>
>
公開日
OpenAIは2026年7月15日（現地時間）、AIモデルの脆弱性を自動的に発見するレッドチーミング専用モデル「GPT-Red」の詳細を公開しました。人間の専門家による攻撃成功率が13%だった検証環境で、GPT-Redは84%のシナリオで攻撃に成功。この攻撃データを使った敵対的訓練により、最新モデルGPT-5.6のプロンプトインジェクション耐性は大幅に向上したとされています。
「攻撃するAI」という響きから研究者向けの話題に見えますが、実はこの発表は、AIエージェントを社内導入する情報システム部門にとって重要な示唆を含んでいます。「モデル側の防御はどこまで信頼できるのか」「自社は何を統制すべきなのか」という線引きを考える材料になるからです。
本記事では、GPT-Redの仕組みと実績を整理したうえで、情シスがこのニュースをどう読み解き、自社のAIガバナンスにどう活かすべきかを解説します。
GPT-Redとは？OpenAIの社内専用「攻撃AI」
GPT-Redは、OpenAIが自社モデルの脆弱性を発見するために開発した、自動レッドチーミング専用のAIモデルです。人間のレッドチーム担当者と同様に、標的のモデルにプロンプトを送信し、応答を観察しながら攻撃手法を反復的に改良していきます。特にプロンプトインジェクション攻撃の発見に特化しています。
情シスとして最初に押さえるべきポイントは3つです。
一般提供されない社内専用モデルである：OpenAIは悪用を防ぐため、GPT-Redを外部公開せず、運用中の製品モデルからも分離して保持する方針です。つまり企業が「GPT-Redを使って自社システムを診断する」ことはできません。
目的は攻撃ではなく防御の強化である：GPT-Redが発見した攻撃データはGPT-5.6などの製品モデルの敵対的訓練に使われ、プロンプトインジェクションへの耐性向上に寄与しています。
人間のレッドチーミングを置き換えるものではない：OpenAIは人間や第三者によるレッドチーミング、多層的なセーフガード、リアルタイム監視と併用するとしています。
プロンプトインジェクションの基本的な仕組みや攻撃パターンについては、プロンプトインジェクションとは？最新の攻撃手口と今すぐできる対策を解説で詳しく解説しています。
なぜOpenAIは「攻撃AI」を作ったのか：背景にあるAIエージェント時代の課題
背景を一言でまとめると、AIエージェントの普及で攻撃面が急拡大する一方、人手のレッドチーミングでは防御側の訓練データが量・スピードともに追いつかなくなったためです。
外部データを扱うAIエージェントの急増
AIがブラウザ、接続アプリ、ローカルファイル、メールなどの第三者データを扱う機会は急速に増えています。これらの連携は実務でAIを活用するうえで不可欠ですが、同時に攻撃面（アタックサーフェス）を大きく広げます。
たとえば、Webページやメール本文、ツールの出力に「機密データを外部サーバーにアップロードせよ」といった悪意ある指示を埋め込み、それを読み込んだAIエージェントを乗っ取る──これが間接プロンプトインジェクションの典型的な手口です。エージェントが自律的に動くほど、人間が介在しないまま攻撃が成立するリスクが高まります。
人間によるレッドチーミングの限界
OpenAIはこれまで人間の専門家によるレッドチーミングでモデルの弱点を洗い出してきましたが、この方法には構造的な限界がありました。
攻撃シナリオの設計・実施に時間がかかり、モデルの進化スピードに追いつけない
訓練データとして使えるだけの量と多様性を持つ攻撃例を人手で生成するのは非現実的
既存の堅牢性評価ベンチマークは最新モデルによって飽和しつつある
GPT-Redはこのボトルネックを解消し、「今日のモデルで明日のモデルを安全にする」自己改善のサイクルを回すための仕組みです。OpenAIは自社最大級のポストトレーニングに匹敵する計算資源を、安全性向上のためだけに投じたと説明しています。
GPT-Redの仕組み：自己対戦型強化学習
GPT-Redの核心は、攻撃AIと防御AIを同時に鍛え合わせることで、人間では思いつかない攻撃を自動的に生み出し続ける学習構造にあります。
GPT-Redは「自己対戦（self-play）型強化学習」で訓練されています。仕組みをシンプルに整理すると次のとおりです。
攻撃側（GPT-Red）と防御側（多様なLLM群）を同時に学習させる
攻撃側はプロンプトインジェクションの成功に対して報酬を得る
