OPENAI SEARCH INSIGHT

2026.10.11 / OpenAI最新情報

Sophos、OpenAI Daybreakで脅威調査時間を96％短縮

この記事で分かること: SophosがOpenAI Daybreakを用いてMDRの脅威調査・対応をどのように自動化し、人による統制をどう維持しているかを知りたい。

OpenAIは2026年10月9日、SophosがOpenAI Daybreakを活用し、サイバー脅威の調査・対応にかかる平均時間を約38分から89秒へ短縮したと公表した。これは約96％の短縮に相当し、SophosはMDR案件の52％をAIでエンドツーエンドに解決できるようになったとしている。

重要なのは、Sophosが単に分析を高速化したのではなく、自社の脅威インテリジェンス、対応プレイブック、アナリストの知見をエージェントに組み込み、顧客ごとの文脈を踏まえた調査工程を自動化した点だ。破壊的になり得る操作には人の監督を残し、AIの自律性を運用境界の中に置いている。

OpenAIが公表したSophosのDaybreak活用

今回の発表はOpenAIの「Official News」として公開された事例紹介である。対象となるSophosは、業種・地域をまたいで62万5,000超の組織を保護しているといい、長年にわたり蓄積した攻撃対応の専門知識を、OpenAI Daybreakを通じて拡張している。

OpenAIの説明によれば、先端AIは防御側にとって脅威の発見・調査を速める手段になる一方、攻撃側も脆弱性の発見や悪用の高速化にAIを利用できる。防御側に残された対応時間が狭まるなかで、Sophosは専門家の判断をより多くの顧客へ展開することを狙う。

SophosのJohn Peterson CTOは、DaybreakのようなプログラムとOpenAIのような企業がもたらす「フロンティア・インテリジェンス」により、サイバーセキュリティのドメイン知識を全顧客の支援へスケールできるという趣旨を述べている。公式発表での位置付けは、分析担当者向けの単体ツール導入ではなく、運用知識の増幅である。

38分から89秒へ、96％短縮の内訳

Daybreak導入前、Sophosでは1件のケースを調査して対応する作業が主に人の専門知識に依存しており、平均所要時間は約38分だった。Peterson CTOによると、この水準はプロフェッショナルなセキュリティ運用センターの96％より優れた性能だったという。

Daybreakを通じて構築したエージェントを使うケースでは、平均応答時間が約38分から89秒へ低下した。OpenAIの発表はこの変化を約96％の時間短縮として示している。ただし、これはSophosの全作業一般ではなく、エージェントを使用するケースについての平均値として読む必要がある。

またSophosは、MDRで扱うケースの52％をAIでエンドツーエンドに解決できるようになったと説明する。ここでいう自動化は、Sophosのアナリストが調整した境界内での自動処理であり、あらゆるインシデントに人の確認なしで対処することを意味しない。

Sophos Fusionで処理するデータとケース

取り組みの中心には、MDRを含むAIネイティブのサイバー防御システム「Sophos Fusion」がある。同システムはSophos製品に加え、500超のサードパーティー連携からセンサーデータを集約する。センサー群は毎日、数兆件規模のイベントを生成するという。

Sophosはその大量イベントを絞り込み、9つのセキュリティ運用センターが調査する1日およそ1,000〜2,000件のケースへと集約している。生成AI活用で実務上の価値が出る位置は、イベント収集そのものより、優先度付けされたケースに対する調査、計画、対応判断の連鎖にある。

日本企業が類似の仕組みを評価する際も、モデルの性能だけでなく、入力データの品質、検知ルール、資産情報、顧客・部門ごとの業務文脈が接続されているかを確認すべきだ。根拠となるテレメトリーや資産台帳が不十分なら、回答速度だけが上がっても調査品質は担保しにくい。

調査エージェントとplan-execute-review

OpenAIの公式発表では、調査エージェントがケースごとに顧客コンテキスト、検知内容、侵害指標（IoC）、関連する脅威インテリジェンスを収集する。その情報を受け、計画モデルが調査を進めるためのループを作る構成だ。

このループは、調査計画を立て、必要な手順を実行し、推奨する対応アクションを含む要約を作成して、アナリストのレビューに渡すというものだ。別のエージェントが対応処理の一部を実行することもある。重要なのは、エージェントに自由な操作を許すのではなく、作業を計画・実行・見直しへ分解している点にある。

開発者やSOC設計者にとっては、AIエージェントの導入範囲を「チャットでの助言」から「証跡を伴うワークフロー実行」へ広げる際の参考になる。各ステップで何を取得し、何を根拠に判断し、どのアクションを誰へ引き渡すかを明示的に設計することが、監査性と再現性に直結する。

