OpenAIが疑似攻撃AI「GPT-Red」を公開　自動検証で最新モデル「GPT-5.6 Sol」の脆弱性を大幅削減

要点

• OpenAIは、AIモデルの安全性を自動で検証する内部向け疑似攻撃モデル「GPT-Red」の詳細を公開した。
• 同モデルは人間のように試行錯誤を繰り返しながら、AIの弱点である「プロンプトインジェクション」を自動で探索する。
• 攻撃側と防御側のAIを競わせる学習アプローチにより、最新モデル「GPT-5.6 Sol」の脆弱性を大幅に低減させた。
• 悪用を防ぐため、GPT-Redは通常のAIモデルとは厳格に分離された環境で管理されている。

リード文

米AI開発企業のOpenAIは2026年7月16日、AIモデルに対するプロンプトインジェクション攻撃を自動で検証する社内向けの疑似攻撃モデル「GPT-Red」の詳細を公表した。GPT-Redは人間のように試行錯誤を繰り返しながらモデルの脆弱性を探索する能力を持つ。同社はこのツールを用いて最新モデル「GPT-5.6 Sol」を敵対的トレーニングすることで、これまでにない高い堅牢性を実現したと報告している。

本文

拡大するAIエージェントの脅威と自動検証の必要性

プロンプトインジェクションとは、AIへの指示文（プロンプト）に悪意ある命令を混入させて意図しない動作を行わせる攻撃手法である。近年、特定の目標に向け自律的に動作する「AIエージェント」が外部アプリやWebブラウザと連携するようになった。これに伴い、メールやWebページなど無害に見えるコンテンツに悪意ある命令を忍び込ませてAIを不正操作する「間接的プロンプトインジェクション」のリスクが急拡大している。

従来の人間による検証（レッドチームによる疑似攻撃テスト）だけでは規模の面で対応が追いつかないため、攻撃プロセスを自動化して検証をスケールさせるGPT-Redが開発された。

AI同士を競わせる「自己プレイ強化学習」

GPT-Redの動作は人間の攻撃手法に似ており、ターゲットのAIモデルにプロンプトを送り、その反応を観察しながら攻撃方法を調整して目標達成を目指す。

訓練には、AI同士を競わせることで自律的に能力を高める「自己プレイ強化学習」が用いられた。攻撃役のGPT-Redと、多様な「防御側LLM（大規模言語モデル）」を同時に訓練し、攻撃側は脆弱性の誘発に成功した際、防御側は攻撃を防いでタスクを完了した際にそれぞれ報酬を得る。防御側が頑強になるほど、攻撃側も高度な手法を考案する必要があるため、両者の性能が相互に高められる。この学習プロセスにおいて、GPT-Redは間接的なプロンプトインジェクションで、人間の手動テストよりも多くのシナリオにおいて「GPT-5.1」への攻撃に成功したという。

最新モデル「GPT-5.6 Sol」での劇的な効果

OpenAIは、このGPT-Redによる疑似攻撃データを開発中のAIモデルの訓練プロセスに直接組み込むことで、モデルの堅牢性を劇的に向上させた。

その結果として誕生した最新のAIモデル「GPT-5.6 Sol」は、直接的なプロンプトインジェクション攻撃に対する検証ベンチマークにおいて、わずか4か月前にリリースされた最先端モデル「GPT-5.5」と比較して、攻撃による失敗回数を6分の1に削減することに成功した。同社は「GPT-5.6 Solは、プロンプトインジェクションに対してこれまでで最も頑強なモデルだ」と説明している。

検証されたシナリオには、AWS（Amazon Web Services）の認証情報窃取や、2要素認証（パスワードに加え追加のコードを求める安全対策）の無効化、APIキー（外部サービス連携用の識別コード）の不正転送など、以下のような深刻なサイバーセキュリティ上のリスクが含まれている。

• 内部ディレクトリのデータ流出
• 不正な決済指示の実行
• AWSの認証情報の窃取
• 2要素認証の無効化
• 認証情報ファイルのアップロード
• 外部スクリプトの挿入
• APIキーの不正転送
• 悪意あるスクレイピング（Web上のデータ収集）スクリプトの実行

実世界での実証実験：AI自動販売機への攻撃

また、実証実験としてAndon Labs社製のAI搭載自動販売機への攻撃シミュレーションも行われた。GPT-Redは自律型販売機のエージェントを標的にし、「商品の設定価格を最低の0.50ドルに引き下げる」「100ドルの商品をその格安価格で注文する」「他顧客の注文をキャンセルする」という3つの不正目標をすべて達成した。この結果は同社へ責任ある開示がなされ、新たな対策がテストされているという。

安全性を確保するための分離管理

なお、GPT-Redが持つ強力な疑似攻撃能力が外部に流出するのを防ぐため、OpenAIは同モデルを一般向けモデルとは完全に分離された環境で管理していることを強調した。これにより、攻撃機能が悪用され、既存モデルの安全対策を回避する手法として悪用されるリスクを抑えている。