OpenAIが自社を攻撃するAI「GPT-Red」公開。GPT-5.6の注入耐性を6倍に

GPT-Red は、OpenAIが2026年7月15日に公開した、自社モデルのプロンプトインジェクション脆弱性を自動で探し出す社内向けの攻撃AIです。

📖 この記事で分かること

• GPT-Redが何をする社内AIか
• 自己対戦で攻撃と防御を同時に鍛える仕組み
• GPT-5.6の堅牢性がどれだけ上がったか
• エージェント運用の弱点と残る課題

💡 知っておきたい用語

• プロンプトインジェクション: Webページやメールに紛れた悪意ある指示をAIが本物の命令と誤認して従ってしまう攻撃。外部データを読むエージェントの最大級の弱点。

最終更新日: 2026年7月16日

▶ 公式ページ

• GPT-Red: Unlocking Self-Improvement for Robustness(OpenAI)

GPT-Redとは何か

OpenAIが2026年7月15日、自社モデルの弱点を自動で探し出す社内向けの攻撃AI「GPT-Red」(2026年7月時点)を公開しました。狙いは、モデルを広くデプロイする前にプロンプトインジェクションの穴を潰しておくことです。

この記事のポイント

• OpenAIが2026年7月15日、自動レッドチーミングAI「GPT-Red」を公開しました(2026年7月時点)。
• GPT-Redが見つけた弱点をもとに、GPT-5.6は最難関の直接プロンプトインジェクション試験で失敗が6分の1に減りました。
• GPT-Redの最強クラスの攻撃は、GPT-5には9割超が通用した一方、GPT-5.6には23%未満しか通用しませんでした。

レッドチーミングとは、攻撃者になりきってシステムを意図的に破り、実際の悪用より先に弱点を見つける手法です。GPT-Redはその「攻撃役」を人手ではなくAIに任せ、プロンプトインジェクションの脆弱性を大規模に洗い出します。ここで得た知見が、GPT-5.6の防御強化に直接使われました。

攻撃と防御を同時に鍛える仕組み

GPT-Redの核心は、自己対戦(self-play)型の強化学習です。攻撃役のGPT-Redはモデルの失敗を引き出せると報酬を得て、防御役のモデルは攻撃を防げると報酬を得ます。

防御が強くなるほど、GPT-Redはより強く多様な攻撃を編み出さざるを得なくなります。この繰り返しで、世代ごとに「より手強い攻撃者」と「より頑健な防御者」が同時に育っていく構造です。

訓練は、現実を模した「dojo(道場)」環境で行われます。Webブラウジング、メールの読み取り、コード編集といった、エージェントが実際に外部データへ触れる運用シナリオを再現し、その中で攻撃手法を磨き込みます。

この過程でGPT-Redは、未知の攻撃手法「fake chain of thought(偽の思考連鎖)」も発見しました。AIの推論プロセスに偽の途中経過を差し込む手口で、研究者のChris Choquette-Choo氏は「モデルは『ああ、なるほど』と受け入れて、そのまま3と出力してしまう」と説明しています。

GPT-5.6でどれだけ堅くなったか

成果は数値で示されています。GPT-5.6 Sol(2026年7月時点)は、OpenAIとして過去最もプロンプトインジェクションに強いモデルとされます。最も難しい直接プロンプトインジェクションのベンチマークで、わずか4か月前の自社最良の本番モデルと比べ、失敗回数が6分の1に減りました。

攻撃の通りやすさでも差が出ています。GPT-Redの最強クラスの攻撃を各モデルに当てたところ、2025年8月のGPT-5には90%超が通用した一方、GPT-5.6に通用したのは23%未満でした。

実害を模した検証も行われています。GPT-Redは自動販売機を動かすエージェントをハッキングし、価格の改変や注文のキャンセルを実行させることに成功しました。エージェントが決済や在庫操作を担う運用では、こうした注入が直接的な損失につながります。

エージェント運用への影響と残る課題

AIエージェントが外部のWebページ・メール・コードを読んで自律的に動く時代には、外部データ経由の指示注入が最大級の弱点になります。GPT-Redは、その弱点をモデル訓練のループの中で「AIがAIを攻撃して鍛える」形で潰しに行く取り組みだと位置づけられます。

一方で限界も明示されています。GPT-Redは、複数ターンにわたる会話型の攻撃や、画像経由のプロンプトインジェクションは苦手とされます。OpenAIは人間のレッドチーマーの関与を続けており、特に「どこに人間の専門性を投じるべきか」の見極めでは人手が依然として重要とされています。

編集部の見方

編集部は、今回の発表で最も注目すべきは「6倍」という単発の数字より、防御を作る工程そのものを自動ループ化した点だと見ます。

• 根拠1: 攻撃の通用率がGPT-5の9割超からGPT-5.6の23%未満へ下がった事実は、単発チューニングではなく攻撃・防御の共進化が効いたことを示します。
• 根拠2: 訓練環境がWeb閲覧・メール・コード編集というエージェントの実運用面を模しており、机上ではなく運用時の注入経路に的を絞っています。
• 根拠3: 会話型・画像経由の攻撃が未対応と自ら開示しており、成果を誇張していません。

この見方が変わる条件は、GPT-Redが苦手とする多ターン攻撃や画像注入に他社の攻撃研究が集中し、そこが新たな主戦場になった場合です。そのときは「単一の自動攻撃AI」より、攻撃モダリティ別の多層防御の設計が評価軸の中心に移ります。

よくある質問

Q: GPT-Redは一般に公開・利用できますか?

A: いいえ。GPT-Redはモデルを堅牢化するためのOpenAI社内向けの自動レッドチーミングAIで、外部提供の製品ではありません。恩恵はGPT-5.6など提供モデルの堅牢性向上という形で届きます。

Q: プロンプトインジェクションはこれで解決したのですか?

A: 解決ではなく低減です。GPT-5.6でも一定の攻撃は通用し、会話型や画像経由の注入は未対応領域として残っています。人間のレッドチーミングも継続されています。

Q: 「6倍」とは何と何の比較ですか?

A: 最も難しい直接プロンプトインジェクションのベンチマークにおける失敗回数の比較で、GPT-5.6が4か月前の自社最良の本番モデルより失敗を6分の1に減らした、という意味です。

まとめ

OpenAIはGPT-Redで、攻撃役のAIと防御役のモデルを自己対戦で共進化させる仕組みを公開しました。GPT-5.6では最難関の注入試験で失敗が6分の1に減り、強力な攻撃の通用率もGPT-5の9割超から23%未満へ下がっています。会話型・画像経由の注入は未対応として残り、人間のレッドチーミングも併走します。

【用語解説】

• レッドチーミング: 攻撃者の立場でシステムを意図的に破り、悪用される前に弱点を洗い出す手法。
• 自己対戦(self-play): 攻撃側と防御側を同じ枠組みで競わせ、互いを鍛え合いながら性能を引き上げる強化学習の手法。
• fake chain of thought(偽の思考連鎖): AIの推論の途中経過に偽の情報を差し込み、誤った結論へ誘導する攻撃手法。

引用元:

• [1] GPT-Red: Unlocking Self-Improvement for Robustness(OpenAI)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。