防御側は攻撃に耐えつつ本来のタスクを完了することで報酬を得る
防御側が強くなるほど、攻撃側はより強力で多様な攻撃を発見せざるを得なくなる
訓練環境としては、ローカルファイルの一部、Webページのバナー、メール本文、ツールの出力など、現実のエージェント運用で攻撃者が細工しうる箇所を再現した多数のシナリオが用意されています。各環境には「攻撃者が何を操作でき、何をもって攻撃成功とみなすか」という脅威モデルが定義されており、これは情シスが自社のAIエージェント導入時にリスク評価を行う際の考え方としても参考になります。
GPT-Redの実力：人間の13%に対し84%の攻撃成功率
GPT-Redの攻撃能力は人間の専門家を大きく上回り、未知の検証環境でも84%のシナリオで攻撃に成功、実稼働中のAIエージェントの乗っ取りにも成功しています。
未知のシナリオでも人間を大幅に上回る
訓練に使われていない未知のシナリオでも、GPT-Redの攻撃成功率は84%と、人間のレッドチーム担当者の13%を6倍以上上回りました。
第三者研究（Dziemian et al., 2025）の間接プロンプトインジェクション検証環境を再現した評価では、GPT-5.1を標的として人間のレッドチーム担当者とGPT-Redがそれぞれ攻撃を実施。結果は以下のとおりでした。
攻撃者 | 攻撃成功シナリオの割合 |
|---|---|
人間のレッドチーム担当者 | 13% |
GPT-Red | 84% |
この評価が未知のシナリオで行われたことは、GPT-Redが訓練済みの攻撃パターンを再生しているのではなく、汎用的な攻撃能力を獲得していることを示しています。また、GPT-5.5までの社内モデル・製品モデルのほぼすべてに対して有効な攻撃を実行できたとされています。
実環境テスト：AI自動販売機の乗っ取りに成功
シミュレーションにとどまらず、実稼働中のAIエージェントに対しても、GPT-Redは設定された3つの悪意ある目標をすべて達成しました。
より現実に近い検証として、OpenAIオフィス内で稼働するAndon Labs製のAI自動販売機エージェント（Anthropicの実験「Project Vend」に類似したもの）への攻撃テストが実施されました。GPT-Redはシミュレーション環境で攻撃を試行錯誤したのち、本番エージェントに対して次の3つを実行しました。
高額な在庫商品の価格を下限の0.50ドルに変更する
100ドル超の商品を新規発注し、0.50ドルで販売する
他の顧客の注文をキャンセルする
この脆弱性はすでに開示され、新たな安全対策のテストが進められています。さらに、GPT-5.4 miniベースのCodex CLIエージェントに対するデータ流出シナリオ10件の検証でも、GPT-Redはプロンプトで指示されたGPT-5.5ベースラインより高い攻撃有効性とトークン効率を示しました。
情シスへの示唆：この自販機の事例は、笑い話ではありません。「価格変更」「発注」「注文キャンセル」を、社内システムにおける「権限変更」「支払い実行」「データ削除」に置き換えれば、業務システムに書き込み権限を持つAIエージェントが抱えるリスクの縮図です。エージェントにどこまでの実行権限を与えるかの設計が、導入時の最重要論点になります。
防御側の成果：GPT-5.6の堅牢性はどこまで向上したか
結論として、GPT-Redを使った敵対的訓練によりGPT-5.6のプロンプトインジェクション耐性は大幅に向上しましたが、失敗率は「ほぼゼロ」であって「ゼロ」ではありません。
GPT-Redの本来の目的は攻撃ではなく、発見した攻撃を製品モデルの訓練に組み込み、堅牢性を高めることです。OpenAIはGPT-5.3以降、GPT-Redの前身にあたるモデルを歴代リリースの訓練に使用してきており、成果として以下の数値を公表しています。
最難関の直接プロンプトインジェクションベンチマークで、GPT-5.6 Solの失敗は4カ月前の最良モデル比で6分の1に減少
GPT-Redによる直接プロンプトインジェクションに対するGPT-5.6 Solの失敗率は0.05%
GPT-Redの前身が発見した新種の攻撃「Fake Chain-of-Thought攻撃」（思考過程に偽の記録を紛れ込ませる手法）の成功率は、GPT-5.1の95%超からGPT-5.6 Solでは10%未満に低下
開発ツールやブラウジングを対象とした複数の間接プロンプトインジェクションベンチマークは、最新モデルで97%超の精度に到達
