AIを攻撃する仕事「AIレッドチーム」──Anthropicの求人とPwC Japanのサービスを比べる
Anthropicは自社のAIシステムを攻撃する専任職「Red Team Engineer, Safeguards」を募集し、PwCコンサルティングは2024年9月から企業向けに「AIレッドチーム」サービスを提供している。「作る側の内製職」と「外部から診断するサービス」という2つの形を一次資料で比較する。
目次
3行まとめ
- Anthropicは自社製品を対象とした「Red Team Engineer, Safeguards」を求人中。攻撃者視点でエージェント・ツール利用など新しい機能の脆弱性を発見し、悪用の全体像（"full kill chain"）を再現する内製職
- PwCコンサルティングは2024年9月19日、企業のAIサービスに対し模擬攻撃を行い脆弱性・ビジネスリスクを特定する「AIレッドチーム」サービスを開始した──こちらは外部から診断する立場
- どちらも根拠として、2023年12月に公開された広島AIプロセスの成果文書「全てのAI関係者向けの広島プロセス国際指針」で、原則を遵守する具体的な取り組みの一つとして「レッドチーム」が挙げられていることが背景にある（PwC記事より）
「AIレッドチーム」という言葉は、AIを守る仕事だと思われがちだが、実際は逆でAIを攻撃する仕事だ。「レッドチーム」はもともと軍事・セキュリティ業界の用語で、味方（ブルーチーム）に対して敵役（レッド）を演じ、弱点を実戦形式で暴く役割を指す。AI企業自身がこの役割を内製する動きと、コンサルティングファームがこれを外部サービスとして提供する動きの、両方が2026年時点で確認できる。
Anthropic：自社製品を攻撃する内製職
Anthropicの求人票「Red Team Engineer, Safeguards」は、役割をこう説明している。
Anthropic's Safeguards team is seeking a Red Team Engineer to help ensure the safety of our deployed AI systems and products. In this role, you'll take an adversarial approach to uncover vulnerabilities across our product ecosystem before they can be exploited by malicious actors.
対象範囲は「技術的インフラの脆弱性から、先進的なAI能力から生じる新興リスクまで」と幅広い。従来型セキュリティのベストプラクティスを持ち込みつつも、焦点は「先進AIシステムおよび関連プロダクト特有の、より広範な安全性への影響と新種の悪用」に置かれている。求人票原文を確認すると、主な業務（Key responsibilities）は次の7項目だった。
| 業務 | 内容 |
|---|---|
| 包括的な敵対的テスト | 複数の悪用手法を組み合わせた創造的な攻撃シナリオを開発する |
| 新興能力向けの新しいテスト手法 | エージェントシステム・ツール利用・新しいインタラクション形式を研究し実装する |
| Full kill chain攻撃 | 実際の脅威アクターが複数の攻撃ベクトルを連鎖させ目的を達成する様子を模した攻撃を設計・実行する |
| 体系的なテスト手法の構築・維持 | システムのあらゆる側面を評価する手法を作り、維持する |
| 自動テストフレームワークの開発 | 大規模な継続的評価を可能にする |
| Product・Engineering・Policyチームとの連携 | 発見事項を具体的な改善へ翻訳する |
| 検知効果の指標づくり | 新種の悪用をどれだけ検知できているかを測る指標を確立する |
応募の最低条件は「ペネトレーションテスト、レッドチーム、アプリケーションセキュリティの経験」「モデルのジェイルブレイクと、非自明なプロンプトインジェクションベクトルに対する大規模エージェント的ワークフローのテスト経験」「Burp Suite・Metasploit・独自スクリプトなどを使うWebアプリケーションセキュリティの実務スキル」「LLM特有のテストフレームワークを含む独自自動化の構築経験」「CVE・ブログ・バグバウンティ報告などの公開実績」の5点。歓迎要件としてはAI/ML特有のセキュリティ、モデルジェイルブレイクに対するガードレールの理解、API・レート制限のテスト、不正利用対策の背景などが挙げられている。単なる伝統的なセキュリティ人材ではなく、LLM特有の脆弱性（プロンプトインジェクション、ジェイルブレイクなど）への理解が前提とされている点が特徴的だ。この分野は本メディアでもプロンプトインジェクションのリスクとして別途扱っている。
