はじめに
2026 年 7 月 15 日、OpenAI は自動レッドチーミングモデル「GPT-Red」を発表しました。AI モデルの脆弱性を AI 自身が発見するというアプローチが注目を集めていますが、ChatGPT のモデル選択画面に GPT-Red が現れるわけではないため、「Plus ユーザーの自分はどうやって使うのだろう」と疑問に思った方も多いのではないでしょうか。筆者も発表を読んだ際、最初に同じ疑問を持ちました。
- GPT-Red の概要と、セルフプレイ強化学習による訓練の仕組み。
- 人間のレッドチームと比較した GPT-Red の攻撃性能
- GPT-Red が一般公開されない理由と、その成果が反映された GPT-5.6 Sol との関係
- Plus プランのユーザーが、GPT-5.6 Sol を防御目的のセキュリティレビューに活用する方法
結論を先に述べると、GPT-Red は OpenAI 内部限定のモデルであり、Plus を含むどのプランでも直接利用することはできません。ただし、GPT-Red による敵対的訓練の成果は GPT-5.6 Sol に反映されており、Plus プランでも Medium / High の推論オプションを通じて利用できます。本記事では GPT-Red の仕組みを整理した上で、Plus ユーザーが実務で得られる恩恵と活用方法を解説します。
GPT-Red とは: 自動レッドチーミングモデルの概要
GPT-Red は、OpenAI が自社モデルの脆弱性を発見するために訓練した、内部利用専用の自動レッドチーミングモデルです。人間のレッドチーマーと同様に、攻撃目標に向けてプロンプトを送信し、対象モデルの応答を観察しながら攻撃を反復的に改良します。静的なベンチマークやプロンプト集ではなく、能動的に攻撃を組み立てる「攻撃者としてのモデル」である点が特徴です。
OpenAI は、GPT-Red の訓練に同社最大級のポストトレーニングに匹敵する計算資源を投入したと説明しています。安全性の向上のみを目的としてこの規模の計算資源を割り当てるのは、同社として前例のない取り組みです。
参考: GPT-Red: Unlocking Self-Improvement for Robustness（OpenAI）
“automated red-teaming unlocks a crucial form of self-improvement for safety”
（自動レッドチーミングは、安全性における自己改善という重要な形態を解き放つ）
https://openai.com/index/unlocking-self-improvement-gpt-red/
プロンプトインジェクションと攻撃対象の拡大
GPT-Red が主な標的とするのは、プロンプトインジェクションと呼ばれる攻撃手法です。AI エージェントは、ブラウザ、連携アプリ、ローカルファイル、各種ツールを通じて第三者のデータに日常的に接触します。攻撃者はこの経路を悪用し、メール本文、Web ページ、ツールの応答、コードリポジトリなどに細工した指示を埋め込むことで、モデルに機密データの外部送信といった意図しない動作をさせようとします。
従来の Web アプリケーションに対する攻撃（SQL インジェクション等）は、通信パターンやシグネチャに基づいて WAF である程度検知できます。一方、プロンプトインジェクションは自然言語で記述された「一見正当な文章」として到達するため、従来型の境界防御だけでは検知が難しいという性質があります。WAF の仕組みと防御範囲については、関連記事『WAF とは｜仕組みと種類、選定のポイント』で解説しています。
セルフプレイ強化学習による訓練の仕組み
GPT-Red は、セルフプレイ強化学習と呼ばれる方式で訓練されています。攻撃側の GPT-Red と、多様な防御側 LLM 群を同時に訓練する構成です。
- 攻撃側（GPT-Red）: プロンプトインジェクションの成功など、有効な失敗を引き出すと報酬を得る。
- 防御側（ディフェンダーモデル群）: 攻撃に抵抗し、かつ本来のタスクを完了すると報酬を得る。
