OpenAI、AIによるPHPの重大な脆弱性特定と協調対応を発表——新たな対応枠組みも提唱
要点
-
米OpenAIは「Patch the Planet」を通じ、最先端AI「GPT-5.6 Sol」等を活用してPHPの重大な脆弱性を発見・修正したと発表した。
-
PHPメンテナー主導のもと、WizやCloudflare、米政府機関等と連携し、一般公開前の事前防御体制を構築した。
-
影響環境の特定支援として、Codexスキル「PHP version checker」をGitHub上で公開した。
-
リソースが限られる重要組織を支援するため、10億ドル規模の「Daybreak」助成アクセス枠を設ける方針を表明した。
-
AIによる脆弱性発見の急増を見据え、検証から導入支援に至る5段階の国際対応フレームワークを提案した。
-
米OpenAIは2026年10月21日、Web開発で広く利用されているオープンソース言語「PHP」において重大な脆弱性が特定され、関係者と連携して協調的な修正対応を実施したと公式ブログで発表した。同社が進める「Patch the Planet」イニシアチブのもと、攻撃者に先駆けて最先端AIで欠陥を発見し、事前の防御策を講じる猶予を確保したという。同社は今回の対応実績をもとに、AI時代における脆弱性対応の新たな枠組みを提唱している。
最先端AIによる脆弱性の発見と「防御側の猶予」の確保
発表によると、OpenAI主導の枠組みにおいて研究者のCalifが「GPT-5.6 Sol」を用いてPHPの重大な欠陥を特定した。また、クラウドセキュリティ企業のWizも独自に2件の脆弱性を発見し、報告を行っていたという。
PHPは世界中のWebサイトやWebアプリケーションを動かす基盤として広く普及しており、OpenAIは今回の問題を「近年の記憶において最も影響の大きいセキュリティ問題の一つ」と位置づけている。AIが大規模な欠陥を発見できる有用性が示された一方、攻撃者側もエクスプロイト（脆弱性を悪用する攻撃プログラム）を急速に開発できるリスクを併せ持つと指摘する。
今回の事例では、最先端AIが攻撃者より先に欠陥を発見したことで、一般公開前にパッチや防御策を整える「ディフェンダーズ・ウィンドウ（防御側の猶予期間）」が開かれたとしている。あわせて同社は、管理者が影響を受けるPHPのバージョンを特定できるよう、Codexスキル「PHP version checker」をGitHubで公開した。管理者は公式ガイダンスと併用することで、潜在的に脆弱な環境を特定し、適用すべき更新を判断できるという。
官民連携による事前防御体制と10億ドル規模の支援
修正作業はPHPのメンテナー（ソフトウェアの保守・管理担当者）が主導し、OpenAIやWiz、Cloudflareなどのパートナー企業が技術調査や支援、事前防御の調整を担当したと説明されている。
さらに、重要インフラや不可欠なサービスを提供する組織へガイダンスを確実に届けるため、米政府機関とも連携が行われた。連携先にはホワイトハウスの「Super Intelligence Force」、国家サイバー調整官オフィス（ONCD）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、および国際パートナー機関が含まれている。
また、リソースが不足している組織が同様の防御能力を活用できるよう、OpenAIは「Daybreak for Frontline Defenders」を通じて10億ドル規模の「Daybreak」助成アクセス枠を提供すると発表した。不可欠なサービスを保護する現場の組織を支援することが狙いだという。
AI時代を見据えた5段階の脆弱性対応フレームワーク
OpenAIは、今回特定された不具合はすでに発見されている複数の重大な脆弱性の一部にすぎず、今後数か月で同様の発見が急増すると予測している。こうした状況に対応するため、同社はAI時代に適した5段階の対応プロセスを提案した。
- 上流の脆弱性の検証と修正: メンテナーと研究者が欠陥を評価・修正する。最先端モデルによる敵対的テスト（パッチの回避手法や類似の変種を探る検証）も含まれる。
- 影響組織への事前対応時間の確保: 事前に対策が必要な組織へ情報を共有し、旧バージョン向け修正の移植やWAF（Webアプリケーションへの不正通信を遮断する仕組み）ルールの策定などを進める。
- 重要システム保護に向けた政府パートナーとの連携: 政府機関と協力し、重要インフラ等を担う組織へ確実にガイダンスを届ける。
- 影響を受ける製品全般でのアップデート準備: 修正方針の確定後、ディストリビューターや事業者を巻き込み対応範囲を網羅する。
- パッチ公開後のガイダンス公表と導入支援: 管理者が被害リスクの評価や暫定的な緩和策の確認を行えるよう支援する。
情報共有は各組織の保護役割に応じて行われ、悪用の兆候や情報漏洩が発生した場合はタイムラインが見直される。専用サイト「Patch the Planet」では公式情報やCISAガイダンスへの案内が集約されている。