AIレッドチーマーのPliny the Liberatorは日本時間2026年7月25日、GPT-5.6 Sol、Claude Opus 5、Claude Fable 5を含む「すべてのモデル」に有効なJailbreak手法を見つけたとXで明らかにした。同氏は、試した全カテゴリで機能し、完全な修正は極めて難しい可能性があると述べる。一方で、手法は責任ある開示のため当面公開しない。攻撃プロンプトや成功率は確認できず、試行回数、対象タスク、実際の出力も示されていない。「万能」が一つのモデル内で多数の禁止タスクに通用するという意味なのか、複数社の防御へ同じ手法を転用できるという意味まで含むのかで、検証すべき内容は変わる。
「万能」には二つの別々な証明が要る
OpenAIはuniversal jailbreakを、禁止された多数の要求に対し、要求ごとに攻撃を設計し直さなくても成功する手法と定義している。これは一つのモデル内で測る「タスク横断性」である。Plinyの投稿はさらに、OpenAIとAnthropicの複数モデルに同じ手法が通用するとしているため、「モデル横断性」まで含む。
両者は同じではない。あるプロンプトがGPT-5.6 Solの複数タスクで機能しても、Claudeへそのまま移せるとは限らない。反対に、複数モデルから禁止回答を一度ずつ引き出せても、脆弱性発見から悪用コード作成までを同じ手法で継続できなければ、タスク横断の万能性は証明できない。今回の投稿にある「試した全カテゴリ」も、カテゴリ名が示されていないため、各社のポリシー全体を覆うという意味にはならない。
検証には、モデル名を並べたスクリーンショットより広い試験表が要る。同一の禁止タスク群を使い、モデルごとに試行回数を示す必要がある。成功と失敗の判定基準も欠かせない。初回と再試行込みの成功率を分け、出力が実際に動くかまで確かめなければならない。さらに、API、チャット画面、コード実行環境では、同じモデル名でもシステム指示や外部分類器が違う。どの提供環境を、どの設定で試したのかも結果の一部である。
70万GPU時間でも終わらないGPT-5.6の攻防
GPT-5.6 Solについては、万能Jailbreakの存在自体が初めて持ち上がったわけではない。OpenAIは同モデルの公開前に、最適化探索、強化学習、推論時探索を使い、70万A100相当GPU時間を超える自動レッドチーミングを実施した。発見した最良の攻撃は、追加対策前の内部試験で10.0%の成功率を記録し、対策後は同じ攻撃に対して0%へ下がった。
ここで83.0%という別の数字を混ぜると意味を誤る。OpenAIは防御によるブロックを外した条件で、Jailbreakを適用したモデルがCyberGymのタスクを83.0%解き、攻撃なしのGPT-5.6 Solが83.6%だったと報告した。この比較は、Jailbreakを加えてもモデルのサイバー能力がほぼ失われなかったかを見るものだ。実運用の防御を83.0%突破したという数字ではない。
英国AI Security Institute（UK AISI）の結果は、防御側が抱える別の難しさを伝えている。UK AISIは安全判定モデルの推論、正確なポリシー文、分類ラベルを見られる特別な条件で試験し、OpenAIとの反復試験の全ラウンドでサイバー分野の万能Jailbreakを発見した。脆弱性発見やエクスプロイト開発を長い手順で進められる攻撃もあり、開発に数時間しかかからない例があった。OpenAIは報告された個別攻撃を再現して対策したが、UK AISIは同種の試験から新しい攻撃が見つかると予想している。
つまり、特定の攻撃を塞ぐことと、攻撃手法の系統を消し去ることは別の仕事である。OpenAIの0%という結果は前者を示す。Plinyが主張する「完全には修正できない」が後者を意味するなら、攻撃の変形後も成功率が保たれることや、対策後のモデルで再発することを示さなければならない。
Opus 5では「応答したモデル」の確認から
Claude Opus 5は、UTCではPlinyの投稿と同じ2026年7月24日に公開された。Anthropicの防御はFable 5と同一条件ではない。Opus 5はソースコードから脆弱性を探す要求を許可する一方、コンパイル済みバイナリの脆弱性探索、侵入テスト、エクスプロイト生成を分類器で遮断する。Anthropicは、Opus 5の分類器が介入する頻度をFable 5より約85%低く見込んでいる。