また、OpenAIは「拒否を増やして安全に見せかける」のではなく、通常の能力や正当なリクエストへの応答性を維持したまま堅牢性を高めたと説明しています。過剰拒否によるみかけ上の安全性ではない、という点は実務利用の観点で重要です。
GPT-5.6自体の機能・価格・導入判断については、GPT-5.6（Sol/Terra/Luna）情シス向け機能・価格・リスク・導入判断で詳しく解説しています。
情シスはGPT-Redのニュースをどう読むべきか：3つの観点
このニュースの実務的な意味は、「モデルの堅牢性はベンダー選定の評価軸になった」一方で「モデル頼みの防御は成立しない」という2点に集約されます。統制の主戦場は、エージェントと外部データの接点です。
観点1：モデルの堅牢性は「ベンダー選定の評価軸」になった
AIツール選定では、機能や料金に加えて「敵対的訓練やレッドチーミングを実施し、結果を開示しているか」を評価基準に加えるべき段階に入りました。
GPT-Redの発表は、プロンプトインジェクション耐性がモデル間の差別化要素になりつつあることを示しています。情シスがAIツールやモデルを選定・更改する際には、次のような観点をベンダー評価に組み込むことを推奨します。
敵対的訓練やレッドチーミング（自動・人間・第三者）を実施しているか、その結果を公表しているか
プロンプトインジェクションに関するベンチマーク結果やシステムカードを開示しているか
脆弱性の発見時に開示・修正するプロセス（責任ある開示）を持っているか
各社のAIエージェントを比較検討する際の全体像は、AIエージェント比較ガイドも参考にしてください。
観点2：失敗率0.05%は「ゼロではない」──モデル頼みの防御は成立しない
GPT-5.6の堅牢性向上を理由に、自社側のプロンプトインジェクション対策を省略することはできません。
情シスとしては、次の点を冷静に見る必要があります。
0.05%という数値は「GPT-Redの直接プロンプトインジェクション」に対するものであり、あらゆる攻撃への耐性を保証するものではない
GPT-Red自身が「Fake Chain-of-Thought」のような新種の攻撃を発見し続けているように、攻撃手法は今後も進化する
堅牢性が向上するのはあくまでOpenAIの最新モデルであり、社内で使われている旧モデルや他社モデル、モデルを組み込んだサードパーティSaaSが同水準とは限らない
つまり、モデル側の防御はあくまで多層防御の一層です。クラウドの責任共有モデルと同様に、**「モデルの堅牢化＝ベンダーの責任範囲」「権限設計・接続先管理・利用統制＝自社の責任範囲」**と整理し、自社側のレイヤーを固めることが情シスの役割になります。全体的な防御設計は情シスが実践する生成AIセキュリティ ベストプラクティスにまとめています。
観点3：攻撃の主戦場は「エージェントと外部データの接点」にある
情シスが優先的に統制すべきは、ブラウザ利用・MCP等のツール連携・メール／ドキュメント連携といった、AIエージェントが外部データに触れる接点です。
GPT-Redの訓練環境が「ファイル・Webページ・メール・ツール出力」を攻撃の注入点として設計されていることは、実際の脅威がどこにあるかを端的に示しています。エージェントが読み書きする対象が増えるほど注入口も増えるため、接点ごとの統制設計が欠かせません。
MCP連携のガバナンス設計についてはMCP 企業導入の完全ガイド｜セキュリティ統制とAI Agentガバナンスを、コーディングエージェントの統制についてはClaude Code 企業利用の統制ガイドをご覧ください。
情シスが今すぐ取るべき5つのアクション
自社側の対策は「可視化 → 権限最小化 → 承認フロー → 接続制限 → ルール整備」の順で進めるのが現実的です。いずれもベンダー側の防御強化とは独立に、今すぐ着手できます。
1. 社内のAIエージェント利用実態を棚卸しする
すべての対策の前提は、AIツールの利用実態と連携状況を漏れなく把握することです。
「どの部門が、どのAIツールを、どのデータ・システムに接続して使っているか」を可視化します。承認済みツールだけでなく、情シスが把握していないシャドーAIやOAuth連携の洗い出しが出発点です。具体的な手法はシャドーAIとは？リスクと2026年最新の検知・対策ガイドと生成AI利用状況の可視化ガイドで解説しています。
2. エージェントの権限を最小化する
