OpenAIはGPT-5.6の公開前、普遍的なジェイルブレイクを自動で探すために70万GPU時間を超える計算資源を投じました。それでも英国の政府機関は、数時間で突破口を見つけています。可能かどうかは、すでに答えの出た問いです。今回の一件が引っかかるのは、示されたものが手法ではなく、示さないという判断だけだからです。
2026年7月24日、AIレッドチーマーのプリニー・ザ・リベレーターがXに投稿し、すべてのモデルに有効な普遍的ジェイルブレイク手法を開発したと主張した。
対象にはGPT-5.6 Sol、Claude Opus 5、Fableが含まれる。本人は手法の仕組み上、完全な修正は極めて困難か不可能かもしれないとしている。現時点で手法の全容は公開しておらず、AI研究機関、レッドチーマー、安全性研究者、政策立案者が検証できるよう責任ある開示期間を設ける方針で、レッドチーミング、セキュリティ、アラインメント、政策の各分野の専門家に個別の連絡を呼びかけた。判断の背景には現在の政治的・規制的状況と、無秩序な公開に伴う厳しい規制や禁止措置の回避があるとしている。元記事は、第三者による検証やベンダーの対応が済んでいないとして、確定した証拠ではなく早期の警告として扱うよう求めている。Cyber Security Newsが7月25日に報じた。
From: 
Researcher Claims Working Jailbreak on Top AI Models Including GPT-5.6, Claude Opus 5, and Fable
【編集部解説】
「その日のうちに破られた」と言われるモデル
プリニー・ザ・リベレーターの投稿は現地時間7月24日、日本時間では7月25日にあたります。同じ7月24日、Anthropicは Claude Opus 5 を公開しました。主力モデルが出荷されたその日に「もう破れている」と宣言される——この同時性そのものが、いまのAI業界の速度を物語っています。
ただし現時点で公開されているのは「主張」だけです。攻撃プロンプトも、成功率も、試行回数も、対象タスクも、実際の出力も示されていません。元記事が「確定した証拠ではなく早期の警告」と位置づけているのは、この一点に尽きます。
もう一つ、見落とされやすい論点があります。「ユニバーサル（普遍的）」という言葉には、実は二つの意味が同居しています。OpenAIはシステムカードで、ユニバーサル・ジェイルブレイクを「個々の要求ごとに攻撃を設計し直さなくても、多数の禁止要求に通用する手法」と定義しています。これは1つのモデル内でのタスク横断性です。一方、プリニーの主張はOpenAIとAnthropicという別々の企業の防御を横断するとまで踏み込んでいます。両者は別物であり、証明に必要な実験も別です。
ユニバーサル・ジェイルブレイクは、すでに政府機関が見つけている
ここで前提を一つ確認しておく必要があります。GPT-5.6 Sol に限れば、ユニバーサル・ジェイルブレイクの存在自体はすでに確認済みです。
OpenAIが7月9日に公開したシステムカードには、英国AIセキュリティ研究所（UK AISI）による外部評価が収録されています。同研究所は、脆弱性の発見から悪用コードの開発に至る長時間のエージェント的タスクを完遂させるものを含め、サイバー分野のユニバーサル・ジェイルブレイクを特定したと報告しました。数時間で開発できた攻撃もあったとされています。
もっとも、同研究所には安全性分類器の判定根拠やポリシー文面が見える特権的なアクセスが与えられていました。ブラックボックスの外側から同じことができるかは、まったく別の問題です。
つまり今回の主張で本当に問われているのは、「ユニバーサル・ジェイルブレイクは可能か」ではありません。それは答えの出た問いです。残っているのは、特権アクセスなしに、複数企業のモデルを横断して、再現可能に成立するのかという一点です。
業界は、この主張を採点する物差しをすでに持っている
そして今年の夏、その問いに答えを出すための共通言語が生まれました。
