GPT-Redとは？OpenAIの「AIを攻撃するAI」を解説

最終更新日:2026/07/29

「GPT-Red」というニュースを見て、どんなAIなのか気になった方も多いのではないでしょうか。名前だけを見ると新しい対話AIのようにも思えますが、実態はまったく異なります。

GPT-Redは、OpenAIが2026年7月15日に発表したシステムです。AI自身に別のAIを攻撃させ、弱点を見つけ出すことを目的としています。なぜ「攻撃するAI」をわざわざ開発したのか、そしてこの動きは企業のAI活用にどう関わってくるのか。

本記事では、GPT-Redの仕組みや実験結果、企業担当者が押さえておくべきポイントを整理して解説します。

GPT-Redとは？OpenAIが発表した「AIを攻撃するAI」

GPT-Redの概要と役割

GPT-Redとは、OpenAIが開発した社内限定の非公開レッドチーミングAIです。自社モデルの脆弱性を自動で見つけ出す目的で作られました。2026年7月15日（米国時間）に公式ブログで発表されています。

「レッドチーミング」とは、攻撃者の立場に立ってシステムの弱点を洗い出すセキュリティ検証手法のことです。従来は人間の専門家が担ってきたこの役割を、GPT-Redという専用のAIモデルが代行します。

重要な点として、GPT-RedはChatGPTのように一般提供されるモデルではありません。APIも公開されておらず、あくまでOpenAI内部でモデルの安全性を高めるための道具として運用されています。現時点では一般公開の計画も発表されていません。攻撃能力そのものを外部に出さないという設計方針が背景にあると考えられます。

出典：GPT‑Red: Unlocking Self-Improvement for Robustness｜OpenAI

開発の背景｜プロンプトインジェクションという脅威

プロンプトインジェクション攻撃の仕組み
GPT-Redが開発された背景には、あるリスクの深刻化があります。それは、AIエージェントの普及に伴って広がる「プロンプトインジェクション」という脅威です。

プロンプトインジェクションとは

プロンプトインジェクションとは、Webページやメール、外部ファイルなどに悪意ある指示を紛れ込ませる攻撃手法です。それを読み取ったAIをだまし、本来の目的とは異なる操作をさせます。ブラウザや業務アプリを操作するAIエージェントが普及するほど、機密データの外部送信や不正操作の入り口として悪用されるリスクは高まります。より詳しい仕組みや事例は、AIsmiley編集部のプロンプトインジェクション解説記事でも紹介しています。

こうしたリスクへの備えとして、人間による疑似攻撃演習（レッドチーミング）が対策の柱とされてきました。しかし、手動での検証には時間がかかり、モデルの訓練に必要な量と多様性を備えた攻撃データを網羅的に用意することは困難でした。この限界を乗り越える手段として開発されたのがGPT-Redです。

GPT-Redの仕組み｜攻撃AIと防御AIの「自己対戦」

GPT-Redは、攻撃役と防御役のAIを同時に競わせる「自己対戦（セルフプレイ）」という手法で訓練されています。

具体的には、GPT-Redが攻撃側を担当し、複数の防御用モデルが同時に学習を進めます。攻撃が成功すればGPT-Redに、防御に成功すれば防御側のモデルに、それぞれ報酬が与えられます。防御側が強くなるほど、GPT-Redはより巧妙で多様な攻撃手法を編み出すよう追い込まれます。結果として、双方の能力が段階的に引き上げられていく構造です。

OpenAIによると、GPT-Redの訓練には同社の最大級のポストトレーニングに匹敵する計算資源が投入されています。また、GPT-Redは実際に運用する製品モデルとは明確に分離して保持されており、攻撃能力そのものが外部の悪意ある第三者の手に渡らないよう配慮されています。

GPT-Redの攻撃力｜人間のレッドチームとの比較実験

GPT-Redと人間のレッドチームの攻撃成功率比較

GPT-Redの攻撃力を検証するため、OpenAIは人間のレッドチームとの比較実験を実施しました。GPT-5.1を標的に、学習には使っていない未知のシナリオで間接プロンプトインジェクションを試みた結果は以下の通りです。

GPT-5.1を標的にした比較実験では、GPT-Redの攻撃成功率は84%に達した一方、人間のレッドチームは13%にとどまりました。GPT-Redは人間の約6.5倍の成功率を記録したことになります。

この結果からも分かるように、GPT-Redの攻撃能力は人間の専門家を大きく上回っています。さらに、GPT-5.5までの社内モデル・製品モデルについては、そのほぼすべてに有効な攻撃を実行できたとされています。

実地検証事例｜AI自動販売機「Vendy」への攻撃

GPT-Redの実力は、実際に稼働しているAIエージェントに対する検証でも示されました。標的となったのは、Andon Labsが手がけ、OpenAIのオフィスに設置されている自動販売機管理AI「Vendy」です。

GPT-Redはまずシミュレーション環境で攻撃手法を繰り返し試し、有効だった方法を実運用中のVendyに転用しました。その結果、以下の3つの悪意ある目標をすべて達成しています。