防御側の報酬設計には注意すべき点があります。防御側は「攻撃への抵抗」と「本来のタスクの完了」の両方が求められるため、すべての要求を拒否するだけでは報酬を得られません。この設計により、単に応答を拒否して安全に見せるのではなく、正当な業務を遂行しながら攻撃だけを退ける、実用的な堅牢性が訓練されます。
防御側が堅牢になるほど、GPT-Red はより強力で多様な攻撃の発見を迫られます。この相互作用の繰り返しが、攻撃・防御双方の能力を段階的に引き上げていく構造です。訓練を支える環境として、ローカルファイルの一部、Web ページのバナー、メール本文、ツール出力など、GPT-Red が制御できる要素と攻撃成功の条件を定義した現実的なシナリオ群が用意されています。
GPT-Red の性能: 人間のレッドチームとの比較
GPT-Red は訓練に使用した環境だけでなく、未知のシナリオや実稼働中のエージェントに対しても高い攻撃能力を示しています。本セクションでは、OpenAI が公表した評価結果を、人間との比較と実環境での事例に分けて整理します。
攻撃成功率 84% 対 13% の評価結果
OpenAI は、GPT-Red の汎化能力を測るため、訓練に使用していない間接プロンプトインジェクション評価環境（Dziemian et al., 2025 の再現版）で、人間のレッドチーマーと GPT-Red の双方に GPT-5.1 への攻撃を試行させました。結果は、GPT-Red がシナリオの 84% で攻撃に成功したのに対し、人間のレッドチーマーは 13% にとどまりました。
この結果は「人間のレッドチームが不要になる」ことを意味するわけではありません。OpenAI 自身も、GPT-Red を人間や第三者によるレッドチーミング、多層的なセーフガード、リアルタイム監視と組み合わせて運用する方針を示しています。攻撃の量と多様性を機械的にスケールさせる役割を GPT-Red が担い、人間は新しい脅威モデルの設計や評価軸の定義を担う、という補完関係と捉えるのが妥当です。
実環境エージェントへの攻撃事例（自販機エージェント、Codex CLI）
評価環境だけでなく、実際に稼働するエージェントへの攻撃事例も公表されています。
1 つ目は、OpenAI オフィス内で稼働する AI 自動販売機エージェントへの攻撃です。GPT-Red はシステムの説明と、シミュレーション環境で攻撃を試行できる権限を与えられ、攻撃を改良した後に本番エージェントへ展開しました。結果として、以下の 3 つの攻撃目標をすべて達成しています。
- 在庫中の高額商品の価格を、許容される最低価格の 0.50 ドルに変更。
- 100 ドル超の新規商品を発注し、0.50 ドルで販売設定。
- 他の顧客の注文をキャンセル。
シミュレーション環境で攻撃を洗練させてから本番環境に転用するという手順は、実際の攻撃者が取り得るアプローチと同型であり、エージェントを業務システムとして運用する際の脅威モデルを考える上で示唆に富みます。なお、これらの脆弱性は開示済みで、新しいセーフガードのテストが進められているとのことです。
2 つ目は、GPT-5.4 mini をベースとする Codex CLI エージェントに対する、10 種類のデータ持ち出し（data exfiltration）シナリオでの評価です。GPT-Red は、プロンプトで攻撃を指示した GPT-5.5 ベースラインと比較して、より多くのシナリオで機密データの持ち出しに成功し、トークン効率も上回りました。専用に訓練された攻撃モデルが、汎用モデルへの攻撃指示よりも効果的であることを示す結果です。
参照: https://openai.com/index/unlocking-self-improvement-gpt-red/
GPT-5.6 の堅牢性向上への貢献
GPT-Red の最終的な目的は、攻撃能力の誇示ではなく、自社モデルの堅牢性向上です。OpenAI は過去 6 か月にわたり、GPT-Red の前身となるレッドチーミングモデルを段階的に強化し、GPT-5.3 以降の各モデルの訓練に組み込んできました。
プロンプトインジェクション失敗率の推移
公表された数値のうち、実務者にとって注目すべき点を整理します。
- GPT-5.6 Sol は、最難関の直接プロンプトインジェクションベンチマークにおいて、わずか 4 か月前の主力モデルと比較して失敗が 6 分の 1 に減少
