2026.07.16

OpenAI「GPT-Red」、人間の6.5倍の攻撃成功率――エージェント権限設計を問う実例に

TL;DR

OpenAIが自己対戦型強化学習で攻撃側・防御側AIを共進化させる「GPT-Red」を発表。未知シナリオでの間接プロンプトインジェクション成功率は人間13%に対し84%、実運用中のAI自販機エージェントへの攻撃で価格改ざん・不正発注・注文キャンセルを全て達成した。
セキュリティ検証は「最大級のポストトレーニング相当」の計算資源を要する領域に入り、独自防御技術を自作する道は大手ラボ以外には現実的でなくなりつつある。
Thinking MachinesのInklingとGemini Sparkは対照的な二つの戦略――前者は「所有できるオープンウェイト」、後者は「Workspaceに溶け込む配荷力」――で、価値が溜まる場所がそれぞれ違う。

本命:OpenAI「GPT-Red」――攻撃側AIを鍛えて防御側AIを鍛える好循環

OpenAIが7月15日、自社モデルの脆弱性を自動で発見する「GPT-Red」を発表した。攻撃側のGPT-Redと複数の防御側LLMを自己対戦（self-play）型強化学習で同時に訓練し、攻撃側はプロンプトインジェクションの成功で、防御側は攻撃に耐えてタスクを完了することで報酬を得る。防御が強くなるほど攻撃側もより強力な手口を学習する共進化構造だ。未知シナリオでの間接プロンプトインジェクション検証では、人間レッドチーマーの成功率13%に対しGPT-Redは84%（約6.5倍）。実環境テストでは、OpenAIオフィス内のAI自販機エージェント（Andon Labs製、Anthropicの「Project Vend」に類似）に対し、高額商品を下限の0.50ドルに改ざん、100ドル超の商品を発注して0.50ドルで販売、他顧客の注文をキャンセル、という3つの悪意ある目標を全て達成した。この脆弱性は開示済みで対策が進行中という。

signal/noise：self-play型敵対的学習によるレッドチーミング自動化という方向性自体はsignal（確信度高）――AlphaGo型の共進化パラダイムをセキュリティ検証に応用する発想は理にかなっている。一方、84%や失敗率0.05%といった具体数値はOpenAIの自己申告・査読前段階の発表であり、独立検証前は割り引いて見る必要がある（確信度中）。

技術的読み

自己対戦で攻撃側・防御側を同時に鍛える構造は、人間の専門家が到達できない攻撃の多様性とスケールを生む。GPT-5.6 Solは、GPT-Redを使った敵対的トレーニングの成果として、直接プロンプトインジェクションベンチマークの失敗率が4カ月前の最良モデル比で6分の1に減少し、GPT-Red自身による直接インジェクション攻撃への失敗率も0.05％にとどまるという。初期版が発見した「偽Chain-of-Thought攻撃」は、GPT-5.1に95％超の成功率だったがGPT-5.6 Solでは10％未満に落ちた。拒否の増加や能力低下による見かけ上の安全性向上ではないと強調している点は評価できるが、これらの数値はいずれも社内ベンチマークであり、査読前論文（今週後半公開予定）が出るまで第三者による独立検証はできない。

ビジネス的読み

「OpenAI最大級のポストトレーニングに匹敵する計算資源を安全性向上のためだけに投じた」という一文が示す通り、これは資金力のあるラボにしかできない投資規模だ。プロンプトインジェクション対策を自前で研究開発するゲームは、事実上、大手ラボの手に集中していく。GPT-Redをデプロイモデルと分離した社内専用モデルとし、攻撃能力自体を悪用されないよう秘匿する判断は、攻撃ノウハウをモデル上流の独自資産として扱っていることの表れでもある。サードパーティのレッドチーミングサービスや汎用プロンプトインジェクション対策ベンダーの立ち位置は、この動きによって徐々に侵食されていくだろう。

逆張り・見落とし

この種の発表には規制当局・世論向けに「自主的に安全性へ大規模投資している」ことを示すポジショニングの側面もある。実演された自販機エージェントへの攻撃はインパクトが強いが、それは同時に「エージェントに金銭操作の権限を与えること自体のリスク」を証明する実例でもあり、GPT-Redの成果だけでなく攻撃対象側の設計の甘さにも注目すべきだ。