Anthropicは7月2日、Amazon、Microsoft、Googleらプロジェクト・グラスウィングのパートナーとともに策定を進める「Cyber Jailbreak Severity（CJS）」フレームワークの初期草案を公開しました。ジェイルブレイクの深刻度を、CJS-0（情報提供レベル）からCJS-4（クリティカル）までの5段階で採点する仕組みです。ソフトウェア脆弱性のCVSSに相当するものを、AIの世界に持ち込もうという試みだと理解すると分かりやすいでしょう。
採点軸は4つ。能力獲得（既存ツールを超えてどれだけ攻撃者を前進させるか）、能力獲得の広さ（いくつの異なる攻撃タスクに通用するか＝まさに「普遍性」）、兵器化の容易さ（手法を知ってから実際に動く攻撃にするまでの手間）、そして発見容易性（そもそもその手法を入手できるか）です。
この物差しを当てると、今回の判断の意味が具体的に見えてきます。同フレームワークの付録には、公開された再利用可能な1つの文字列で全カテゴリの安全動作を無効化する仮想例がCJS-4（10点満点）として挙げられています。対照的に、全カテゴリに通用して能力獲得も最高評価ながら、私的に保持され動作させるのが極めて難しい実例はCJS-2（6点）です。
後者は仮想例ではありません。UK AISI が2026年2月に公表した境界点ジェイルブレイク（BPJ）を指しています。入力が遮断されたかどうかだけを手がかりに、完全自動でユニバーサル・ジェイルブレイクを生成する手法で、Anthropicの Constitutional Classifiers を突破した初の完全自動ブラックボックス攻撃とされます。この防御は、それまで3,700時間を超える人手のレッドチーミングに耐え、その間に完全成功した人力の攻撃は1件のみでした。BPJ の開発には数か月を要しています。
10点と6点の差を生んでいるのは、発見容易性（2点→0点）と兵器化の容易さ（2点→0点）の2軸です。このうち手法を伏せるという選択が直接動かすのは、発見容易性の2点。残りは、手法自体をどれだけ簡単に動かせるかという別の問題です。
それでも意味は小さくありません。プリニーが「無秩序な公開はより厳しい規制を招きかねない」と述べた判断は、期せずして防御側が用意した採点表の論理と一致している——これが編集部の解釈です。逆に言えば、公開された瞬間に発見容易性は満点に振り切れます。
「現在の政治的・規制的な状況」とは何だったのか
彼が言及した規制環境は、抽象的な懸念ではありません。ごく最近、実際に起きた出来事を指しています。
Anthropicは6月9日に Claude Fable 5 と Mythos 5 を公開しましたが、6月12日、米政府が両モデルに輸出管理を適用しました。外国籍のユーザーへのアクセス制限が即時に求められ、リアルタイムで国籍を確認する手段がなかったため、同社は全ユーザー向けに両モデルを停止します。輸出管理は6月30日に解除され、Fable 5 は7月1日に世界で再提供されました。
この措置の引き金になったのは、Amazonの研究者が報告したセーフガード回避手法でした。ただしAnthropicの検証では、Claude Opus 4.8、GPT-5.5、Kimi K2.7といったより能力の低いモデルでも同じ脆弱性を特定でき、実証コードに至っては同社がテストした全モデルが同等の出力を生成できたとしています。同社はこの技術を99%以上の割合でブロックする新しい分類器を投入しました。
ここから読み取れるのは、「AIが答えてしまった」こと自体は深刻度を決めないという発想です。他のツールや弱いモデルで同じ結果が得られるなら、攻撃者にとっての上乗せはゼロに近い。CJSフレームワークが能力獲得を最初の軸に置き、そこが0点なら採点を打ち切ると定めているのは、この考え方を制度化したものです。
守る側の物量と、私たちが払っているコスト
防御側が手をこまねいているわけではないことも、数字で確認できます。
OpenAIは GPT-5.6 のリリース前、ユニバーサル・ジェイルブレイクを自動的に発見するために70万A100e GPU時間以上を投入したと公表しています。GPT-5.6 Sol のサイバー分野のセーフガードは、従来モデルと比べておよそ10倍の潜在的有害活動をブロックする設定です。Anthropicも Fable 5 の公開前1か月、社内各チームから人員を移し、この問題に取り組む研究者・エンジニアを倍増させています。