- GPT-Red の直接プロンプトインジェクション攻撃に対する GPT-5.6 Sol の失敗率は 0.05%
- GPT-Red の初期バージョンが発見した新種の攻撃「Fake Chain-of-Thought 攻撃」は、GPT-5.1 に対して 95% 超の成功率だったが、GPT-5.6 Sol では 10% 未満に低下
- 開発者ツールやブラウジングを標的とする間接プロンプトインジェクションベンチマークの一部は、最新モデルで飽和（精度 97% 超）
Fake Chain-of-Thought 攻撃は、モデルの思考過程を装った偽の推論テキストを注入する手法であり、自動レッドチーミングが人間の発見していなかった攻撃クラスを見つけ出した事例として重要です。攻撃手法の発見からわずか数世代のモデル更新で成功率が 95% 超から 10% 未満まで低下しており、発見した攻撃を訓練データとして還流させるサイクルが機能していることを示しています。
能力を維持したままの堅牢化
堅牢性の評価で見落とされがちな観点として、「拒否の増加による見かけ上の安全性」があります。要求を拒否しやすくなったモデルや能力の低下したモデルは、攻撃が成功しにくくなるため一見安全に見えますが、実用上の価値はありません。
OpenAI はこの点を踏まえ、一般的なフロンティア能力の評価と、過剰拒否（over-refusal）を測る独自タスクの両方で検証を行い、通常の能力に影響を与えることなく堅牢性が向上したと報告しています。堅牢性の向上が、正当な要求の拒否やツール利用の抑制ではなく、悪意ある指示への耐性の改善によってもたらされたことを示す結果です。
Plus ユーザーは GPT-Red を使えるのか
結論から述べると、GPT-Red はどのプランでも利用できません。ChatGPT のモデル選択画面に GPT-Red が追加されることも、API 経由で呼び出せるようになることもありません。ただし、その成果が反映された GPT-5.6 Sol は Plus プランで利用できます。本セクションでは、この関係を整理します。
GPT-Red が内部限定である理由
OpenAI は、GPT-Red を実運用モデルから分離して管理する方針を明確にしています。GPT-Red は攻撃能力そのものを訓練によって獲得したモデルであり、これを外部に提供すれば、プロンプトインジェクション攻撃の高度な自動化ツールを攻撃者に渡すことと同義になるためです。脆弱性の発見と攻撃データの生成という役割は内部に留め、その成果である堅牢性だけを製品モデルに反映するという設計です。
強力な能力を持つモデルの提供範囲を制限するという判断は、OpenAI に限らずフロンティアモデル各社に共通する潮流です。安全性を理由としたモデルの提供制限がユーザーに与える影響については、関連記事『Claude Fable 5 はなぜ使えない｜米政府ディレクティブの経緯と復旧の行方』でも取り上げています。
GPT-5.6 Sol は Plus プランで利用可能（Medium / High）
GPT-Red による敵対的訓練の成果は、GPT-5.6 の訓練プロセスに直接組み込まれています。つまり、Plus ユーザーが GPT-5.6 Sol を選択して利用する時点で、GPT-Red によって強化された堅牢性の恩恵をすでに受けていることになります。
ChatGPT のモデル選択（モデルピッカー）では、モデル名と推論レベルの関係が分かりにくいため、整理します。
- Plus プランでは、モデルピッカーで Medium（中程度）または High（高い）を選択すると GPT-5.6 Sol が動作します。
- Medium から High に変更しても、別のモデルに切り替わるわけではありません。同じ GPT-5.6 Sol に、より長い推論をさせる設定です。
- Extra High（非常に高い）と Pro（GPT-5.6 Sol Pro）は、Pro / Business / Enterprise プランの提供範囲であり、Plus には含まれません。
参考: ChatGPT の GPT-5.6（OpenAI Help Center）
