最先端AIモデルのジェイルブレイクがこれほど簡単とは

人工知能の知能水準が限界を突破し続ける中、不安を呼ぶ問いが浮かび上がる。これらの強力なモデルのセキュリティ防護は、果たしてどこまで信頼できるのか。WIREDの記者Will Knightは最近、トップクラスのAIモデルの防御能力を体系的にテストする新型ジェイルブレイクツールを自ら体験した。その結果は予想外であり、深刻な懸念を抱かせるものだった。

ジェイルブレイクツール：AIの万能鍵

まだ名称が公開されていないこのツールは、独立系セキュリティ研究者グループが開発したもので、巧妙に設計されたプロンプトを通じてモデルに自身のセキュリティ制限を回避させることを核心原理としている。従来の手動ジェイルブレイクとは異なり、このツールは自動化された攻撃戦略を採用し、大量の変形プロンプトを生成してモデル防護の脆弱部分を継続的に探索する。テストでは、最先端AI企業4社——OpenAIのGPT-5、GoogleのGemini Ultra、AnthropicのClaude 4、MetaのLlama 4——に対してそれぞれ攻撃を仕掛けた。

「これらのモデルは数か月に及ぶ安全アライメント訓練を経ているため、十分に堅牢なはずだと思っていた。しかし現実には、数分以内に降参してしまうモデルもあった。」——テストチームリーダー

どのモデルがより脆弱か？意外なテスト結果

結果によると、モデルによってセキュリティパフォーマンスに顕著な差が見られた。Claude 4が最も強い耐性を示し、複数ラウンドの攻撃で突破されたのはわずか2回にとどまった。GPT-5とGemini Ultraは中程度の性能で、いずれも約10回の攻撃に1回の割合で突破された。一方、Llama 4はほぼ無防備で、第1ラウンドの攻撃であっさり陥落した。Metaがそれ以前にLlama 4のセキュリティ改善を大々的に宣伝していただけに、この結果は業界の多くの関係者を驚かせた。

さらに懸念されるのは、最も優秀な成績を収めたClaude 4でさえ、すべての攻撃を完全に防ぐことはできなかった点だ。ジェイルブレイクツールは、モデルの長文理解能力を悪用する脆弱性を発見した。架空の「緊急セキュリティプロトコル」テキストを埋め込むことで、モデルに既存の制限命令を無視させることに成功したのだ。

業界の背景：セキュリティをめぐる攻防は止まない

AIのジェイルブレイクと防御をめぐる攻防は、すでに数年にわたって続いている。初期の「DAN」プロンプトから今日のマルチモーダル対抗技術に至るまで、攻撃手法は絶えず高度化してきた。2025年末、スタンフォード大学の研究は、現在の主要な大規模言語モデルが自動化されたジェイルブレイクツールに直面した場合、平均防御成功率は60%未満であることを指摘した。各社は人間のフィードバックに基づく強化学習（RLHF）、レッドチームテスト、コンテンツ安全分類器などの手段を相次いで導入してきたが、脆弱性を根絶することには依然として成功していない。

編集注：この出来事は改めて、AIセキュリティは一度解決すれば終わりではないことを思い知らせる。モデルの能力が向上するにつれ、攻撃対象面も拡大する。企業はセキュリティの考え方をモデル設計の当初から組み込む必要があり、後からパッチを当てる対処では不十分だ。規制当局も強制的なセキュリティ評価基準の策定を検討し、モデルが公開前に一連の対抗テストを通過することを義務付けるべきだろう。

今後の方向性：受動的防御から能動的免疫へ

深刻化するジェイルブレイクの脅威に直面し、研究者たちは新たなセキュリティパラダイムの探索を始めている。一つのアプローチは「自己修正」モデルの構築だ——攻撃を検知した際にモデルが能動的に反制プロンプトを生成するというものである。もう一つは説明可能性技術を活用し、モデル内部の意思決定プロセスを透明化することで異常をより容易に発見できるようにするアプローチだ。WIREDの評論によれば、これらの技術は現在なお実験室段階にあり、実際の展開までにはかなりの距離がある。

つまるところ、AIセキュリティは終わりのない競走だ。今日優れた成績を示したモデルが、明日には新たな脆弱性を露わにするかもしれない。一般市民、企業、そして政策立案者は皆、認識しなければならない。私たちが手にしているこの「諸刃の剣」は、より慎重に握りしめる必要があると。

本記事はWIREDより編訳