そのうえでAnthropicは、どのAIモデルもジェイルブレイクに対して完全に頑健にすることはおそらく不可能だと明言しています。OpenAIも、報告されたジェイルブレイクを再現・緩和・再テストし、展開中も自動レッドチーミングを走らせ続ける前提で運用しています。
問われているのは「破られるかどうか」ではなく、「誰が先に見つけ、どれだけ速く、どの程度の重大さとして扱うか」です。
この防御は、読者のみなさんが日々感じている不便と地続きです。Anthropicは分類器の判定境界に「セーフティマージン」を設け、無害である可能性が高い要求まであえて遮断する設計を採っています。Fable 5 ではこのマージンを過去最大に広げました。OpenAIも同様に保守的な設定を選び、ChatGPTやCodexで低能力モデルに再試行できる導線を用意しています。正当なコーディング作業が理由もなく断られる場面が増えたと感じるなら、それは失敗ではなく、意図された設計上の代償です。
「AIが断ってくれる」を安全装置にしない
企業でAIを組み込んでいる方に、この投稿だけを理由に利用を止める必要はないと考えます。一方で、設計思想の点検を促す材料としては十分です。
モデルの拒否挙動を唯一の安全機構にしている構成は、避けるべきです。フロンティアモデルはいずれも、モデル自身の学習、入出力の分類器、権限制御、監視を層状に重ねています。自社システム側でも同じ発想が要ります。AIに与える認証情報と実行権限を絞ること、危険な操作は別の承認レイヤーを通すこと、出力を監視すること、ポリシー違反時のエスカレーション経路を用意しておくこと。元記事が挙げている推奨は、目新しいものではなく、AIを前提にした基本設計そのものです。
長期的には、これは「文化」が「制度」に変わる話
innovaTopiaがこの一件を報じる理由は、破られたかどうかのスリルにはありません。
ジェイルブレイクは長らく、SNSに戦利品を貼るハッカー文化の領域にありました。それが1か月足らずの間に、業界横断の採点フレームワークが草案化され、AnthropicはHackerOne上に専用の報告プログラムを開設し、政府との事前テスト協力を制度化する段階まで来ています。今回、著名なレッドチーマーが「公開せず、専門家と政策立案者に先に渡す」と宣言したことは、その制度化に個人の実践が追いついた瞬間として読めます。
もっとも、まだ空白は大きい。誰が報告を受け取る「信頼できる当事者」なのか、自称する研究者にどんな立場が認められるのか、公開の是非を最終的に誰が判断するのか。ソフトウェアの脆弱性開示が数十年かけて築いた合意を、AIはこの数か月で組み立てようとしています。
決着をつけるのは、センセーショナルな出力例のスクリーンショットではありません。同じ手法が、異なるモデルに対して、成功率と試行回数を明示した形で、長く実用的なタスクを完遂したという再現可能な記録です。それが出てくれば「ユニバーサル」は技術的な発見になります。出てこなければ、この発表は検証されない警告のまま残ります。
未来を触りたいと思う私たちにとって、その差はとても大きい。
【関連記事】
Claude Fable 5、公開数日でジェイルブレイクか—Anthropicの最新AIに何が起きたか 同一人物プリニーによる前回の突破主張を報じた記事。証拠がスクリーンショット中心で第三者検証を欠いた点が、今回の非公開判断と対照的である。
Claude Opus 5、脆弱性は「見つける」が「悪用」の手前で止まる─Anthropicが引いた線 プリニーの投稿と同日に公開されたOpus 5の解説。Anthropicが発見と悪用の間にどこで線を引いたのか、その設計が具体的に確認できる。
Anthropic「Mythos」「Fable 5」を全面停止、ホワイトハウスの輸出規制と中国アクセス疑惑の全容 本稿が触れた6月の輸出管理を、当時の報道段階から追った記事。デビッド・サックス顧問の発言など、公式発表だけでは見えない政治的文脈を含む。
【編集部後記】
