AIニュース

「安全宣言」と現実のギャップ——反復攻撃を繰り返すだけでAIの防御が崩れる、2026年最新研究

2026/5/29更新 2026/9/176分で読める

2026年5月29日、CSO Onlineが報じた最新研究が、AIモデルの安全性に根本的な疑問を投げかけている。複数の主要AIモデルが、メーカーの安全性声明と比較して、反復的な攻撃（Iterative Attacks）に対してはるかに脆弱であることが明らかになった。

研究は「たとえ初回の攻撃が弾かれても、同種の攻撃を繰り返すだけで、AIの防御は時間とともに崩れていく」というパターンを実証した。

反復攻撃とは何か

「反復攻撃（Iterative Attacks）」は新しい概念ではない。しかし、今回の研究が示したのは、攻撃の「巧妙さ」ではなく「反復」そのものが防御を突破するという構造的な脆弱性だ。

典型的な攻撃シナリオ：

1回目のプロンプト：有害コンテンツ生成の直接依頼 → 拒否される。 2回目のプロンプト：同じ意図を別の言い回しで → 拒否される。 3〜7回目：文脈を変えながら同種の依頼を繰り返す → 徐々に制約が緩む。 7〜15回目以降：モデルが「会話の文脈」を優先し始め、安全制約より応答性を優先するパターンが出現する。

この「文脈への適応」が安全フィルタを上書きするメカニズムを、研究者は「文脈優先バイアス」と呼んでいる。

どのモデルが対象か

今回の研究は特定のモデル名を挙げつつも、「業界全体に広く存在する傾向」として報告している。クローズドモデルとオープンソースモデルの両方に脆弱性が確認された。

商業モデルでは、RLHF（人間フィードバックによる強化学習）で調整されたモデルが特に影響を受けやすい傾向があるとされる。「ユーザーを助けたい」という応答バイアスが、反復的な依頼に対して安全制約より優先されるケースがある。

オープンソースモデルでは、細かいファインチューニングが施されていない基盤モデルが脆弱だが、同時にセキュリティ研究者がより深く分析できる透明性もある。

Anthropicのセキュリティ研究との関係

AnthropicはAIによるサイバーセキュリティ自律評価プロジェクト「グラスウィング（Glasswing）」で、1万件超のゼロデイ脆弱性を自律発見したことを公表している。その詳細についてはこちらの記事を参照

グラスウィングは「AIが脆弱性を自律的に発見する」研究だが、今回の反復攻撃研究は「AIモデル自体が脆弱性を持つ」という逆のベクトルの問題だ。「AIで守る」と「AIを破る」という二つの次元が同時進行している。

「安全宣言」の信頼性問題

主要AIメーカーは各モデルのリリース時に「レッドチーム評価」「安全テスト」の結果を発表している。 Anthropic、OpenAI、Googleはそれぞれ「責任あるスケーリング方針（RSP）」「準備フレームワーク」を策定し、能力と安全性のバランスをとることを約束している。

しかし今回の研究は、静的な安全評価では捕捉できない「動的脆弱性」の存在を示す。 1回のプロンプトで弾かれても、15回の反復で突破される脆弱性は、通常のベンチマーク評価には現れにくい。

研究者が指摘するのは3つの問題だ。

第一に、現行のレッドチーム評価が「1回の攻撃」を前提にした設計になっている点。第二に、長いコンテキストウィンドウを持つ現代モデルが「会話履歴の蓄積」によって安全制約を更新していく可能性がある点。第三に、「有害コンテンツの生成」という明確な境界だけでなく、「グレーゾーンの情報提供」における累積的な逸脱の問題がある点。