販売中の高額商品を、設定可能な最低価格である0.50ドルに変更する
100ドルを超える新規商品を発注し、0.50ドルで販売する
別の顧客が行った注文をキャンセルする

この脆弱性はすでに関係者へ開示されており、新たな安全対策のテストが進められています。

Anthropicの「Project Vend」との違い

なお、複数の海外・国内メディアがこの実験を、Anthropicの実験「Project Vend」になぞらえて紹介しています。Project Vendは、自律AIに実店舗の運営を任せる経済実験です。ただし両者の目的は異なる点に注意が必要です。GPT-RedによるVendyへの検証は、あくまでAIエージェントの防御力を試す攻撃実験です。いずれも自動販売機を管理するAIエージェントを扱っていますが、実験の目的は異なります。

出典：GPT‑Red: Unlocking Self-Improvement for Robustness｜OpenAI／Project Vend｜Anthropic

Codexエージェントへの攻撃実験と、頑健性向上の成果

GPT-Redは、開発支援AIエージェント「Codex CLI」（GPT-5.4 miniベース）に対する攻撃実験でも成果を示しています。訓練には含まれていない10件のデータ流出シナリオで検証したところ、通常のプロンプトを用いたGPT-5.5との比較よりも多くのシナリオで機密データの流出に成功し、必要なトークン数も少なかったとのことです。開発現場で使われるAIエージェントも例外ではないことがうかがえます。

GPT-Redが見つけ出した攻撃は、そのまま製品モデルの訓練に活用されています。この成果もあり、最新モデル「GPT-5.6 Sol」は、4カ月前に提供していた最も頑健なモデルと比べて、最難関の直接プロンプトインジェクション評価における失敗回数が6分の1に減少しました。

具体例として、初期版のGPT-Redが発見した「Fake Chain-of-Thought」という攻撃手法は、GPT-5.1に対して95%を超える成功率を記録していましたが、GPT-5.6 Solに対する成功率は10%未満まで低下しています。開発ツールやWeb閲覧機能を狙う複数の間接プロンプトインジェクション評価でも、GPT-5.6は97%を超える正確性を達成しました。

GPT-Redにも限界がある｜過信は禁物

GPT-Redの限界と多層的な安全対策

ここまで紹介した実験結果だけを見ると、GPT-Redが万能な安全対策のように感じられるかもしれません。ただし、OpenAI自身もGPT-Redだけでモデルの安全性を確保できるとは説明していません。人間や第三者によるレッドチーミング、複数層の安全対策、リアルタイムでの監視といった既存の取り組みと組み合わせていく方針が示されています。

また、海外メディアの報道では、複数ターンにわたるやり取りの中で仕掛けるタイプの攻撃や、画像を使った攻撃の検出については、GPT-Redは人間の攻撃者ほど得意ではないという指摘もあります。

なお、本件は公式発表ではなく、あくまで報道ベースの情報である点にご留意ください。いずれにせよ、「AIがAIを完全に守る時代」が到来したと捉えるのは早計といえるでしょう。

企業のAI活用担当者が押さえておきたいポイント

GPT-Red自体はOpenAI社内限定のシステムであり、企業が直接利用できるものではありません。しかし、そこから得られる教訓は、業務にAIエージェントを取り入れている、あるいはこれから取り入れようとしている企業にとっても参考になります。

権限の最小化：AIエージェントに与える操作権限は必要最小限にとどめ、価格変更や発注といった重要な操作は特に慎重に設計する
重要操作への人の確認プロセス：Vendyの事例のように、金額や注文に関わる操作は自動実行に任せきりにせず、人の承認ステップを挟む
外部ガイドラインの参照：プロンプトインジェクションへの対策は、OWASPが公開する「OWASP Top 10 for LLM Applications」などの業界ガイドラインを参考にすると体系的に検討しやすくなります

まとめ

GPT-Redは、OpenAIがプロンプトインジェクション対策のために開発した、AI自身にAIを攻撃させる社内限定のレッドチーミングシステムです。人間のレッドチームを大きく上回る攻撃力を示す一方で、OpenAI自身も人間による検証や多層的な安全対策との併用を前提としており、万能な仕組みではありません。

一般企業がGPT-Redそのものを利用することはできませんが、AIエージェントを業務に取り入れる際にプロンプトインジェクション対策が欠かせないという教訓は、多くの企業に共通するものです。

自社のAI活用におけるセキュリティ対策を検討する際は、ぜひ以下の関連記事も参考にしてください。

AIセキュリティとは？2026年版リスクと対策｜情シスが押さえるべきガイドラインと導入判断の基準
 プロンプトインジェクションとは？仕組み・種類・最新の攻撃事例と対策を解説

アイスマイリーでは、生成AI のサービス比較と企業一覧を無料配布しています。課題や目的に応じたサービスを比較検討できますので、ぜひこの機会にお問い合わせください。

生成AI のサービス比較と企業一覧