Anthropicが7月2日に公開したCJSフレームワークには、採点例の付録が付いています。公開済みの文字列で全カテゴリを無効化する例はCJS-4の10点、能力が同等でも非公開で扱いが難しければCJS-2の6点。開いてみると、「ユニバーサル」という言葉が、誰の手にあるかで点数の変わる設計だと見えてきます。ただし発見容易性0点は、信頼できる当事者による報告であることに加え、相当な専従的努力を要したことも条件です。自称するレッドチーマーをその当事者と認定するのは、Anthropicか、HackerOneか、商務省のCAISIか。
【用語解説】
ジェイルブレイク（脱獄）
モデルの安全機構を迂回させ、本来は拒否されるはずの出力を引き出すプロンプトや対話のパターン。「バイパス」とも呼ばれる。ソフトウェアの脆弱性と違い、発見も修正も一筋縄ではいかない点が特徴である。
普遍的（ユニバーサル）ジェイルブレイク
二つの意味がある。ひとつは1つのモデル内で多数の禁止要求に通用する「タスク横断性」。もうひとつは複数企業のモデルに同じ手法が通用する「モデル横断性」。前者はOpenAIの定義に基づく用法である。
レッドチーマー／レッドチーミング
攻撃者の視点でシステムを意図的に攻撃し、防御の穴を洗い出す役割および手法。AI分野では、モデルに有害な出力をさせられるかを事前に試す作業を指す。
アラインメント
AIの振る舞いを、人間の意図や価値観に沿ったものに保つための研究領域。安全性研究と重なるが、こちらはモデルの目的や判断そのものを扱う。
責任ある開示（レスポンシブル・ディスクロージャー）
脆弱性の発見者が、公表前に開発者へ非公開で報告し、修正の猶予期間を設ける慣行。セキュリティ業界で数十年かけて定着した。
ガードレール／分類器（クラシファイア）
ガードレールはモデルの逸脱を防ぐ仕組みの総称。分類器はその中核をなす小型のAIで、対話中に危険な要求や出力を検知して遮断する。モデル本体の学習とは別の層として動く。
Constitutional Classifiers
Anthropicが構築した分類器ベースの防御システム。ユニバーサル・ジェイルブレイクへの耐性を目的とし、3,700時間を超える人手のレッドチーミングに耐えた実績がある。
セーフティマージン（安全余裕）
分類器の判定境界を意図的に広げ、無害である可能性が高い要求まであえて遮断する設計。誤検知（正当な要求のブロック）は増えるが、有害な要求の取りこぼしは減る。
境界点ジェイルブレイク（BPJ）
入力が遮断されたか否かという最小限の情報だけを手がかりに、完全自動でユニバーサル・ジェイルブレイクを生成する手法。英国AIセキュリティ研究所が2026年2月に公表した。開発には数か月を要したとされる。
CJS（Cyber Jailbreak Severity）
ジェイルブレイクの深刻度をCJS-0からCJS-4の5段階で採点する枠組み。Anthropicが2026年7月2日に草案を公開した。段階は線形ではなく指数的で、1段階上がるごとに数倍深刻になる想定である。
能力獲得（uplift／ケイパビリティ・ゲイン）
CJSの第1軸。既存のツールや他のモデルで同じ結果が得られるなら、攻撃者への上乗せはないと判定され、この軸が0点なら採点はそこで打ち切られる。
発見容易性（ディスカバラビリティ）
CJSの第4軸。手法を入手する難易度。すでに公開されていれば2点、信頼できる当事者が非公開で保持し、かつ発見に相当な専従的努力や特別なアクセスを要した場合は0点となる。
CVSS（共通脆弱性評価システム）
ソフトウェア脆弱性の深刻度を数値化する国際的な標準。CJSはこれをAIのジェイルブレイクに対して実現しようとする試みだと位置づけられている。
プロジェクト・グラスウィング
Anthropicが、防御目的のサイバーセキュリティ用途に限って高性能モデルを提供する、信頼できる組織向けのプログラム。CJSフレームワークはAmazon、Microsoft、Googleを含む同プログラムのパートナーと共同で策定が進められている。
輸出管理
安全保障上の理由から、特定の技術や製品の国外提供を政府が制限する制度。2026年6月、米政府はこれをAIモデルに適用した。
最小権限（least privilege）
システムやAIエージェントに、業務遂行に必要な最低限の権限しか与えない設計原則。万一の突破時に被害範囲を限定する。
A100e GPU時間
計算資源の投入量を示す単位。NVIDIA A100相当のGPUを1時間動かした量を1として換算する。
【参考リンク】
