GPT-6、ハルシネーション減も文書経由の攻撃に脆弱

OpenAIの最新モデル「GPT-6 Astra」は、AIが事実と異なる情報を生成してしまう「ハルシネーション（幻覚）」が前世代モデルより減少したことが確認された。一方で、文書の中に隠された形で悪意ある命令を仕込む「間接プロンプトインジェクション」と呼ばれる攻撃に対しては、依然として脆弱性が残っていることも明らかになっている。

プロンプトインジェクションとは、AIモデルに対して正規の指示とは別の隠れた命令を送り込み、意図しない動作をさせる攻撃手法のことだ。攻撃者が直接モデルに命令を送る「直接型」と、AIが読み込むドキュメントやウェブページの中に命令を埋め込む「間接型」の2種類がある。AIが自律的に外部の情報を読み取りながら作業を進める「AIエージェント」が普及するなかで、この問題への注目が高まっている。

GPT-6 Astraが直接型の攻撃をブロックする成功率は99.99%に達しており、この点では高い堅牢性を示している。しかし、AIが参照するドキュメント内に攻撃が隠されている間接型のシナリオでは、8.5%のケースで攻撃が成功してしまうという結果が報告された。比較対象として示されたAnthropicの「Claude Opus 5」では、同じ間接型攻撃の成功率は4.8%と、GPT-6 Astraを下回っている。

8.5%という数字は一見小さく見えるかもしれないが、AIエージェントが実際のビジネスデータや個人情報を扱う場面では、無視できないリスクになりうる。たとえば、AIが大量のメールや契約書を自律的に処理するシステムであれば、100件に8〜9件の割合で攻撃が通る可能性があることを意味するからだ。実運用環境では、一度の侵害が深刻な情報漏えいや誤操作につながりかねない。

AIエージェントの活用が広がるにつれ、モデルが外部コンテンツを読み込む機会は増える一方だ。メールの添付ファイル、ウェブページの本文、共有ドキュメントなど、攻撃者が命令を隠せる場所は無数に存在する。こうした間接型の攻撃経路は、直接型と比べて防御が難しく、現在の主要モデルにとっても未解決の課題と位置づけられる。

GPT-6 AstraとClaude Opus 5の比較から見えてくるのは、各社がセキュリティ面での競争を続けているという構図だ。ハルシネーションの低減と攻撃への耐性は、モデルの「賢さ」とは別軸の評価基準として、今後ますます重視されるという見方ができる。特に企業がAIエージェントを業務の中核に据え始めた段階では、この種の堅牢性評価がモデル選定の重要な判断材料になっていくだろう。