顧客権限と人による監督の設計

SophosのMDRサービスには、顧客の統制を組み込む3つの運用モードがある。「Notify」ではSophosが調査と対応推奨を行い、実際の行動は顧客が実施する。「Collaborate」では、行動前にSophosと顧客が協働する。「Authorise」では、Sophosが顧客に代わって直接対応できる。

これらの境界は、作業を人が行う場合にもエージェントが行う場合にも適用される。Sophosは、自動化によって迅速化し、アナリストの時間を有効活用する一方、潜在的に破壊的なアクションには適切な水準の人による監督を求めるとしている。

Peterson CTOは、エージェントに任せることに不安が残る処理は人の判断へ引き渡すと説明した。すなわち、今回の公式事例での設計原則はAIによる高速化と人の最終判断を併用することにある。自動隔離、設定変更、アカウント無効化など影響の大きい操作を検討する組織では、承認境界を具体的に定義する必要がある。

Agent Memories編集部の考察

公式発表から読み取れる技術的な新規性は、LLMを脅威情報の要約器として使うだけでなく、顧客文脈、検知、IoC、外部・内部の脅威情報、対応プレイブックを結び、ケース処理の流れそのものをエージェント化していることだ。特に、調査計画と実行結果の要約を分離する構造は、レビュー可能性を高めやすい。

一方で、96％短縮や52％自動解決という数字を、異なる組織がそのまま再現できる成果として扱うべきではない。Sophosには多数の顧客環境、長期に蓄積した対応知識、500超の統合、9つのSOCという前提がある。日本の実務では、自社のケース分類、ログ欠損率、プレイブック成熟度ごとに評価を分けることが現実的だ。

導入評価では、平均処理時間に加え、誤った結論の率、エスカレーション率、根拠提示の完全性、推奨アクションの採用率、重大操作の差し戻し率を追うべきである。AIが短時間で出した結論を後から検証できなければ、SOCの責任分界やインシデント報告の品質を損なう可能性がある。

また、攻撃者側もAI能力を利用できるというOpenAIの問題提起を踏まえると、AI導入を既存の防御基盤の代替と捉えるのは不十分だ。Sophos CTOはパッチ適用、エンドポイント保護、多要素認証、ネットワーク分割、強いセキュリティ運用を含む多層防御の重要性を挙げている。エージェントはこの基盤の上で運用負荷を減らすものと考えるべきだ。

よくある質問

OpenAI Daybreakは何をしたのか

公式発表によれば、SophosはOpenAI Daybreakを通じて構築したエージェントで、ケースに関する顧客文脈、検知、IoC、脅威インテリジェンスを集め、調査計画、実行、レビューのループを運用している。OpenAIモデルとSophos固有の知見・プレイブックを組み合わせた取り組みである。

52％のMDRケース自動化は完全な無人対応を意味するか

意味しない。SophosはMDRケースの52％をAIでエンドツーエンドに解決したと説明する一方、処理はアナリストが調整した境界の中で行われる。潜在的に破壊的な操作には適切な人の監督を置き、不安が残る処理は人の判断へ渡すとしている。

顧客は対応の実行権限を選べるのか

公式発表では、Notify、Collaborate、Authoriseの3モードが示されている。顧客自身が対応する形、Sophosと顧客が共同で判断する形、Sophosが顧客に代わって直接対応できる形があり、人とエージェントのどちらが作業する場合にも同じ境界を適用する。

日本のSOCがまず見直すべき項目は何か

公式に記載されたSophosの実装を踏まえると、まずケース調査で必要な資産情報、ID情報、検知根拠、IoC、脅威情報、対応手順が一貫して参照できるかを点検したい。その上で、AIが提案まで担うのか、実行まで担うのか、どこで人の承認を必須にするのかを定義する。

まとめ

OpenAIの公式発表では、SophosはDaybreakを使い、エージェント利用ケースの平均応答時間を約38分から89秒に縮め、MDRケースの52％をAIでエンドツーエンドに解決した。成果の核はモデル単体ではなく、脅威インテリジェンス、対応手順、顧客文脈、人のレビューを接続した運用設計にある。

実務では、処理時間短縮だけを成功指標にせず、根拠の追跡、権限設計、例外時の人への引き渡し、既存の多層防御との接続を評価することが重要になる。AIエージェントの適用範囲を段階的に広げながら、自動化できる判断と人が保持すべき判断を分離することが、SOCにおける持続的な活用の前提となる。

本カテゴリはMiraigent / Agent Memoriesによる非公式編集記事です。OpenAIとの提携・承認・後援を示すものではありません。