「セキュリティテストをするためだけの専用AIを作る」というアプローチは、ペンテスターを内製する感覚に近い。ただしそのペンテスターが1日に何万回でも試せる点が、根本的に違う。
GPT-Redという「攻撃専用モデル」の仕組み
OpenAI が2026年7月にGPT-5.6のリリースと合わせて公開したGPT-Red（大規模言語モデルの脆弱性を探索する専用LLM）は、同社のモデルを攻撃するためだけに設計されたモデルだ。脆弱性の発見、悪用パターンの生成を自動化し、その出力をGPT-5.6の敵対的学習（adversarial training）に使う。いわば「攻撃側AI」と「防御側AI」を反復させながらモデルを鍛える仕組みだ。
flowchart LR
A[GPT-Red\n攻撃専用LLM]:::new -->|脆弱性を探索| B[攻撃パターン\nデータセット]:::existing
B -->|敵対的学習に投入| C[GPT-5.6\n本番モデル]:::new
C -->|耐性評価| D{基準クリア？}:::tradeoff
D -->|No 再攻撃| A
D -->|Yes| E[リリース]:::new
classDef new fill:#2980b9,color:#fff
classDef existing fill:#7f8c8d,color:#fff
classDef tradeoff fill:#e67e22,color:#fff
で、実際のところエンジニアに何が変わるか
GPT-5.6が「GPT-Redと戦ってきた」というのは、使う側にとって何を意味するか。プロンプトインジェクションやジェイルブレイク系の攻撃に対してモデルが頑健になっているという点では、LLMを組み込んだシステムで素通りするリスクが以前より下がる可能性がある。
ただし逆に言えば、GPT-Redが試した攻撃パターン以外には効果がない。自分のアプリ固有の文脈——独自のシステムプロンプト、業務特有のデータ構造——に対する攻撃耐性は、モデル単体では保証されない。「モデルが安全になった」をそのまま「自分のシステムが安全」に読み替えると危ない。
トレードオフと見えていない部分
GPT-Redが発見した攻撃パターンがどこまで公開されるか、現時点では明らかでない。これは二面性を持つ。開発者がGPT-Redの手法を参照して自分のアプリをテストできれば有用だが、同じ手口が実際の攻撃に転用されるリスクもある。また「ベンチマーク上で安全」と「実運用で安全」は別物だという点も変わらない。GPT-Redが既知の攻撃パターンに勝っても、未知のベクターには無防備かもしれない。コスト面でも、敵対的学習は通常の学習より計算量がかさむため、このアプローチが中小規模のモデルに広がるかは不透明だ。
一つ問いかけ
LLMを組み込んだ自分のシステムで、「ユーザーが悪意を持って使ったとき」のシナリオをどこで検証しているか——モデルの安全性に任せてる？それとも入力バリデーションや出力フィルタリングなど別のレイヤーで担保してる？
参考: Meet GPT-Red: an LLM super-hacker OpenAI built to make its models safer（MIT Technology Review）