一言で言うと
汎用AIの性能向上は、攻撃能力の自動化と切り離せません。攻撃者の単価だけが下がる非対称な構造が、これからのセキュリティ投資の主戦場を決めます。
何が起きているのか
英国にAI Security Institute (AISI)という独立機関があります。AIの安全性を国家レベルで評価する組織です。今回そのAISIが、OpenAIのGPT-5.5がAnthropicのClaude Mythos Previewと並ぶサイバー攻撃能力を持つ、と発表しました。
評価には95個の演習タスクが使われました。脆弱性を見つけて旗を奪う形式の攻撃演習で、4段階の難易度で構成されています。
GPT-5.5は、能動的な防御がないネットワーク上の前提付きですが、複数段階を踏む企業攻撃シミュレーションを完全に解いた2例目のモデルです。最初はClaude Mythos Previewでした。
高難易度のタスクは、サイバーセキュリティ企業のCrystal Peak SecurityとIrregularが協力して作りました。中身は、リバースエンジニアリング、メモリ欠陥への攻撃コード作成、暗号攻撃、難読化されたマルウェアの解読です。
AISIは重要な観察を残しています。これらのモデルは攻撃のために特別に訓練したわけではない、というものです。自律性やプログラミング能力という汎用的な改善の副産物として、攻撃能力が出てきています。
GPT-5.5はChatGPTや、外部のサービスから呼び出せる窓口（API: Application Programming Interface）を通じて誰でも使えます。AnthropicはClaude Mythos Previewを限定公開にしていますが、片方が広く出回っている時点で構造はもう動いています。
AI業界の文脈では
これまで「AIの安全性」と言うと、誤情報の拡散や有害コンテンツの生成が中心でした。サイバー攻撃の文脈では、攻撃にも防御にも使える性質、というよくある両刃の剣の議論で扱われてきました。
ところが今回のAISIの指摘は、もう一段深いところを突いています。攻撃能力だけを切り離して取り除くことはできない、という構造の話です。
汎用AIは推論能力やコーディング能力が上がるほど、攻撃にも自然と強くなります。これは、危険な機能だけを除いて安全な機能だけを残す、という従来の発想が成立しないことを意味します。性能を上げる開発と、攻撃能力の上昇は分離できません。
評価機関の役割も問われます。AISIは事後評価しかできません。GPT-5.5はすでに広く使われています。「リリース前に評価して止める」という運用は、現実には難しくなっています。
私の見立て
ここで効いている本当の力は、攻撃と防御の単価の非対称です。
攻撃側はこれまで、熟練エンジニアが数日かけて実行していた作業を、AIで自動化できるようになります。一方で防御側は、パッチ適用や監視、インシデント対応に人手が必要なまま変わりません。同じAIの進化で、片方の単価だけが大きく下がります。
もう一つ見逃せないのは、評価結果の公開そのものが攻撃側へのシグナルになる点です。AISIが「GPT-5.5は攻撃能力が高い」と公開したこと自体が、攻撃者に対して「これが使える」というメッセージになります。評価機関の根本的なジレンマです。
つまり対策の主戦場は、危険なAIを止めるところから、標的になる側がコストを上げるところへ移ります。攻撃の単価が下がる前提に立てば、自分が標的になる閾値も下がります。これまで「うちは狙われるほどではない」と思っていた中小企業や地方自治体も、対象に入ってきます。
→ 何が変わるか: 攻撃側の単価が下がるため、これまで標的にならなかった規模の組織も狙われ始めます。一方で防御側は、人手依存の対応コストが下がらないため、攻撃と防御のコスト差は広がっていきます。
→ 何をすべきか: 企業は「侵入された後、何分・何時間で検知して隔離できるか」という数値目標を立てるところから始めます。個人は二要素認証とパスフレーズ強化を、もう先送りできない段階に来ています。