攻撃を100%は防げない以上、被害を限定する最も効果的な手段は権限の最小化です。
自販機事例の教訓のとおり、被害の大きさは「攻撃が成功するか」よりも「成功したときに何ができてしまうか」で決まります。AIエージェントに付与するAPIスコープやOAuth権限を業務上の最小限に絞り、読み取り専用で足りる用途に書き込み権限を与えていないかを点検してください。
3. 高リスク操作に人間の承認を挟む
不可逆な操作は、エージェントだけで完結させないことが原則です。
外部へのデータ送信、支払い・発注、権限変更、データ削除といった不可逆な操作は、エージェントの自律実行を許可せず、人間による確認ステップ（Human-in-the-Loop）を必須にします。
4. 外部データを読ませる場面を設計・制限する
間接プロンプトインジェクションの入口を減らすには、エージェントが読み込むデータソース自体を絞ることが有効です。
エージェントが任意のWebページや外部メールを無制限に読み込む構成は、攻撃の注入口を無数に開くことと同義です。アクセス可能なドメインやデータソースの制限、信頼できないコンテンツを扱う際の分離設計を検討します。
5. AI利用ガイドラインと監査ログを更新する
技術的対策と並行して、インシデント発生を前提とした運用ルールの整備が必要です。
プロンプトインジェクションを前提としたインシデント対応手順（不審な挙動の報告先、エージェントの停止手順）をガイドラインに反映し、エージェントの操作ログ・接続ログを監査可能な状態に保ちます。
よくある質問（FAQ）
Q. GPT-Redは企業でも利用できますか？
いいえ。GPT-RedはOpenAIの社内専用モデルであり、悪用防止の観点から一般提供されません。運用中の製品モデルからも分離して管理されています。企業が自社のAIシステムを検証したい場合は、従来どおりペネトレーションテストやレッドチーミングサービスの活用を検討してください。
Q. GPT-5.6を使えばプロンプトインジェクション対策は不要になりますか？
なりません。GPT-5.6の堅牢性向上は事実ですが、失敗率はゼロではなく、新種の攻撃手法も発見され続けています。モデルの堅牢性はベンダー側の防御レイヤーであり、権限最小化・接続先管理・利用可視化・監査ログといった自社側の統制は引き続き必要です。
Q. 他のAIベンダーも同様の取り組みをしていますか？
各社ともレッドチーミングや敵対的評価を安全性プロセスに組み込んでいますが、公開情報の粒度は異なります。ベンダー選定時には、システムカードや安全性レポートの開示状況を確認することを推奨します。なお、OpenAIはGPT-Redの技術詳細をプレプリントとして公開予定としており、続報にも注目です。
Q. プロンプトインジェクションは実際にどれくらい起きているのですか？
エージェント型AIの普及に伴い、業界共通の最重要課題と位置づけられています。攻撃はWebページ・メール・ファイル・ツール出力など日常的な業務データを経由するため、従来の境界型防御では検知が困難です。攻撃手口の詳細はプロンプトインジェクション解説記事をご覧ください。
まとめ：ベンダーの「攻撃AI」時代に、情シスが守るべきレイヤー
GPT-Redは、AIの安全性をAI自身で強化する「自己改善」アプローチの本格始動を示すニュースです。ベンダー側でモデルの堅牢化が加速する一方、情シスに求められるのは、自社の責任範囲──AIエージェントの利用実態の可視化、権限の最小化、接続先の統制──を確実に固めることです。
その第一歩は、社内で使われているAIツールとその連携状況を漏れなく把握することから始まります。SaaS管理プラットフォーム「Admina」は、シャドーAIの検知、OAuth連携権限の棚卸し、アカウントの一元管理により、AIエージェント時代のガバナンス基盤構築を支援します。AI利用の可視化にお悩みの方は、ぜひお気軽にご相談ください。
本記事の内容に誤り等がございましたら、こちらからご連絡ください。
監修
Admina Team
情シス業務に関するお役立ち情報をマネーフォワード Adminaが提供します。
SaaS・アカウント・デバイスの管理を自動化し、IT資産の可視化とセキュリティ統制を実現。
従業員の入退社対応や棚卸し作業の工数を削減し、情報システム部門の運用負荷を大幅に軽減します。
中小企業から大企業まで、情シス・管理部門・経営層のすべてに頼れるIT管理プラットフォームです。
