Fugu-Cyberとは？Sakana AIセキュリティ特化モデルの性能・料金・制約を解説

Sakana AIは2026年7月21日、サイバー防御に絞ったオーケストレーションモデル「Fugu-Cyber」を公開しました。モデルIDはfugu-cyber-v1.0で、既存のSakana Fuguに追加されたエンドポイントという位置づけになります。公表値はCyberGymで86.9%、CTI-REALMで72.1%。ただしCyberGym公式リーダーボードに載る最高水準は22.0%であり、この4倍近い開きをどう読むかで採用判断は変わります。この記事では単価と272Kしきい値の課金構造、申請制の二段階承認、欧州除外という規約上の制約まで、実装計画に直結する条件を整理します。

まとめ：Fugu-Cyberの要点と、導入判断の分かれ目

Fugu-Cyberは新しいフロンティアモデルではありません。Sakana Fuguの系列に追加された防御用途向けのオーケストレーションエンドポイントで、単一のAPIの裏側で複数のLLMに役割を割り振ります。公開されたベンチマークは2種類。実在の脆弱性を再現するCyberGymで86.9%、脅威レポートから検知ルールを起こすCTI-REALMで72.1%となっています。

この数値はSakana AI自身の測定で、外部研究機関による追試は行われていません。CyberGymの判定は「1インスタンスにつき何回試して、いずれかが成功すれば解決」という設計。試行回数と計算予算を明かさないまま出た86.9%は、公式リーダーボードのGPT-5（thinkingモード）22.0%と同じ土俵の数字として読めません。

実務で先に確認すべき制約は3つあります。従量課金のみでサブスクリプションの対象外、テストや検証といった行為そのものに事前の書面承認が必要、そしてEU・EEA・英国・スイスの利用者は規約で除外。判断としては、OSS依存の多い自社プロダクトの脆弱性再現に用途を絞れるなら検討に値します。欧州拠点を含む共通基盤・第三者検証済みの性能根拠を求められる監査要件・数名規模のSOC・攻撃側の検証という4条件のいずれかに当たるなら、現時点では採用しません。

Fugu-Cyberの正体｜単一APIの裏で複数LLMを束ねるオーケストレーション構成

製品の輪郭を、モデルではなくエンドポイントとして捉えると理解が早くなります。

Fugu-Cyberの位置づけ｜新規フロンティアモデルではない追加エンドポイント

2026年7月21日にリリースされたFugu-Cyberは、ゼロから学習された基盤モデルではありません。Sakana Fuguが持つ「複数のAIを束ねて単一のモデルのように扱う」仕組みを引き継ぎ、そこにサイバー防御向けのエンドポイントを追加した構成です。モデルIDはfugu-cyber-v1.0。呼び出し側から見れば、接続先とモデル名を差し替えるだけで既存の実装に組み込めます。

設計の狙いは、単一ベンダーへの依存リスクを分散したまま複雑な多段タスクをこなすこと。脆弱性の再現や脅威情報の解析は、コードを読む工程・仮説を立てる工程・結果を検証する工程が入り混じります。1つのモデルに全部を任せるより、工程ごとに向いたモデルへ割り振るほうが成功率が上がるという発想です。モデルの重みは公開されておらず、API経由の利用に限られます。

Thinker・Worker・Verifierの3役割｜非公開のルーティング判断

技術資料が明かしている内部構成は、複数のLLMにThinker・Worker・Verifierという役割を割り当てるという記述にとどまります。Thinkerが方針を立て、Workerが実際の解析やコード生成を担い、Verifierがその結果を検証する。パッチを提案する前に検証を挟む点が、汎用のオーケストレーションとの違いです。

一方で、実装者が知りたい情報はほぼ非公開のままです。Workerに使うモデル、エージェントの体数、トポロジ、プロンプト構成、リトライ回数、1タスクに割り当てる計算予算。いずれも公表されておらず、ルーティングのロジックも独自仕様。この不透明さが、後述するコスト見積もりとベンチマーク解釈の両方に影を落とします。

