OpenAIは、オープンソースのプログラミング言語PHPに存在する重大な脆弱性を発見し、過去2か月にわたりメンテナー、研究者、セキュリティ事業者と連携して対応にあたってきたことを明らかにした。同社の取り組み「Patch the Planet」の一環として、同社のCalifチームが「GPT-5.6 Sol」を用いて欠陥を特定したという。

　今回の脆弱性は、クラウドセキュリティ企業Wizも独自に両方の脆弱性を発見・報告している。PHPのメンテナーが修正とリリースを主導し、OpenAIのチームやWiz、Cloudflareなどのパートナーが調査、技術支援、調整に協力することで、情報公開に先立って防御策を準備した。

　PHPを利用する組織に向けて、OpenAIはPHPバージョンチェッカーをCodexスキルとして公開している。運用担当者が脆弱性のある可能性があるPHPバージョンを特定し、必要な更新を判断できるよう支援するものだ。同社は今回の問題について、PHPの普及度と欠陥の深刻さを踏まえ、近年で最も影響の大きいセキュリティ問題の一つと位置づけている。

　OpenAIは、今回の事例がAIによるインターネット規模の脆弱性発見能力を示す一方、同じ能力が攻撃者による攻撃ツールやエクスプロイトの迅速な開発にも役立つ可能性があると指摘。同社の知る限り、フロンティアAIは攻撃者より先にこれらの脆弱性を発見しており、メンテナーやセキュリティ事業者は公開前に修正や防御策を準備する猶予期間を得られたという。

　防御側の支援として、同社は「Daybreak for Frontline Defenders」を通じて、Daybreakの利用に10億ドルの助成を行うことを約束している。限られたセキュリティリソースで社会に不可欠なサービスを守る組織に支援の重点を置くという。

　あわせて同社は、広く使われているソフトウェアの重大な脆弱性に対応するAI時代の枠組みを提案した。この枠組みは5段階で構成される。すなわち、（1）上流の脆弱性の検証と修正、（2）影響を受ける組織の対応時間の確保、（3）重要システムの保護に向けた政府機関との連携、（4）影響を受ける各製品の更新準備、（5）パッチ提供開始後のガイダンス公開と適用支援、である。

　PHPの事例では、ホワイトハウスのSuper Intelligence Force、国家サイバー長官室（ONCD）、サイバーセキュリティ・インフラセキュリティ庁（CISA）など米国政府の複数の部門や、国際的なパートナーとの連携にも取り組んだとしている。

　メンテナー支援の面では、Codex for OSSを通じたすべてのメンテナーへのサブスクリプション提供や、Rust Foundationなどのプロジェクトへの直接的な資金援助を進めている。オープンソースプロジェクトはPatch the Planetに応募することで実務的な支援を受けられる。また、悪用の可能性を減らすため、Daybreakに追加するブロック用分類器の調整も進めているという。

　より長期的な取り組みとして、OpenAIは安全なコーディング、メモリ安全な言語への移行、形式検証、サンドボックスなどの隔離強化といった分野で、AIがエンジニアによる安全なソフトウェア構築を支援できる可能性を挙げている。

　同社は今回のアプローチを公開する目的について、メンテナー、研究者、対応チーム、事業者、運用担当者の協力を得て実際に機能するものとするためと説明。公開までの猶予期間、緊急のパッチ適用、事前通知の範囲、デフォルトで安全なソフトウェアパッケージの実現方法などについて、セキュリティコミュニティから意見を募っている。