給与レンジも求人票に明記されていた。
Annual Salary: $320,000 — $405,000 USD
日本円換算ではおおよそ4,700万円〜6,000万円程度になる（本記事執筆時点の概算）。同社のSafeguards Enforcement Analyst（$245,000〜$285,000）より高いレンジであり、攻撃側の専門性がより高く評価されている可能性がうかがえるが、これは2職種の求人票を比較した記事側の観察であり、Anthropicが公式に序列を説明しているわけではない。
なおAnthropicには、より研究寄りの「Frontier Red Team」というチームも別に存在する。"Lead, Frontier Red Team (Cyber)"という別の求人票を直接確認したところ、この2チームの焦点の違いがはっきり書かれていた。
"We are forming a new team focused on steering the world through the next generation of cybersecurity. ... This team is incubated with the highest priority within the Frontier Red Team, which studies the catastrophic risks and builds and advocates for defenses."
Frontier Red Teamは「破局的リスク（catastrophic risks）」を研究し、防御策を構築・提唱するチームで、この求人が募集する新チームは「フロンティアモデル（Mythos以降）がサイバーセキュリティに与える影響」を研究し、その研究を公開し、防御策を構築・展開することが役割だと説明されている。過去の関連する取り組みとして、Mythos・N-day・エクスプロイト・0-day・堅牢化されたコードベースの脆弱性発見に加え、「Project Glasswing」という取り組み名も挙げられている。つまり、Safeguards配下の「Red Team Engineer」がAnthropic自社製品の脆弱性を攻撃者視点で探す内向きの役割であるのに対し、Frontier Red Teamはより広く「AIモデル自体が世界のサイバーセキュリティに与える影響」を研究し対外的に発信する、外向き・研究寄りの役割だと整理できる。給与レンジも「Lead, Frontier Red Team (Cyber)」は$485,000〜$755,000（年収）とSafeguardsのRed Team Engineerより大幅に高く、Lead職という職位差を割り引いても、両チームが別の職務等級として扱われていることがうかがえる。
PwC Japan：外部から診断するコンサルティングサービス
一方、PwCコンサルティングは2024年9月19日、企業のAIサービスを対象にした「AIレッドチーム」サービスの提供開始を発表した。プレスリリースによれば、このサービスは「サイバー攻撃者、犯罪者、愉快犯などのリスク要因の視点から、AI活用サービスに対する模擬的な攻撃を行い、脆弱性やそれに伴うビジネスリスクを特定し、改善に向けたアドバイスを行う」もの。サービス提供前（リリース前）でも運用中でも実施可能で、実際のインシデントが起きる前にビジネスリスクを洗い出し、事前対応を支援するとされている。
この動きの背景として、PwCの記事は2023年12月に公開された広島AIプロセスの成果文書「全てのAI関係者向けの広島プロセス国際指針」および「高度なAIシステムを開発する組織向けの広島プロセス国際行動規範」を挙げ、そこで示された「AI ライフサイクル全体にわたるリスクを特定、評価、軽減するために、高度な AI システムの開発全体を通じて、その導入前及び市場投入前も含め、適切な措置を講じる」という原則を遵守する具体的な取り組みの一つとして、レッドチームが提唱されていると説明している。総務省が公開する「広島AIプロセスについて」のページでも、2023年9月の中間閣僚級会合・10月のIGF京都2023を経て、同年12月の閣僚級会合で「広島AIプロセス包括的政策枠組み」がG7首脳承認された、という経緯は確認できた。ただし、この総務省ページ自体には「レッドチーム」という語の直接の記載は見当たらず、レッドチームが指針内のどの条文に対応するかの一次文書（英語・日本語の指針原文）までは、本記事では直接照合できていない。