Fugu・Fugu Ultraとの違い｜防御用途に絞った検証重視の設計

Fugu／Fugu Ultraは汎用のオーケストレーションで、コード生成から文書処理まで幅広く受けます。対してFugu-Cyberは用途を防御側に限定し、脆弱性の検証と検知ルール生成に寄せた設計。API実装の手順や料金プランの全体像、Fugu Ultraの性能はSakana Fuguの使い方とFugu Ultraのベンチマークで扱っているため、本記事はCyber特化部分に絞ります。

課金面の違いも明確です。Standard（月20ドル）・Pro（月100ドル）・Max（月200ドル）のサブスクリプションはFuguとFugu Ultraを含みますが、Fugu-Cyberは対象外。従量課金のみでの提供です。単価はFugu Ultraのちょうど1.2倍に設定されており、専門特化ぶんの上乗せという位置づけになります。

公開ベンチマーク2種｜CyberGym 86.9%とCTI-REALM 72.1%の中身

2つのベンチマークは測るものがまったく違います。数値を比べる前に、課題設計を押さえます。

CyberGym 86.9%｜1,507件の実脆弱性でPoC再現を測る課題設計

CyberGymはカリフォルニア大学バークレー校が公開したベンチマークで、188の大規模ソフトウェアプロジェクトから集めた1,507件の実在脆弱性で構成されます。母集団はGoogleの継続的ファジングサービスOSS-Fuzz（431プロジェクト・1,748実行ファイル）。エージェントに与えられるのは脆弱性の説明とパッチ適用前のコードベースで、求められる成果物はPoCです。

合格条件は2段構えになっています。パッチ前のビルドではクラッシュを発生させ、パッチ後のビルドではクラッシュさせない。つまり「たまたま落ちるだけの入力」は通りません。この作業は人間の専門家でも手こずる領域で、ファジングによる脆弱性の自動検出と地続きの課題設計だと言えます。判定ルールで見落とせないのは「1インスタンスあたり複数回試行し、いずれかが成功すれば解決とみなす」という一文。ここが後述する数値解釈の分かれ目になります。

CTI-REALM 72.1%｜脅威レポートからSigmaルールを出す軌跡評価

CTI-REALMはMicrosoftが公開した検知エンジニアリング向けのベンチマークです。Datadog Security Labs・Palo Alto Networks・Splunkなどが公開した脅威レポート37本を出典に、エージェントは4段階の作業を要求されます。MITRE ATT&CKの技法へマッピングし、テレメトリを探索し、KQLクエリを反復して精度を上げ、検証済みのSigmaルールとして出力する。生のインテリジェンスを運用可能な検知ロジックへ翻訳する工程そのものが評価対象です。

72.1%という数値の性質には注意が必要です。単純な正解率ではなく、途中の軌跡（trajectory）に置かれたチェックポイントと最終出力を合成したスコアだと説明されており、CyberGymの成功率と横並びには扱えません。出力されたKQLやSigmaを回す先は既存のSIEMで、Microsoft SentinelのKQLとSOAR連携のような環境が受け皿になります。ルールの初稿を機械が書き、運用者が検証して投入する分業が現実的な使い方です。

スコアの読み方｜原著リーダーボード22.0%との乖離と試行回数の効き方

公表値をそのまま自社環境の期待値にすると、見積もりが崩れます。乖離の原因を分解します。

原著リーダーボード22.0%との4倍差｜試行回数で動くスコアの性質

CyberGym公式サイトのリーダーボードでは、GPT-5のthinkingモードが22.0%の成功率を記録しています。Sakana AIが主張する86.9%は、この約4倍。同じベンチマーク名でありながら、桁が違うと言っていい差です。

差が生まれる仕組みは判定ルールに書かれています。「いずれかの試行が成功すればそのインスタンスは解決」。試行回数を10回にすれば1回のときより成功率は上がり、20回にすればさらに上がります。オーケストレーションモデルは内部で複数のエージェントに何度も試させる構造なので、試行数と計算予算を積めば数値は伸びる。Sakana AIはこの前提条件を公表していません。比較対象として並べられたGPT-5.5-Cyberの85.6%、Claude Mythos Previewの83.1%も同社の測定値です。防御特化モデルの設計思想そのものはGPT-5.4-Cyberの防御特化設計で扱った系譜の延長にあり、思想の比較はできますが、スコアの比較は条件が揃うまで保留するのが妥当です。