含意とポジション

自律エージェントに価格変更・発注・注文キャンセルのような権限を与えている、または検討しているなら、これは理論上のリスクではなく実演済みの脅威だ。権限範囲の最小化と、影響の大きいアクション実行前の人間承認フローは設計上の前提として持つべきだろう。一方で、プロンプトインジェクション対策そのものを自前の差別化技術として作り込むのは、この規模の投資合戦を見る限り筋が悪い。プラットフォーム側のガードレール改善を前提にプロダクトを設計し、“何をどこまで自律的にやらせるか”という運用ルールの設計に人間の判断を残す――ここは代替されない仕事として残る。

その他の重要トピック

EU、GoogleにAndroidと検索の競合開放を命令

EUがデジタル市場法（DMA）に基づき、Googleに対し競合の検索エンジン・AIアシスタントへAndroidと検索データの同等アクセスを提供するよう命じた。検索データ共有は2027年1月まで、Android側の変更実装は2027年7月までに求められる。金銭的制裁ではなく技術的な是正命令である点が特徴だ。技術的には、Geminiのディストリビューション優位性（AndroidのデフォルトアシスタントとしてのGoogle検索データ）を規制で中立化する動きであり、ビジネス的にはT1（価値はinfraと配荷に溜まる）の裏返し――配荷の牙城を制度で崩しにきている好例だ。so what：施行は2027年以降でいますぐの影響はないが、単一プラットフォームへの配荷依存はマルチホーム設計でヘッジしておく価値がある規制の方向性ではある。

国産AI開発企業Noetra、Rubin 2万7500基の計算基盤へ本格始動

ソニーグループ、ソフトバンク、NEC、本田技研工業など44社が出資するNoetraが本格始動を発表した。産業技術総合研究所やPreferred Networksから技術者を集め、NVIDIA協力のもとRubin GPU約2万7500基の計算基盤を2027年4月着工・2028年6月稼働で構築する。2026年度から言語モデル、2028年度からマルチモーダル基盤モデル、2030年度に「実世界ネイティブAI」（物理法則理解）を目指し、ロボット動作制御への活用を掲げる。44社の大企業コンソーシアム型は総花的出資になりやすく意思決定速度が課題になりがちだが、ロボティクス応用という的の絞り方自体は既存の強み（製造業・自動車）を活かす筋として妥当だ。汎用LLMで正面から戦えば隣接領域で価格競争に巻き込まれる（T6）ため、ロボティクス特化のマルチモーダルという逆張り的ポジショニングが成立するかが鍵になる。so what：成果物が出るのは早くて2028年度、本命級の実世界応用は2030年度目標という長期ロードマップの初期発表段階であり、今の意思決定に組み込む必要はない。

Gemini Spark、日本でもリリース――Ultra加入者向けβ

Googleがパーソナルエージェント「Gemini Spark」の日本提供を開始した。Ultra（月額1万4500円〜）加入者向けβで、Proユーザーへの拡大も示唆されている。Gemini 3.5とGoogle Antigravityハーネスを基盤に、Gmail・カレンダー・Docsと連携し、電源が切れていてもクラウド上で24時間バックグラウンド実行する。カスタムMCP対応で任意アプリとの接続も可能、繰り返し作業は「スキル」として記憶・再利用できる。月額1万4500円というUltra限定の価格設定は、パーソナルアシスタントの単価がまだ重いコスト構造にあることを示す。一方でWorkspaceとのネイティブ統合はGoogleエコシステムユーザーへの強力な配荷優位で、T1のテーゼ通りinfra側の強さがそのまま出る。so what：Gmail・カレンダー中心の「秘書代行」的ワークフロー自動化を自作しているなら、この領域はプラットフォームに飲み込まれる典型（T2：プラットフォームが将来吸収する自前足場には投資しない）。差別化するならWorkspace外のニッチな業務領域か、Google非導入企業向けの横展開に絞るべきだろう。

