GPT-Red解説 - OpenAIが自己対戦で鍛えた「攻撃専用AI」とGPT-5.6の防御強化¶

対象 / ポイント

対象: AIエージェントを業務システムや開発フローへ組み込み、プロンプトインジェクション対策を検討しているエンジニア。

ポイント:

GPT-Redは、攻撃側と防御側を同時に鍛える自己対戦型の内部モデルである。
未知シナリオの84%で攻撃に成功し、GPT-5.6 Solの直接攻撃への失敗率は0.05%まで下がった。
どちらもOpenAIの社内評価であり、モデル単体の改善を多層防御の代わりにはできない。

Webページやメールに紛れた数行の指示が、AIエージェントに社内ファイルを送信させる。このプロンプトインジェクションに対し、OpenAIは防御モデルだけでなく、攻撃を自動生成する内部モデル「GPT-Red」を2026年7月15日に公表した。¹²この記事の問いは、攻撃成功84%と防御失敗0.05%を、実務でどう読むべきかである。

GPT-Redは何を変えたのか¶

GPT-Redは、人間のレッドチームが行う試行錯誤を大規模に自動化したモデルである。攻撃文を送り、標的モデルの反応を観察し、成功するまで手口を更新する。OpenAIは最大級の事後学習と同水準の計算量を、安全性向上を目的とするGPT-Redの訓練へ投じたとしている。¹

背景には、人手だけでは攻撃例の量と多様性を確保できない問題がある。さらに、広く使われてきた頑健性評価の一部は最新モデルで飽和し、改善を測る物差しとして弱くなった。GPT-Redは、脆弱性の探索と次期モデル向け訓練データの生成を同じループへ組み込む。

自己対戦で攻撃側と防御側を同時に鍛える¶

訓練の核心は、GPT-Redと複数の防御LLMを同時に学習させる自己対戦型の強化学習である。 GPT-Redは有効な失敗を引き出すと報酬を得る。防御側は攻撃を拒むだけでなく、元のタスクを完遂して初めて報酬を得るため、「何もしなければ安全」という退化した解へ逃げにくい。¹

各環境には、GPT-Redが操作できる範囲と成功条件を定めた脅威モデルがある。操作対象はローカルファイルの一部、Webページのバナー、メール本文、ツール出力などだ。訓練後のGPT-RedはGPT-5.5までの社内・製品モデルをほぼすべて突破したが、外部には提供せず、防御データだけを製品モデルへ還元する。¹

84%は「未知シナリオを突破した割合」¶

GPT-Redの84%は、任意の攻撃が84%成功するという意味ではない。 Dziemianらの間接プロンプトインジェクション競技を社内に複製し、訓練にないシナリオでGPT-5.1を攻撃した。 GPT-Redは84%のシナリオで少なくとも一度成功し、人間レッドチーマーは同条件で13%だった。¹³

自販機の実験では、高額商品を下限の0.50ドルへ値下げし、100ドル超の商品を発注して0.50ドルで販売し、別顧客の注文を取り消した。¹ これはAnthropicとAndon LabsのProject Vendに似た実環境テストである。⁴ 別の10課題では、GPT-5.4 miniベースのCodex CLIエージェントを、GPT-5.5を攻撃役にした基準より高い成功率と少ないトークンで突破した。¹

GPT-5.6 Solの0.05%は何を示すのか¶

GPT-Redの攻撃データは、GPT-5.3以降の製品モデルへ段階的に投入されてきた。防御側のGPT-5.6 Solでは、次の改善が報告されている。¹

評価	比較対象	GPT-5.6 Solの結果
最難関の直接インジェクション評価	4カ月前の最良の製品モデル	失敗数が6分の1
Fake Chain-of-Thought攻撃	GPT-5.1では成功率95%超	10%未満
GPT-Redの直接インジェクション	GPT-5.5以前はほぼ突破	失敗率0.05%
間接インジェクション社内評価	開発ツール・ブラウジング	正答率97%超

Fake Chain-of-Thoughtは、偽の推論記録を注入し、モデル自身が確認済みの判断だと誤認させる攻撃である。¹⁵ ただし0.05%は、保留環境でGPT-Redが行った全試行の平均成功率だ。実運用の年間事故率でも、未知の攻撃者すべてに対する保証値でもない。

OpenAIは一般能力と過剰拒否も併せて評価し、通常能力への悪影響はなかったとしている。¹ この設計は「全拒否による見かけの安全」を避ける点で合理的だが、評価主体はOpenAI自身である。

実務ではモデル改善を一層として扱う¶

発表時点ではGPT-Redの詳細なプレプリントが未公開で、再現条件や統計的な不確実性を第三者が検証できない。 MIT Technology Reviewは、GPT-Redが多ターンや画像を使う攻撃をまだ不得手と報じた。 CSETのJessica Jiは自己対戦を有望と評価しつつ、人間の専門性は引き続き重要だと述べている。⁵

防御改善の目玉である0.05%とFake Chain-of-Thoughtの10%未満は直接インジェクションの値だ。間接系の97%超は評価の飽和も意味し、新しい物差しが必要になる。さらに、防御側はGPT-Redの攻撃分布で訓練されているため、未知の分布へ同じ強さで汎化するとは限らない。

実務で維持すべき対策は変わらない。²

エージェントのファイル・認証情報・外部サービスへの権限を最小化する。
送信、購入、削除など不可逆な操作の前に人間の確認を挟む。
外部通信先を制限し、機密データを持つ環境から任意の送信を許さない。
モデルの拒否だけに頼らず、監視、サンドボックス、監査ログを重ねる。

まとめ - 安全性の自己改善は始まったばかり¶

GPT-Redの新しさは、個別の攻撃手法ではなく、攻撃探索を製品モデルの訓練へ常設した点にある。今日のモデルで攻撃を量産し、明日のモデルを鍛える循環が、少なくともOpenAI内部では動き始めた。

次に問われるのは、0.05%をさらに小さくすることだけではない。 社内ベンチマークが飽和する速度より、新しい評価と第三者検証を速く更新できるか。 その競争が、防御モデルの強さを実環境の安全へ変換できるかを決める。