR的意味合いの強い表明なのかを直接左右するだろう。

独立した評価

報酬の4倍増、外部レッドチームの導入、過去1か月への遡及補填——この三つが組み合わさると、四半期ごとの通常アップデートというよりも、実際のインシデントをきっかけとした迅速な対応のように見える。OpenAIはこの点を直接認めていない。AI基盤インフラは「付随的な攻撃対象」から「主要な攻撃対象」へと変化しつつあり、この転換はNorthflank事件において定量化可能な形で示された。そしてOpenAIがこのタイミングで報酬を4倍に引き上げることを選んだのは、この判断に対する同社自身による最も明確な裏書きである。