AIをより安全にする、いちばんの近道が、“そのAIを攻撃するための別のAI”を作ることだとしたら——。妙に聞こえるが、OpenAIはまさにそれをやった。名前は「GPT-Red」。AIエージェントに対する攻撃を、自動で次々に編み出す“スーパーハッカーAI”だ。しかも、人間の専門家よりも上手に弱点を見つけてしまう。そして意外なことに、OpenAIはこのAIを世に出すつもりはない。
01何が発表されたのか
MIT Technology ReviewやOpenAI自身の発表（「GPT-Red: Unlocking Self-Improvement for Robustness」）によると、GPT-Redは社内専用の“敵役”モデルだ。ツールを使うAIエージェントに対して、プロンプトインジェクション（前に解説した“隠れた命令の注入”）のような攻撃を自動で発明し、うまくいった攻撃を「教材（訓練データ）」に変えて、次世代モデルの防御を鍛える。つまり、攻める側と守る側を、AI同士でぶつけて強くしていく仕組みである。
02「レッドチーミング」とは何か
カギになる言葉が「レッドチーミング（Red Teaming）」だ。もともとは軍事やサイバーセキュリティの用語で、味方の中に“攻撃者役（レッドチーム）”を立て、システムを壊す・乗っ取る方法をできるだけたくさん見つけ出す訓練を指す。弱点を、悪意ある本物の攻撃者より先に、自分たちで洗い出しておくためだ。ふつうは人間の専門家チームがやる。GPT-Redは、これをAIで自動化し、人間には不可能な速さと物量でこなす。
03どれくらいすごいのか
その実力は数字と実例で示された。OpenAIは、2025年に“人間のレッドチーム”が旧世代のGPT-5の弱点を探した実験を、そのままGPT-Redにやらせてみた。結果、GPT-Redは人間よりも多く、有効な攻撃を見つけ出した。さらに、テスト用の買い物エージェント「Vendy」をハッキングして、セール品の価格を書き換えたり、客の注文をキャンセルさせたりもしてみせた——エージェントが“やってはいけないこと”をさせられる危険を、具体的に突いたわけだ。そして、先日リリースされたGPT-5.6は、このGPT-Redを相手に鍛えたことで、「同社史上もっとも堅牢な（攻撃に強い）モデル」になったという。
04なぜ“非公開”なのか——両刃の剣
そして最大のポイント。OpenAIは、GPT-Redを一般公開もAPI提供もしない。理由は明快で、これは“意図的に訓練された攻撃の達人”だからだ。世に出せば、そのまま悪意ある者への武器になりかねない。だからOpenAIは、GPT-Redを実際に使われるモデルから切り離して社内に閉じ込め、私たちが受け取るのは“結果”だけ——GPT-Redで鍛えられた、より頑丈なモデル——という形にしている。
研究者いわく、GPT-Redは1年以上かけ、世界屈指の資金力（＝膨大な計算資源）を注いで作った。「誰かが簡単に真似できるものではない」。だがこれは、AIの安全ツールが抱える“両刃の剣”をも映している。AIを安全にする最強の道具が、それ自体は最も危険な代物でもある。“スーパーハッカーAI”を秘匿するのは賢明な判断だが、裏を返せば、AIの安全が、大手ラボの“閉じた扉の内側”で進む部分が増える、ということでもある。
05つまり日本の読者にとっては
まず、これは明るいニュースだ。AIの弱点を突く“攻撃AI”のニュース（自律型ランサムウェアなど）を以前扱ったが、今回はその“守り”の側。AIを使ってAIを鍛え、人間には追いつけない速さで穴をふさぐ——より信頼できるAIエージェントへ向けた、確かな一歩と言える。
そして、応用の効く考え方を一つ持ち帰りたい。「攻撃されるより先に、自分で攻撃してみる（レッドチーミング）」は、あらゆるシステムを堅くする王道だ。AIに限らず、自分のセキュリティやサービスを“攻撃者の目”で点検する——この発想は、そのまま使える。とりわけ、行動を起こすAIエージェントを使うなら、「これは騙されて“やってはいけないこと”をさせられないか？」という問いが、いちばん大事になる。
最後に、忘れたくない緊張感も。もっとも強力な安全ツールは、たいてい“両刃の剣”だ。危険だから公開しない、という判断は正しい。でも、その結果、AIの安全がどれだけ守られているかは、私たち利用者からは見えにくくなる。だからこそ、便利さを享受しつつ、「このAIは、どう安全を確かめられて世に出たのか」を気にかける——その視点が、AI時代の賢い付き合い方になる。