Claude Coworkの使い分けガイド公開

Anthropicが、チャット・Claude Code・Claude Coworkの使い分けを整理した記事を公開した（米国時間6月3日）。チャットは質問・壁打ち、Claude Codeは開発、Claude Coworkはメール・スライド・表計算・ドキュメントなど業務タスクの完遂に向く。判断軸として「複数入力があるか」「ファイル出力が必要か」「繰り返し作業か」「ぱっと見で合否評価できるか」の4条件を挙げている。新機能の発表ではなく既存Coworkの使い分けガイドの再整理であり、技術的な新規性はほぼない。ビジネス的には、この4条件を明文化することで企業導入時の運用テンプレート化を狙っている点が実利的だ。so what：本命級の新事実はないが無視していい類でもない。自社の業務棚卸しに、この4条件をそのままチェックリストとして転用するのが実務的な使い方になる。

Thinking Machines、初のオープンウェイトモデル「Inkling」公開

元OpenAI CTOのミラ・ムラティ氏率いるThinking Machines Labが初モデル「Inkling」を発表した。総パラメータ9750億・アクティブパラメータ410億のMoE型Transformerで、最大100万トークンのコンテキスト、テキスト・画像・音声・動画からなる45兆トークンで事前学習。Apache 2.0ライセンスで全ウェイトをHugging Faceに公開し、自社は「最強のモデルではない」と明言した上で「カスタマイズに適したオープンウェイト基盤」と位置付けている。Inkling自身がファインチューニング用コードを書き実行し評価する「自己ファインチューニング」も披露、ファインチューニングプラットフォームTinkerで同日から利用可能（期間限定50％割引）、TogetherAI・Fireworksなど推論プロバイダーとも提携した。ビジネスモデルは「モデル無償公開＋ファインチューニングSaaS（Tinker）で収益化」という構造で、T1のテーゼ（価値はinfraと配荷に溜まる）をそのまま体現している。so what：自社データでの継続学習・特化モデルによってモデル上流に堀を築きたい層には、Tinker＋Inklingの組み合わせは選択肢に値する。ただし「最強でない」ことは自認済みで、汎用性能で戦うプロダクトには不向き。オープンウェイト×有償ファインチューニングインフラという収益モデルの実例がまた一つ増えた、という以上の位置づけで見ておきたい。

研究:agentic codingツールの採用は一部プロジェクトに偏在(arXiv)

GitHubの人気リポジトリ2,361件・agentic PR 25,264件を分析した研究が、中央値のリポジトリでは3カ月間にagentic PRが1〜2件しか生成されていないことを示した。集中的な採用は一部プロジェクトに限られる一方、小規模プロジェクト（contributor1〜5人）は中規模・大規模プロジェクトより参加率・活動量が高い。業界報告にある「参加者あたり3カ月で36PR」という水準を超えるのは少数で、大半のプロジェクトはこの閾値未満にとどまる。人間‐エージェント協働は「1人がエージェントの成果をレビュー・修正する単独監督モデル」が支配的で、複数人による協働は稀だという。一次データに基づく実証研究であり、agentic codingのhypeに対する具体的なカウンターデータとして価値が高い（T9：入力データの質を独立指標で照合する好例）。so what：「AIエージェントがOSS開発を席巻している」という印象は誇張であることがデータで裏付けられた。一方、小規模プロジェクトの方が参加率が高いという結果は、小規模チームでの活用が統計的にも合理的であることの裏付けになる。ただし単独人間監督モデルが支配的という点は、エージェントのPRを承認・修正する人的コストが依然としてボトルネックであることを示しており、「エージェントに任せれば人手が減る」という期待値は下方修正すべきだ。

今週試すなら / 無視していい hype

今週試すなら

自律エージェントに金銭・発注権限を持たせている、または検討しているなら、GPT-Redの自販機攻撃事例を参考に権限範囲と承認フローを点検する。
Claude Coworkの4条件チェックリスト（複数入力／ファイル出力／繰り返し作業／ぱっと見評価可能）で自社業務を棚卸しし、該当するタスクを一つ実際に渡してみる。
独自データでのファインチューニングに関心があるなら、期間限定50％割引中のThinking Machines Tinker＋Inklingを触ってみる。

無視していい hype

Noetraの本格始動は、成果物が2028〜2030年度目標という長期ロードマップの初期発表段階。今の意思決定に組み込む必要はない。
「AIエージェントがOSS開発を席巻している」という言説は、arXiv研究のデータ（中央値3カ月1〜2PR）で明確に反証される。過大評価として扱っていい。