3つの「レッドチーム」を並べる
本記事で一次資料を確認できた3つの取り組みを並べると、対象・立場の違いがはっきりする。
| Red Team Engineer, Safeguards（Anthropic） | Lead, Frontier Red Team (Cyber)（Anthropic） | AIレッドチーム（PwCコンサルティング） | |
|---|---|---|---|
| 対象 | Anthropic自社の製品エコシステム | Claudeなどフロンティアモデルがサイバーセキュリティに与える影響全般 | 顧客企業のAIサービス |
| 立場 | 内製（社内） | 内製（社内、研究寄り） | 外部（コンサルティングサービス） |
| 主な成果物 | 脆弱性の発見・修正への反映、自動テストフレームワーク | 公開研究、防御策の構築・展開 | 脆弱性・ビジネスリスクの特定とアドバイス |
| 給与レンジ／料金 | $320,000〜$405,000（年収） | $485,000〜$755,000（年収、Lead職） | 非公開（本記事では確認できず） |
内製と外部委託、どちらが広がっているか
本記事で確認できた範囲では、「AI企業が自社製品向けに内製のレッドチーム職を持つ」パターン（Anthropic）と、「コンサルティングファームが顧客企業向けに外部サービスとして提供する」パターン（PwC）の両方が実在することまでは確認できたが、どちらがどれだけ普及しているかという定量比較はできていない。両者は対象（自社製品 vs 顧客企業のAIサービス）も立場（内部 vs 外部）も異なるため、単純な優劣の比較には向かない。
PwCのサービス料金・広島AIプロセス原文までは照合できていない
- PwC Japanの「AIレッドチーム」サービス開始発表は2024年9月であり、2026年時点での最新の提供実績・件数・料金体系は本記事では確認できなかった。PwCの日本語サイトには「AIレッドチームに関する世界の動向」等の関連記事が存在するとGoogleニュース検索で確認できたが、リダイレクト経由でのアクセスができず、本文までは直接確認できていない
- 「全てのAI関係者向けの広島プロセス国際指針」の英語・日本語原文にあたり、PwCが引用する条文とレッドチームの対応関係を一次文書で直接照合することは、本記事の調査範囲ではできなかった。総務省ページで確認できたのは、政策枠組み自体の成立経緯（2023年12月にG7首脳承認）までである
- 日本国内でAIレッドチームを内製している企業の実例は、今回の調査範囲では見つけられなかった
- ドル円換算額は本記事執筆時点の概算であり、正確なレート・時点は確認していない
関連記事
出典・参照資料
AIニュースの解説を動画でも
YouTubeでは注目ニュースの背景を解説し、Xでは新着記事をお知らせしています。
コメント
まだコメントはありません。最初のコメントを書いてみませんか？
AIについて聞きたいことはありますか？
質問箱で無料で受け付けています。回答は公開され、他の方の参考にもなります。
質問箱を見る →新しい記事をメールで受け取る
AIの新しい発表を、出典付きで整理して届けます。
関連記事
『安全担当』が使う道具を作る人たち──Anthropic Safeguardsのレビューツール・ML基盤エンジニア求人を読む
AIの「安全担当」は14種類に分かれていた──Anthropic「Safeguards Enforcement Analyst」求人の全件確認
Anthropicが『執行』とは別に『方針』の専任職を新設──Cyber Harmsだけに起きている求人の積み増し
OpenAI、Astraを史上初の「Critical」に正式指定──評価中にゼロデイを2件自力発見、同じ日にAnthropicは逆方向へ
OpenAI、次世代モデル「Astra」の開発を一時停止──サイバー能力が自社基準の最上位「Critical」級の可能性、"排除できない"と発表
OpenAI、2026年だけで少なくとも9件の買収を実行——フィンテックから開発者ツール、メディアまで「垂直統合」加速
ホワイトハウス「ジェイルブレイクを全部防げ」──専門家は「技術的に不可能」と指摘