未公開の前提条件｜試行数・プロンプト構成・実行日と外部追試の不在

Sakana AIが公開したベンチマーク資料には、試行回数・プロンプトの具体的な構成・実行日時・パラメータ設定が含まれていません。CTI-REALMについても評価条件の詳細は同様です。そして現時点で、外部の研究機関による追試や検証は行われていません。自己申告の段階にとどまります。

ここから導かれる実務上の作法は1つです。ベンチマーク値を採用の根拠にせず、自社のコードベースからサンプルを切り出して再現率を自前で測る。CyberGymの母集団はOSS-Fuzz対象のOSSプロジェクトなので、社内の独自コードや業務システムでは前提が変わります。1.3ポイントの差を根拠にモデルを選ぶ判断は、条件が非公開である以上、意味を持ちません。

API仕様と料金｜fugu-cyber-v1.0の単価と272Kしきい値の課金構造

接続の作法は素直ですが、料金は文脈長に応じて跳ねます。

OpenAI互換エンドポイント｜fugu-cyber-v1.0のモデルID確認手順

Fugu-CyberはOpenAI互換のエンドポイントで提供され、Responses・Chat Completions・Models の3系統に対応します。既存のOpenAI互換クライアントを使っているなら、ベースURLとモデル名の差し替えで済みます。モデルIDはfugu-cyber-v1.0です。

公開直後には注意点がありました。ドキュメントのサポート対象モデル一覧にfugu-cyber-v1.0が反映されず、記載と実挙動がずれていた期間があります。リリース当日に起きやすい反映遅れです。承認を得たあとの最初の作業に、モデル一覧を返すエンドポイントを叩いてIDが実際に引けるかを確かめる手順を入れておくと、初期の切り分けが楽になります。

トークン単価｜入力6ドル・出力36ドルとFugu Ultra比1.2倍の位置

従量課金の単価は100万トークンあたりで固定されており、コンテキストが272Kトークンを超えると別レートに切り替わります。Fugu Ultraと並べると、専門特化ぶんの上乗せ幅が見えます。

標準レートはいずれもFugu Ultraの1.2倍で揃っています。注目すべきはキャッシュ入力が0.6ドルと入力の10分の1に設定されている点。同じコードベースの説明や社内の検知ルール規約を繰り返し送る設計なら、キャッシュを効かせるだけで入力側の費用が大きく下がります。

272Kしきい値の課金｜入力2倍・出力1.5倍で膨らむ長文解析コスト

272Kを超えたときの上げ幅は入力と出力で異なります。入力は6ドルから12ドルへ2倍、出力は36ドルから54ドルへ1.5倍、キャッシュ入力は0.6ドルから1.2ドルへ2倍。大規模なコードベースを丸ごと渡す使い方だと、このしきい値超えが例外ではなく常態になります。

試算してみます。入力30万トークン・出力2万トークンの解析を1回走らせると、入力は12ドル×0.3で3.6ドル、出力は54ドル×0.02で1.08ドル。1回あたり約4.7ドルです。100件の脆弱性を回せば約470ドル。オーケストレーション内部の試行回数が公開されていない以上、実際の消費トークンは1回のリクエストで完結しない可能性があります。小さなサンプルで実消費を計測してから件数を広げる進め方が安全です。

申請から利用開始まで｜二段階の承認と地域制限が生む計画上の制約

技術的に繋がるかより先に、規約と審査が通るかを確認する必要があります。

二段階の承認プロセス｜アクセス申請と検証行為に必要な事前書面承認

Fugu-Cyberは申請制です。手続きは次の流れになります。

1. 想定する利用目的と、検証可能な連絡先を記載したフォームを提出する
2. Sakana AIが1件ずつ手動で審査する
3. 承認されるとアクセス権が付与され、従量課金で利用を開始できる

