攻撃を見つけるAIが出ても、先に決めるのは権限の上限

火曜の朝、安全の発表が流れてくると、会話は短くなりがちです。

「前より守られているらしい。」 「うちも早く合わせたほうがいい。」 「攻撃を見つけるAIがあるなら、もう大丈夫ではないか。」

2026年7月15日、OpenAIは社内専用の自動レッドチーミングモデル GPT-Red を公表しました。プロンプトインジェクションなどを自己対戦で探し、結果を自社モデルの学習に反映する、と説明しています。社外には提供しない、と一次情報に書かれています。

ここで起きやすい失敗は、安心から入ることです。

安心の話だけ先に来ると、権限の決まりが見えなくなります。

攻撃を見つけるAIが出ても、現場が先に決めるのは権限の上限です。

改善の数字を、自社の証明にしない

提供元が示す改善倍率や比較数値は、企業側の評価として扱います。

独立した第三者が、あなたの接続先と権限で測った数字ではありません。

なのに、現場ではこう翻訳されがちです。

「モデルが強くなった。」 「だからエージェントを広げてよい。」

翻訳が速いほど、棚卸しは遅れます。

棚卸しとは、次の確認です。

どのツールに繋がっているか。 どのフォルダを読めるか。 どこまで書けるか。 外部へ送信できるか。 誰が止められるか。

モデルの頑健さは、この一覧を代わりに書いてくれません。

外の入力は、まれな事故ではなく前提

エージェントがブラウザやファイル、外部ツールを触る前提では、外部入力を信頼しすぎないことが運用になります。

きれいな社内文書だけを読む世界ではありません。

ページの注釈。 メールの追記。 貼り付けられた指示文。 一見正しそうな手順書。

どれも、作業指示に見えます。 どれも、権限があれば実行候補になります。

ここで必要なのは、攻撃用AIを買うことではありません。

先に必要なのは、権限の天井です。

天井がないと、モデルがどれだけ慎重でも、触れる範囲が広すぎます。

承認と権限は近いが、同じではない

承認なしで進めてよい範囲を決める話は、エージェントに任せる前に、承認なしで進めてよい範囲を決めるに任せます。

こちらで残すのは、その手前の天井です。

承認があっても、権限が広すぎると事故の形が変わります。

「人がOKしたから、全部できる」になるからです。

分けて書いてください。

権限の上限は、そもそも触れない場所。 承認の境界は、触れるが、進める前に人が見る場所。 監査の記録は、あとから追える場所。

この三つが決まっていないまま、安全発表だけを追うと、現場は安心の言葉だけをそのまま使いがちです。

発表の翌日に増やさないもの

攻撃用AIを導入して対抗すること。 提供元の改善数値をそのまま社内基準にすること。 「安全になった」を全社メッセージにすること。

これらは、急がなくてよいです。

代わりに、先に動くものです。

エージェントごとの接続先一覧を出すこと。 書き込みと送信の可否を分けること。 止め方を一人に依存させないこと。 外部入力を信頼しない前提を、運用メモに一行残すこと。

安全の発表は、棚卸しのきっかけにはなります。 棚卸しの代替にはなりません。

長い作業ほど、触れない場所が先

日をまたぐエージェント、数週間追う代理人、自動で次工程へ進む仕組みほど、権限の決まりがない部分は大きくなります。

進捗の見え方は、長時間エージェントを入れる前に決める、進捗の見え方に任せます。

こちらは、見える化の前に、触れない場所があるか、を残します。

進捗が見えても、権限が広すぎると、見えているのは事故の途中経過です。

「見つけられる」と「広げてよい」は、別の文

安全発表のあとに出やすい言葉があります。

「レッドチームもAI化した。」 「人間より多く見つけられる。」 「だから本番を広げてよい。」

前の二つは、提供元の取り組みの話です。 三つ目は、自社の運用判断です。

この接続を、そのまま受け取らないでください。

自社で必要な接続は、別です。

このエージェントは、どこまで触れないか。 外部入力を、どこで切るか。 誰が止められるか。

この三つが言えないまま広げると、安心は言葉だけで、設計が残りません。

社外に提供されない攻撃探索モデルの存在は、見続けてよい材料にはなります。 自社の権限表の代わりにはなりません。

30分で始める棚卸し

所要時間は30分でも始められます。

エージェント名を一つ選ぶ。 読めるもの、書けるもの、送れるものを三行で書く。 そのうち、今週外すものを一つ決める。 外した理由を一行で残す。

全部を一度に閉じる必要はありません。

一つ外すだけで、天井の感覚が戻ります。戻るのは、恐怖ではありません。設計です。小さく始めて、来週もう一つ外す、で十分です。

外す候補が見つからないときは、次を疑ってください。

最初から広すぎる権限を「普通」だと思っている。

普通に見える広さは、整理されていないままです。 名前を付けるのが、棚卸しの仕事です。

名前が付くと、初めて「この権限は今週いらない」と言えます。 言えるまでは、安全発表を読んでも運用は動きません。

きれいな文書より、粗い表でよい

きれいなポリシー文書である必要はありません。 粗い表でも足ります。

共有フォルダAは読める、書けない、送れない。顧客提出前資料。 メーラーは件名のみ、下書きも不可。 社内Wikiは読める、書ける、送れない。個人ページは除外。 ブラウザは許可ドメインのみ。ログイン情報は渡さない。

「全部可」が並ぶ行があるなら、そこが天井のない場所です。

天井のない場所を、安全発表の翌日に増やす必要はありません。 増やす前に、一行でも不可を置きます。

「狭めると価値が減る」はその通り

「権限を狭めると、エージェントの価値が減る」という見方もあります。

その通りです。 狭めると、できることは減ります。

ただ、価値が減るのと、事故の形が変わるのは別です。 広い権限で速い答えを得る代わりに、止め方と監査が空くなら、それは速度ではなく賭けです。

賭けを続けたいなら、賭けだと書いてください。 安全になった、と書かないでください。

提供元が社内で攻撃を探すことと、自社の接続先を誰が管理しているかは、レイヤーが違います。混ぜないでください。混ぜると、安全のニュースを読んだ気になって、権限表はそのまま残ります。

火曜の朝に残す問い

新しい安全発表を見た朝に残す問いは、次の一つで足ります。

このエージェントに渡している権限の上限を、今言えるか。

言えないなら、モデルがどれだけ守られていても、自社の運用はまだ決まっていません。 言えるなら、発表は見続けていれば足ります。

言えたあとにやることです。

上限を表か箇条書きで残す。 今週外す権限を一つ決める。 止め方を担当者名で書く。

止め方は、ツールのボタン名より先に、人の名前で書いてください。

「管理画面で停止」だけでは、誰が止めるかが決まりません。 決まらないと、いちばん不安な人が何度も見に行き、いちばん忙しい人が止められません。

権限の上限と、止める人はセットです。 セットがない安全発表は、読み物としては面白くても、運用にはなりません。火曜の朝に残すのは、上限を言えるかどうかだけで足ります。

攻撃を見つけるAIが出ても、先に決めるのは権限の上限です。

GPT-Red のような社内専用の探索は、提供元の中の話です。自社のメーラーや共有フォルダに、その探索は入ってきません。入ってくるのは、発表の言葉だけです。

触れない場所を一箇所でも書けた週が、権限の上限を持ち始めた週です。書けたあとで広げても、遅くはありません。先に天井を置いた拡張のほうが、あとから説明できます。急いで広げた権限は、あとから回収するほど手間がかかります。先に天井を置いたほうが、結果的に早いです。来週へ持ち越す判断も、運用です。