誰でも手に入る道具でOpenAI・Googleの画像生成AIの安全対策を突破
2026年、OpenAIとGoogleが相次いでリリースした最新AI画像生成モデルについて、想定を超える安全対策の脆弱性が研究者によって明らかになった。Ars Technicaが報じたこの調査は、企業のAI導入判断にとって看過できない論点を浮き彫りにしている。
報告の主体はWhite Circleというパブリックベネフィット企業で、AnthropicやDeepMind、Hugging Face、OpenAIのシニアリーダー・研究者が支援している。同組織が開発した攻撃手法「RISE（Red-teaming via Iterative Strategy Evolution）」は、フロンティアモデルや特殊な技術を必要とせず、Hugging Faceから無料でダウンロードできる安全トレーニングを除去したQwen3-32Bと、Gemini 2.5 FlashをジャッジモデルとしてAPIコールするだけで実行できる（出典：Ars Technica）。
関連記事VOICEVOX 使い方｜インストールから音声生成まで【2026】 ／ Grokとは？できること・料金・始め方をやさしく解説【2026年版】 ／ ディープフェイクとは？仕組み・悪用リスク・見分け方と対策を専門家監修で解説【2026年版】
新しいモデルほど破られやすい？検証結果の数字
RISEによるテスト結果は、人間のレビュワーが確認した明示的画像の生成率として示されている。DALL·E 3が約13%（最高値）、Nano Banana 2が10%未満、GPT-Image-2が約3%という数値が報告された（出典：Ars Technica）。
さらに注目すべきは新世代モデルの評価だ。White Circleによれば、OpenAIがリリースしたChatGPT Images 2.5およびGoogleのNano Banana 2.1は、いずれも旧バージョンよりも「著しく破りやすい」とされる（出典：Ars Technica）。モデルの世代が上がるほど表現力が増す一方で、安全制約の抜け穴も広がりうるという逆説的な構造が、この研究から見えてくる。
背景にあるのは、AI開発の商業的インセンティブと安全性設計の非対称性だ。生成品質の向上は製品競争力に直結するため開発リソースが集中しやすいが、安全対策はその定義・測定・更新のいずれも技術的に難しく、後追いになりやすい。企業が「最新モデルだから安全だろう」と判断することは、論理的には根拠が薄い。
AI画像を業務で使う企業に関係する3つのリスク
この問題を「自社とは無関係の技術的な話」と切り離すのは難しい。企業が社内外のコミュニケーションや広告制作、採用資料などにAI画像生成ツールを活用する場合、ツールが悪用され不正なコンテンツが生成されれば、利用企業も当事者となりうる。
特に日本の文脈では以下の観点から注視が必要だ。
- 自社サービスに組み込んだ場合の責任：自社のアプリや社内システムに画像生成機能を組み込み、それが不正な画像の生成に使われた場合、提供者として対応を問われる可能性がある。どこまで責任を負うかは個別の事情で変わるため、組み込む前に法務部門と確認しておきたい。
- IWFの報告が示す被害規模：インターネット・ウォッチ・ファウンデーション（IWF）は2026年上半期にCSAM（児童性的虐待素材）の基準を満たすAI生成画像を6,310件発見しており、これは2025年通年比で約40%増となっている（出典：Ars Technica）。被害が実際に拡大しているという事実は、技術論を超えた社会的リスクの存在を裏付ける。
- ブランドへの影響：自社が提供・推奨している画像生成機能で不適切な画像が作られたと報じられれば、企業の信用に響く。広告や採用資料など社外に出る用途ほど影響は大きい。
一方で、AI画像生成ツールが業務効率化や創造的作業の加速に貢献する点は否定しない。問題はリスクの存在そのものではなく、リスクを把握せず導入するかどうかにある。
導入前に確認したい4つのこと
研究が示した現実は、コンテンツポリシーに「禁止事項」が列挙されているだけでは不十分であることだ。以下に、企業の調達・情報システム・法務部門が導入前に確認すべき実務的な観点を整理する。
1. ベンダーのレッドチーム体制と開示姿勢
OpenAIとAnthropicは外部評価者へのNDA義務付けを主張しているとReuters が報じており（出典：Ars Technica）、White CircleはNDA署名を拒否する方針のためAnthropicとの提携が実現しない可能性があるとされる。研究者が自由にセキュリティ評価を公開できる環境を許容しているかどうかは、ベンダーの安全性に対する姿勢を測る一つの指標になる。
2. APIアクセス制御と使用ログの取得
RISEはAPIコールのみで攻撃を実行できる。社内でAPI連携を構築している場合、アクセスログの取得・異常検知の仕組みが整備されているかを確認する。MidJourneyは公開APIが存在しないためRISEのテスト対象外だったことも、アーキテクチャの選択が安全性に影響することを示唆している。
3. コンテンツフィルタの独立性と更新頻度
モデル本体の更新とコンテンツポリシーの更新サイクルが一致しているかを確認する。新モデルが旧モデルより「著しく破りやすい」とされたのは、機能の高度化に安全設計が追いついていないためと考えられる。SLAに安全対策の更新頻度・インシデント通知の義務が含まれているかも確認に値する。
4. 利用規約における企業側の責任範囲
多くのAI画像生成サービスの利用規約は、不正利用に起因する損害について事業者側の免責を広く定めている。企業が社内展開する際は、自社内のガイドライン策定と利用者教育を並行して行い、「知らなかった」状態を排除することが現実的な対応になる。
| 確認領域 | 確認ポイント | リスク度 |
|---|---|---|
| レッドチーム・脆弱性開示 | 外部研究者の自由な公開を許容しているか | 高 |
| APIアクセス制御 | ログ取得・異常検知の仕組みがあるか | 高 |
| コンテンツフィルタ | モデル更新に追随した安全設計の更新があるか | 中〜高 |
| 利用規約・SLA | インシデント通知義務・免責範囲の確認 | 中 |
| 社内ガイドライン | 利用範囲・禁止用途・教育が整備されているか | 中 |
| 法的責任範囲 | 不正コンテンツ生成時の企業責任を法務確認 | 高 |
AIを業務で使う際のセキュリティ全般はAIセキュリティ対策とは？企業が知るべきリスクと今すぐできる対策で解説している。
今後の見通し
White CircleはRISEの論文をarXivのプレプリントとして公開しており、2026年11月のNeurIPS 2026で発表する予定だ。攻撃の仕組み全体をオープンソースとして公開し、モデルの開発企業が対策に使えるようにする方針も示している。GoogleとOpenAIは、Ars Technicaの問い合わせに回答していない。日本企業においても、この研究結果を契機にAI画像ツールの導入審査基準を見直す動きが出てくる可能性がある。
重要なのは、このリスクが「将来の懸念」ではなく、現在流通しているモデルに対して実証されたという点だ。安全対策が破られるという事実は、技術的な問題であると同時に、ガバナンスと意思決定の問題でもある。導入可否の判断は、カタログスペックだけでなく、ベンダーの透明性・自社のリスク許容範囲・法的環境を総合して行うことが求められる。
参考文献
- Ars Technica「OpenAI, Google pushing new AI models easily tricked into making nudes, researchers say」（2026年10月14日）
arstechnica.com - White Circle「RISE: Red-teaming via Iterative Strategy Evolution for Modern Text-to-Image Models」
arxiv.org/abs/2609.34920
