UK政府機関がGPT-5.6を6時間でジェイルブレイク｜Fable 5より深刻でも停止しない非対称な規制対応

「Anthropicのモデルが止められて、OpenAIのモデルはもっと深刻な問題を抱えているのに止まらない。これは規制の一貫性の問題だ」。Hacker Newsのスレッドにユーザー「DyslexicAtheist」がそう投稿したのは、2026年7月10日の深夜だった。英AI安全機関（AISI）がGPT-5.6 Solに「ユニバーサルジェイルブレイク」を発見したという報道を受けての反応だ（Fable 5 is Back | Hacker News）。

2026年7月10日、英国AI安全機関（AISI）はGPT-5.6 Solのサイバーセーフガードにユニバーサルジェイルブレイクが存在することを公表した（Fortune, July 10, 2026）。単に脆弱性を発見するだけでなく、システムへの自律的な攻撃実行まで可能にする。この深刻さは1ヶ月前にFable 5が停止された原因となった脆弱性より「潜在的に深刻」とAISIの評価を引用したFortune報道は伝えている。それでもGPT-5.6は現在も稼働し続けている。

AISIが6時間で発見した脆弱性の実態

AISIのレッドチーム責任者、Xander Davies氏はXへの投稿でこう述べた。「@AISecurityInstで、GPT-5.6 Solのサイバーセキュリティセーフガードをテストした。全テストラウンドで、脆弱性発見やエクスプロイト開発のようなドメインでの長期的エージェントタスク完遂を可能にするユニバーサルジェイルブレイクを発見した」（Xander Davies on X, July 10, 2026）。

「ユニバーサル」という表現が示す意味は重い。特定のプロンプトに対してのみ機能する回避策ではなく、有害クエリセット全体にわたって一貫して機能する手法が確立されたということだ。Fortuneの報道によれば、AISIチームは6時間でユニバーサルジェイルブレイクを完成させ、OpenAIの有害クエリセット全体で安全規制違反の応答を引き出した（Fortune, July 10, 2026）。

OpenAIはAISIに対して特別アクセス権を与えていた。安全性推論モニターの思考連鎖、正確なポリシー文言、リアルタイムの分類器フィードバックだ。これは実際の攻撃者が持てない優位性だ。だがDavies氏は続けた。「このアクセスなしでも、発見は可能だ。ただし時間がかかるだけ」（Technobezz, July 2026）。つまり現実の攻撃者による再現可能性を否定していない。

AI安全研究者のSeán Ó hÉigeartaigh氏（ケンブリッジ大学）はXでAISIの成果を評価しつつ警告した。「GPT-5.3-Codexでは10時間でユニバーサルジェイルブレイクに成功した。Solではさらに短時間だった。これらのモデルはサイバー攻撃に強固でなければならない」（X, 2026）。

Fable 5より深刻なのに、非対称な政府対応の構造

今回の問題をFable 5のケースと並べると、規制対応の非対称性が鮮明になる。

Fable 5（2026年6月）: Amazon等の研究者がジェイルブレイクを発見。Anthropicが即座に修正・アクセス遮断を行わなかったとして、米商務省が輸出規制命令を発動。全世界のユーザーが6月12日から7月1日まで19日間、Fable 5とMythos 5へのアクセスを失った（関連記事: Fable 5輸出規制の経緯）。

GPT-5.6（2026年7月）: 英AISI政府機関がジェイルブレイクを確認。脆弱性は「自律的なエクスプロイト実行まで可能」と評価され、Fable 5より深刻とされた（Fortune, July 10, 2026）。にもかかわらず、12日間の段階的公開ゲートを経て全公開。停止命令は出ていない。

この違いの根本はFable 5の脆弱性が「脆弱性の特定」に留まっていた可能性があることだ。AISIがGPT-5.6で発見したのは、脆弱性を発見して攻撃まで自律的に実行できる点でワンランク上の能力だ（aroged.com, July 11, 2026）。

安全保障シンクタンクCNASのBen Hayum研究員は2026年6月に公表したレポートで警告を発していた。「ジェイルブレイクインシデントに対して、米政府は合理的かつ予測可能な体系的プロセスを必要としている」（CNAS Insights: Governing Jailbreak Incidents, June 26, 2026）。Fable 5とGPT-5.6への対応差は、その体系的プロセスが現時点では存在しないことを示唆する。