製品側のフォールバックも検証を難しくする。Claude.ai、Claude Code、Claude Coworkでは、サイバー分類器がOpus 5への要求を検知すると、既定でOpus 4.8へ切り替わる。画面上でOpus 5を選んでいても、禁止回答を返したモデルがOpus 5だったとは限らない。再現報告には、最終的に応答したモデルの識別情報が要る。
AnthropicはOpus 5のシステムカードで、Opus 5にもFable 5にも「Critical」と評価するJailbreakの証拠は見つけていないとしている。社内試験では、自動攻撃側にタスクごと最大400回の呼び出しを与え、ランサムウェア、データ流出、実在する脆弱性の悪用など、目標を達成できたか自動判定する環境で調べた。攻撃成功率は「非常に低い」としたが、本文中に数値は出していない。
外部試験も比較材料になる。Trajectory Labsは約100時間を費やし、タスク固有の誘導で1件を完了したものの、新しい万能手法は見つけなかった。10a Labsは約16時間の試験で対象タスクを達成できず、Gray Swanの自動攻撃も1タスク当たり150回の試行で成功しなかった。Plinyの手法がこれらを越えるなら、少なくとも同程度に完了条件が明確なタスクでの再現が必要だ。
公開を止めると下がるのは「発見しやすさ」
AnthropicはFable 5の再公開に合わせ、サイバー分野のJailbreakをCJS-0からCJS-4まで評価する暫定尺度を提示した。評価するのは、拒否を破ったという事実そのものではなく、攻撃者へ何を新しく渡すかである。
| 評価軸 | 確認する内容 | 今回まだ分からないこと |
|---|---|---|
| 能力向上 | 既存ツールを越え、専門家や非専門家をどこまで加速するか | 出力が既知情報の再現か、実際に使える新しい成果か |
| 広がり | 同じ手法が何種類の攻撃タスクへ通用するか | 「全カテゴリ」の内訳と失敗例 |
| 武器化の容易さ | 手動調整、再試行、専用ハーネスがどれだけ必要か | 一発で動くのか、熟練した誘導が要るのか |
| 発見しやすさ | 手法が公開済みか、専門作業なしに再発見できるか | 誰が受領し、どの範囲で共有されているか |
表から分かるのは、非公開という判断が主に「発見しやすさ」を下げることだ。能力向上や広がりは、手法を伏せても高くも低くもなり得る。Anthropicの例では、高い能力向上をもたらして全カテゴリに通用する手法でも、非公開で扱いが難しければ、公開済みの一発攻撃より低い等級になり得る。逆に、公開後に誰でも再現できればリスクは跳ね上がる。
過去の研究は、複数モデルに共通する弱点があり得ることを裏づける。ICLR 2025で発表された「Endless Jailbreaks with Bijection Learning」は、任意の可逆な符号体系を会話内でモデルに教え、禁止要求と回答を符号化して安全機構を回避する手法を示した。研究チームは複数の先端モデルと危害カテゴリで有効性を確認し、推論能力が高いモデルほど攻撃に弱くなる場合があると報告した。ただし、この結果はPlinyの非公開手法が同じ仕組みであることも、2026年の製品防御を突破できることも証明しない。
次の分岐は再現ログと実働タスク
Plinyは、公開前にAIレッドチーム、安全研究、政策の専門家へ手法を共有したいとしている。責任ある開示として価値を持つのは、各社が攻撃を受領し、同一条件で再現し、影響範囲を確定できたときだ。手法を一般公開する必要はない。第三者が非公開の試験セットを保全し、モデル別・カテゴリ別の成功率と試行予算を公表する方法はある。実行結果と対策後の再試験も、攻撃手順を伏せたまま報告できる。
企業が自社のAI製品を運用する場合も、今回の投稿だけを理由にモデル利用を止める段階ではない。ただし、モデルの拒否を唯一の安全装置にする設計は避けるべきだ。GPT-5.6もClaudeも、モデル学習と入出力分類器を組み合わせ、権限制御と監視を重ねている。自社システムでは、AIに与える認証情報と実行権限を絞り、危険な操作を別の制御層で承認させる必要がある。
評価が決まるのは、刺激的な回答例が公開されたときではなく、同じ手法が異なるモデルを相手に長い実働タスクを完了し、その成功率を再現できたときである。そのログが出れば「万能」は技術的な発見になる。出なければ、今回の発表は未検証の警告として残るだろう。