「対象プランでは、中程度、高い、非常に高いの推論オプションに GPT-5.6 Sol が使用されます」
https://help.openai.com/ja-jp/articles/20001354
Sol・Terra・Luna 各モデルの特性と業務での使い分けについては、関連記事『GPT-5.6 リリース｜Sol・Terra・Luna の違いとインフラ業務での使い分け』で詳しく解説しています。
GPT-5.6 Sol を防御目的のセキュリティレビューに活用する方法
GPT-Red と同じこと、すなわち実際に攻撃を実行して脆弱性を突く行為は、GPT-5.6 Sol ではできませんし、すべきでもありません。一方で、自分が開発・運用する AI エージェントや Web アプリケーションを防御側の視点でレビューさせる用途であれば、GPT-5.6 Sol のサイバーセキュリティ分野の推論能力を実務に活かせます。
依頼プロンプトの例
自作の AI エージェントに対するプロンプトインジェクション対策のレビューを依頼する場合、以下のような構成が考えられます。攻撃の実行を求めるのではなく、設計情報の整理と防御策の洗い出しを依頼する点がポイントです。
以下の AI エージェントについて、プロンプトインジェクション対策の観点から
セキュリティレビューをしてください。
攻撃を実行したり、機密情報を外部送信したりせず、
次の項目を整理してください。
・入力経路
・信頼境界
・想定されるプロンプトインジェクションの類型
・安全に実施できるテスト項目
・必要な防御策
・ログで確認すべき項目
【エージェントの構成】
（ここに対象システムの構成情報を記載）このプロンプトの構成要素は、脅威モデリングの基本手順に対応しています。入力経路と信頼境界の整理は攻撃対象領域（アタックサーフェス）の把握に、攻撃類型の想定は脅威の列挙に、テスト項目・防御策・ログ項目は対策の設計にそれぞれ相当します。推論レベルは、構成が複雑なシステムであれば High を選択すると、信頼境界の見落としの指摘など、より踏み込んだ分析が期待できます。
実施時の注意点
防御目的のレビューであっても、以下の点に留意することを推奨します。
- 本番環境の認証情報や実データをプロンプトに含めない。構成情報は抽象化・マスキングした上で提示することを推奨します。
- レビュー対象は、自身に権限のあるシステムに限定する。第三者のシステムを対象とした脆弱性調査は、権限の有無によって不正アクセス行為に該当するおそれがあります。
- 出力された防御策をそのまま適用せず、公式ドキュメントや自組織のセキュリティポリシーと照合して検証する。AI の出力には不正確な内容が含まれる可能性があります。
- 実際の侵入テストが必要な場合は、AI へのプロンプトではなく、権限と手順を定めた正規のペネトレーションテストとして計画する。
- 組織で利用する場合は、生成 AI の利用ポリシー（入力してよい情報の範囲等）を事前に確認する。
まとめ
GPT-Red は、AI の安全性向上を AI 自身でスケールさせるという OpenAI の新しいアプローチを象徴するモデルです。ユーザーが直接触れることはできませんが、その成果は GPT-5.6 Sol の堅牢性として、Plus プランを含む日常の利用環境にすでに反映されています。攻撃側の視点を持つモデルの登場は、AI エージェントを運用する側にとっても、脅威モデルを見直す良い機会になります。
- GPT-Red は OpenAI 内部限定の自動レッドチーミングモデルで、一般提供はされない
- セルフプレイ強化学習により、攻撃側と防御側のモデルを同時に訓練する仕組み
- 未知のシナリオでの攻撃成功率は 84% で、人間のレッドチーマーの 13% を大きく上回る
- GPT-5.6 Sol は直接プロンプトインジェクションへの失敗率が 0.05% まで低下
- Plus プランでは Medium / High の推論オプションで GPT-5.6 Sol を利用できる
- 攻撃の実行ではなく、自システムの防御目的レビューであれば GPT-5.6 Sol で実施可能
- レビュー時は実データを含めず、権限のある自システムのみを対象とすることを推奨
以上、最後までお読みいただきありがとうございました。