ここで終わりではありません。利用規約は、テスト・検証・セキュリティ評価その他の実験的な行為について、Sakana AIの事前の書面による承認を別途求めています。つまりアクセス権を得ただけではPoCを回せない構造です。攻撃目的での悪用を禁じる防御用途限定のポリシーもかかります。技術検証をスプリントに組み込む前提で計画を引くと、この二段階の待ち時間で日程が崩れます。稟議とスケジュールに審査待ちを明示的に積んでおくべきです。

地域制限の範囲｜EU・EEA・英国・スイス除外が海外拠点に及ぶ影響

現行の利用規約は、EU・EEA・英国・スイスの利用者を対象から除外しています。GDPR対応が保留されているためで、主要市場での展開が制限された状態です。日本国内だけで完結する運用なら支障はありません。

問題になるのは海外拠点を持つ企業です。欧州の子会社からAPIを呼ぶ構成、欧州拠点のエンジニアに検証環境を触らせる運用、欧州のデータを解析対象に含める設計は、いずれも規約に触れる可能性があります。グループ共通のセキュリティ基盤として横展開する計画なら、この1点で採用は成立しません。国内拠点限定のパイロットに切り出せるかが判断の分かれ目です。

採用判断の分岐点｜見送るべき4条件と人間の確認ゲートを前提にした設計

ここまでの条件を踏まえて、採用する場面と見送る場面を条件付きで切り分けます。

採用が見合う業務｜OSS依存の多い自社プロダクトの脆弱性再現検証

投資が見合う領域は2つに絞られます。1つ目は、OSSへの依存が多い自社プロダクトで、報告された脆弱性が本当に自社のビルドで再現するかを確かめる作業。CyberGymの課題設計そのものがこの工程を模しているため、ベンチマークと実務の距離が最も近い用途です。パッチ適用の前後でクラッシュ再現を検証する手作業は人手のコストが高く、機械が初稿のPoCを書ける価値は大きい。

2つ目は、英語の脅威レポートから検知ルールの初稿を起こす作業です。CTI-REALMが測っているのはまさにこの工程で、MITRE ATT&CKへのマッピングとSigmaルール化を機械に任せ、運用者は検証と投入に集中する分業が組めます。どちらの用途も、自社環境での再現率を測る評価設計とセットで進めるのが前提。評価設計から本番組み込みまでを社内リソースだけで回しにくい場合は、AIセキュリティ対策の開発支援のようにAI実装とセキュリティ要件の両面を踏まえた外部の設計支援を挟む選択肢もあります。

見送るべき4条件｜EU拠点・監査要件・小規模SOC・攻撃側用途

次の4条件のいずれかに当てはまるなら、現時点でFugu-Cyberは採用しません。ケースバイケースではなく、条件が解消されるまで見送りという判断です。

• 欧州拠点を含む共通基盤で回す計画：規約でEU・EEA・英国・スイスが除外されており、設計段階で成立しない
• 監査や取引先審査で第三者検証済みの性能根拠を求められる：外部研究機関による追試が存在せず、公表値は自己申告のみ
• SOCが数名規模で人間の確認ゲートを常設できない：誤検知の処理コストが自動化の利得を上回る
• 攻撃側の検証に使う想定：防御用途限定のポリシーに反し、そもそも申請が通らない

優先順位をつけるなら、実務でまず引っかかるのは欧州除外と書面承認の2つです。技術検証に着手する前に、法務と規約を突き合わせる工程を置いてください。

組み込み設計の指針｜人間の確認ゲートと実行ログの監査可能性の担保

採用する場合、生のオーケストレーション出力を直接チケット化する設計は避けます。確認ゲートを置かずに流すと誤検知が増え、本番環境固有の事情を汲まない指摘がキューに溜まる。運用が潰れる原因はモデルの精度ではなく、この後処理の設計です。

