OpenAI「GPT-Red」で攻撃成功率を半減｜自己対戦で探すAIの脆弱性

⏱ 読了約9分3,490 字

📑 目次

GPT-Redとは何か——攻撃と防御が競い合う自己対戦
「偽の思考連鎖」——GPT-Redが見つけた新種の攻撃
自動販売機を乗っ取る——プロンプトインジェクションの実例
GPT-5からGPT-5.6へ——防御性能はどれだけ改善したか
なぜ今、AIによるAI攻撃が必要なのか
まとめ
参考・出典

OpenAIは2026年7月15日、社内の安全性評価に使うLLMベースの「スーパーハッカー」モデル「GPT-Red」を、最新版「GPT-5.6」のリリースに合わせて公表した。GPT-Redは人間のレッドチーム(攻撃側テスター)が担ってきた脆弱性発見の作業を自動化するモデルで、一般提供はせず社内での安全性評価に活用する。米MIT Technology Reviewによると、GPT-Redの攻撃に対するGPT-5の成功率は90%を超えていたが、最新のGPT-5.6では23%未満まで下がったという。AIエージェントが業務システムに深く関与する時代に、攻撃者よりも先に弱点を見つける仕組みそのものが競争力の一部になりつつある。

GPT-Redとは何か——攻撃と防御が競い合う自己対戦

GPT-Redは、OpenAIの研究員Nikhil Kandpal氏、Dylan Hunn氏、Chris Choquette-Choo氏が開発した、レッドチームの役割を自動化するLLMベースのハッカーモデルだ。従来のレッドティーミングは人間の専門家がモデルの弱点を手作業で探すものだったが、GPT-Redはこの作業をAI同士の対戦に置き換える。

訓練は未学習の状態から始まる。GPT-Redは複数の防御側モデルと「自己対戦ループ」に投入され、GPT-Redの目標は相手モデルへの攻撃、防御側モデルの目標は攻撃をしのぐことに設定される。この対戦を繰り返すことで、GPT-Redは攻撃の精度を高め、防御側モデルは耐性を身につける。訓練環境は「道場」と呼ばれ、Webページの閲覧、メールやカレンダーアプリの読み取り、コード編集といった実際の業務に近いシナリオを模して設計されている。開発には1年以上を要し、OpenAI社内でも有数の計算リソースが投じられたという。

「偽の思考連鎖」——GPT-Redが見つけた新種の攻撃

GPT-Redの訓練を通じて、これまで確認されていなかった新種の攻撃手法が見つかった。「偽の思考連鎖(フェイク・チェーン・オブ・ソート)」と呼ばれる手口だ。思考連鎖とは、LLMが問題を解く過程で自らのメモを記録し、途中の計算結果を追跡する仕組みを指す。GPT-Redは、この記録に虚偽の内容を書き込むことで、標的モデルに誤った前提のまま行動させる方法を発見した。

Choquette-Choo氏は具体例を挙げて説明する。「1+1=3だと伝え、それがすでに検証済みだと告げる。すると標的のモデルは『了解』と応じて、3という答えを出力してしまう」。単純な例ではあるが、モデルが自分自身の思考記録を無条件に信頼するという性質を突いた攻撃であり、対策の見直しを迫るものだ。

自動販売機を乗っ取る——プロンプトインジェクションの実例

GPT-Redが検証した攻撃の中心には、プロンプトインジェクションと呼ばれる手法もある。LLMに隠れた命令を注入する攻撃で、コードやWebページなど、モデルが読み込むテキストのどこにでも埋め込める。目的は機密情報の窃取、コードベースの破壊、有害な出力の誘発など多岐にわたる。

GPT-Redは実際に、自動販売機を自律運用するAIエージェント「Vendy」(Andon Labs製)への攻撃にも成功した。商品価格を書き換え、顧客の注文をキャンセルさせることができたという。AIが自律実行した初のランサムウェア「JadePuffer」のように、AIエージェントが実際の業務システムを操作する場面が増える中、こうした攻撃は実害に直結しやすい。一方でGPT-Redにも弱点はある。攻撃者と標的が対話を重ねる必要のある「対話型攻撃」への対応は苦手で、画像を使ったプロンプトインジェクションもまだ未熟だという。

この実例が示す教訓は、AIニュースを追う読者だけでなく、業務にAIエージェントを導入し始めた企業にも直結する。注文処理や在庫管理、顧客対応をAIエージェントに任せる企業が増えるほど、Vendyのような単純な攻撃でも価格改ざんや注文キャンセルという実害につながりかねない。導入企業は自社が使うモデル提供元が、どの程度の頻度と手法でレッドティーミングを行っているかを確認する視点を持つ必要がある。

GPT-5からGPT-5.6へ——防御性能はどれだけ改善したか

数字で見ると、GPT-Redの効果は明確だ。2025年8月にリリースされたGPT-5に対しては、GPT-Redの攻撃の90%以上が成功していた。これに対し、OpenAI「GPT-5.6」一般公開、Sol・Terra・Luna 3層構成で伝えた最新版のGPT-5.6では、同じ種類の攻撃の成功率が23%未満にまで下がった。約67ポイントの改善に相当する。

OpenAIは2025年にも人間のレッドチームを使ってGPT-5の脆弱性を探る実験を行っていたが、今回GPT-Redで再実験したところ、GPT-Redは人間のチームよりも高い成功率で攻撃を成立させたという。Choquette-Choo氏は「人間のレッドチームに比べ、モデルは何が効くか、どの攻撃が最も効果的かを見極めるのに優れている。見つけた攻撃を突き詰めて探索する執拗さも際立つ」と話す。同氏はまた、他社がGPT-Redの手法をそのまま模倣するのは「容易ではない」とも述べている。

なぜ今、AIによるAI攻撃が必要なのか

背景にあるのは、LLMの複雑化と用途の広がりだ。特にAIエージェントは、ファイルやWeb、サードパーティ製のコード、他のAIエージェントと相互に作用しながら動く。AIエージェント事故・セキュリティ2026年全記録が示す通り、こうした自律的なやり取りが増えるほど、想定すべき攻撃の種類も増えていく。人間のレッドチームだけでは、起こりうる攻撃のすべてを網羅することは難しくなっている。

Kandpal氏は「リスクの及ぶ面積が増え、被害の範囲も広がっている」と指摘する。Hunn氏は「より高性能な新しいモデルが登場すれば、その攻撃の新たなパターンを見つけ出す仕組みは、すでに設計を終えている」と話し、GPT-Redを継続的な防御基盤として位置づける姿勢を示した。

外部の専門家も一定の評価を示す。ジョージタウン大学CSETの上級分析官Jessica Ji氏は「自己対戦ループというアプローチは有望だ」としつつ、「人間の専門家は依然として極めて重要だ。人間によるテストをどこに重点配置すべきかを見極める上で、こうした自動化ツールは有用だ」と述べ、AIによる自動化と人間の専門知が補完関係にあるとの見方を示した。今後、他のAI開発企業が同様の自己対戦型レッドチーミングを採用するかどうかも、業界全体の安全基準を占ううえで注目される。