Anthropic（外部）
Claudeシリーズを開発する米国のAI企業。安全性研究と製品開発を一体で進め、モデルの安全対策や事案の経緯を自社ニュースで随時公開している。
Claude（外部）
Anthropicが提供するAIアシスタント。Opus、Sonnet、Haiku、Fableの各モデルをWebやアプリから利用できる。
Introducing Claude Opus 5（外部）
2026年7月24日公開のAnthropicの新モデル。Fable 5に迫る性能を半額で提供するとし、コーディング評価で最高水準を主張する。
Expanding Project Glasswing（外部）
防御目的のサイバーセキュリティ用途に限り高性能モデルを提供するプログラムの、対象拡大方針を扱ったページ。CJS策定の母体でもある。
OpenAI（外部）
GPTシリーズを開発する米国のAI企業。GPT-5.6はSol、Terra、Lunaの3モデル構成で、いずれも高い能力水準に分類される。
OpenAI Deployment Safety Hub（外部）
OpenAIがモデルごとの安全性評価を公開するサイト。システムカードやレッドチーミングの投入量、外部評価の結果を掲載する。
UK AI Security Institute（外部）
英国政府のAI安全性評価機関。GPT-5.6の公開前評価を担当し、境界点ジェイルブレイク（BPJ）の公表主体でもある。
Cyber Security News（外部）
元記事を掲載したサイバーセキュリティ専門メディア。共同創業者兼編集長のグルバラン・KSが編集を統括し、世界の動向を日次で報じる。
Anthropic Cyber Jailbreak（HackerOne）（外部）
Anthropicが開設した、Fable 5のサイバー分野ジェイルブレイクを非公開で報告するための窓口。責任ある開示の受け皿にあたる。
CVSS（FIRST）（外部）
ソフトウェア脆弱性の深刻度評価標準CVSSの公式ページ。運用は国際団体FIRSTが担い、CJSフレームワークが参照する先行事例である。
Center for AI Standards and Innovation（CAISI）（外部）
米商務省傘下のAI標準・イノベーションセンター。Fable 5の新旧セーフガードを検証した、米政府側の当事者にあたる。
プリニー・ザ・リベレーターの投稿（X）（外部）
今回の一連の報道の起点となった、2026年7月24日のX投稿そのもの。手法の詳細は示されていない。
【参考記事】
More details on Fable 5’s cyber safeguards and our jailbreak framework（外部）
CJSの4軸と配点表を示した一次情報。付録では公開済みの全カテゴリ無効化を10点、非公開の境界点ジェイルブレイクを6点と採点する。
Redeploying Fable 5（外部）
6月12日の輸出管理適用から7月1日の再提供までの経緯を当事者が説明。新分類器が当該手法を99%以上遮断すると明記する。
GPT-5.6 System Card（外部）
70万A100e GPU時間以上を投入したこと、セーフガードが従来比約10倍を遮断すること、UK AISIの外部評価結果を収録する。
Boundary Point Jailbreaking: A new way to break the strongest AI defences（外部）
入力の遮断可否だけを手がかりに完全自動でユニバーサル脱獄を生成する手法。3,700時間の人手検証に耐えた防御を突破した初例とされる。
U.K. agency finds ‘universal jailbreaks’ unlock dangerous cyber capabilities of OpenAI’s GPT-5.6（外部）
OpenAIのシステムカードに収録されたUK AISIの評価を報道。数時間で開発された脱獄例や、特権アクセスの前提を整理する。
「全AIを破る脱獄」の主張：GPT-5.6とClaudeで検証すべき二つの普遍性（外部）
「普遍的」の二義性を切り分けた日本語の検証記事。試行回数や成否の判定基準など、証明に必要な条件を具体的に挙げている点が有用である。