組み込みで押さえる要素は3つあります。第1に、人間のレビューを形式にせず、却下する権限と根拠を明示した実効性のあるゲートにすること。第2に、ツール実行と推論の完全な監査ログを残し、なぜその結論に至ったかを後から追えるようにすること。ルーティングが非公開である以上、自社側でログを揃える価値は高い。第3に、検証専用のサブエージェントと自社固有のセキュリティ知識を組み合わせ、汎用の指摘を自社の文脈に落とす層を挟むこと。この3層を先に設計してからAPIを繋ぐ順序が、費用対効果を保つ条件になります。

よくある質問

Fugu-Cyberの提供条件と評価の扱いについて、問い合わせの多い5点を整理します。

Fugu-Cyberは無料で試せますか？

無料枠はありません。Standard（月20ドル）・Pro（月100ドル）・Max（月200ドル）のサブスクリプションはFuguとFugu Ultraを対象としており、Fugu-Cyberは含まれません。提供は従量課金のみです。加えて利用そのものが申請制で、承認前にはアクセスできません。テストや検証を行う場合はSakana AIの事前の書面承認が別途必要になるため、無償のトライアル感覚で触れる製品ではないと考えてください。

Fugu-Cyberの申請から利用開始までどのくらいかかりますか？

所要期間は公表されていません。フォームに想定する利用目的と検証可能な連絡先を記載して提出し、Sakana AIが1件ずつ手動で審査する運用です。承認されるとアクセス権が付与される流れ。さらにテスト・検証・セキュリティ評価といった行為には事前の書面承認が別に必要で、実質的に二段階の関門があります。日程を引くときは、この2つの審査待ちを工程表に明示しておく必要があります。

Fugu-Cyberは日本語の脅威レポートにも対応していますか？

公表されている評価は英語ベースです。CTI-REALMの出典はDatadog Security LabsやPalo Alto Networks、Splunkなどが公開した英語の脅威レポート37本で、日本語入力での精度を示す数値はありません。JPCERT/CCやIPAが公開する日本語のレポートを処理させたい場合は、自社で小規模なサンプルを用意して精度を測る前提で計画してください。翻訳を挟むか原文で扱うかも、評価結果を見てから決める判断になります。

CyberGymの86.9%はそのまま自社環境の検出率として期待できますか？

期待できません。CyberGym公式リーダーボードに載る最高水準はGPT-5のthinkingモードで22.0%です。判定ルールが「1インスタンスにつき複数回試行し、いずれかが成功すれば解決」である一方、Sakana AIは試行回数や計算予算を公表していません。外部研究機関による追試もありません。母集団もOSS-Fuzz対象のOSSプロジェクトなので、社内の独自コードとは前提が異なります。自社のリポジトリからサンプルを切り出して測るのが唯一の確認手段です。

Fugu-CyberとFugu Ultraはどちらを選ぶべきですか？

用途で分かれます。汎用のコード解析や文書処理が中心ならFugu Ultra（入力5ドル・出力30ドル・サブスク対象）で足ります。1.2倍の単価を払う意味があるのは、脆弱性の再現検証と検知ルール生成に用途が絞れている場合だけ。ただし判断の順序が逆になりがちです。単価の比較より先に、申請の二段階承認と欧州除外という制約を自社の体制で満たせるかを確認してください。満たせないならFugu Ultra側で設計する選択になります。

関連記事

• Sakana Fugu（サカナ・フグ）とは｜使い方・料金・Fugu Ultraの性能をAPI実装目線で解説：Fugu本体とFugu Ultraのベンチマーク・料金プランを扱う親記事です
• Claude Mythos Preview（クロード・ミトス）とは？性能ベンチマーク・脆弱性発見・Bedrock提供と一般非公開の理由：CyberGymの比較対象に並ぶモデルの提供条件を整理しています
• STIXとは？脅威インテリジェンス標準をSTIX 2.1・TAXII連携まで実装視点で解説：CTI-REALMが扱う脅威情報を標準形式で流通させる仕組みです
• 防衛装備庁とSakana AIが締結した指揮統制システム向け委託研究の全容：Sakana AIが安全保障領域で進める取り組みの背景が分かります
• Sakana Marlinとは｜2026年6月開始の自律型リサーチAIを実務目線で解説：同社の自律型エージェント製品との棲み分けを確認できます