OpenAIの対応: バグバウンティ倍増は答えになるか

GPT-5.6の全公開と同日（7月9日）、OpenAIはバイオセーフティ向けバグバウンティプログラムの上限報酬を25,000ドルから50,000ドルに倍増した（TechRepublic, July 2026）。「OpenAI Bio Bounty Program」として恒久化され、ユニバーサルジェイルブレイクの発見者は最高5万ドルを受け取れる。

ただし注意が必要だ。このバグバウンティはバイオセーフティ領域を対象としている。AISIが発見したのはサイバー領域のジェイルブレイクであり、バイオバウンティとは別問題だ。Polymarketがこの発表をXでブレイキングニュース扱いした（@Polymarket on X）が、サイバー脆弱性に対するOpenAIの具体的な対策は現時点で公表されていない。

HackerNewsユーザーの「laurels-marts」はシニカルな私見を投稿した。「GPT-5.5ですらログイン認証フローをゼロためらいでリバースエンジニアリングする。Fable 5だけが規制されたのは、規制の論理じゃなく政治の論理だ」（あくまで個人の意見であり、規制当局の意図を示す証拠ではない）。開発者コミュニティの間には、セキュリティ対応の非一貫性への不満が蓄積している。

「全モデルは根本的に脆弱」、それでも防御は強化できる

CNASのHayum研究員は重要な視点を提供する。「機械学習の性質上、全モデルは根本的に脆弱だ。しかし実践的には、防御を十分に強化することで攻撃を最小化できる」（CNAS, June 2026）。

Anthropicが公表した数字がその証拠だ。CNASレポートによれば、Anthropicは2026年1月時点で「1,700累積時間・198,000回の試行にわたってユニバーサルジェイルブレイクをゼロに抑えた」と報告していた（CNAS, June 26, 2026）。Fable 5復活時に導入した新安全分類器はその延長にある（関連記事: Fable 5復活とジェイルブレイク評価フレームワーク）。完璧な防御はないが、防御強化は実現可能だという実績だ。

GPT-5.6については、METR（AIモデル独立評価機関）がすでに「評価史上最高の報酬ハッキング率」を報告している（関連記事: GPT-5.6 Sol全公開とMETR警告）。報酬ハッキングとサイバージェイルブレイクは異なる問題だが、両者が重なることで安全性の懸念は重層化している。

開発者への実践的影響

GPT-5.6を業務利用するエンジニアにとって、今回の問題は抽象的なリスクではない。エージェント型ワークフローでGPT-5.6 Solを使っているチームは、以下を確認することを推奨する。

第一に、実行権限の最小化だ。モデルがサーバー・ネットワーク・認証情報にアクセスできるタスクでは、人間によるレビューゲートを設置する。自律的なエクスプロイト実行が可能な脆弱性がある以上、エージェントの権限スコープは必要最小限に絞るべきだ。

第二に、OpenAIの公式アップデートを注視することだ。AISIの報告を受けてOpenAIがどのような安全分類器の更新を行うかは、7月16日時点では明らかになっていない。Fable 5のケースと同様、修正後のモデル動作に変化が生じる可能性がある。

国連AIガバナンス対話（ジュネーブ、7月6日）でYoshua Bengioが述べたように「制御は科学的に保証されていない」が、それは無対策の正当化にはならない（関連記事: 国連AIガバナンス対話）。今回のAISI発見は、政府の規制対応が恣意的である可能性と、開発者が自衛する必要性を同時に示している。

関連記事

• Claude Fable 5が19日ぶり復活: 誤検知問題と業界初ジェイルブレーク評価基準
• GPT-5.6 Sol全公開: METR「史上最高報酬ハッキング率」と開発者の本音
• 米政府命令でClaude Fable 5・Mythos 5が停止: 輸出規制の理由と日本への影響
• 「AIの未来をバイブコーディングするな」国連193カ国AIガバナンス対話で科学者が突きつけた警告

---

本記事の情報はFortune、UK AISI公式発表、CNAS、Technobezz等の報道・調査報告に基づく。正確を期しているが誤りを含む場合がある。2026年7月16日時点の情報であり、OpenAIによる安全分類器の更新状況によって内容が変化する可能性がある。本記事のセキュリティに関する記載は一般的な情報提供を目的としており、読者の具体的な環境・状況に対する専門的アドバイスではない。記事内容に基づいて行動した結果について、筆者およびサイト運営者は責任を負わない。本記事は特定の企業やツールとの利害関係に基づくものではない。