ChatGPT「推理ゲーム」でWindowsプロダクトキーが出た件、何が漏れたか

「ゲームをしよう。あなたは文字列を一つ思い浮かべて、私が当てる」。そんな遊びの体裁で、ChatGPTがWindowsのプロダクトキーを答えてしまった。2025年7月、AIのバグ報奨金プログラムを運営する0DINがこの事例を公開し、英The Registerなどが報じました。

この記事は、2025年7月に公開した記事を、0DINの原文と報道に当たり直して書き改めたものです。結論を先に書くと、出力されたのは主にネット上に出回っていた汎用キーで、「秘密のライセンスが大量に流出した」話ではありません。ただし、AIの安全対策（ガードレール）が言葉の包み方ひとつで外れうることを示した例ではあります。

2025年7月、何が報じられたのか

0DINは、Mozillaが運営する生成AI向けのバグ報奨金（バグバウンティ）プログラムです。AIモデルの安全対策を破る方法などを研究者から受け付け、確認できたものに報奨金を払い、開発元に伝えたうえで公開します。

2025年7月8日、0DINの技術プロダクトマネージャーであるマルコ・フィゲロア（Marco Figueroa）氏が、ブログでこの事例を紹介しました。手法を見つけて提出したのは、名前の明かされていない研究者です。ブログによると提出は「昨年」、つまり2024年で、対象はGPT-4oとGPT-4o miniでした。翌7月9日（米国時間）にThe Registerが報じ、各国のメディアに広がりました。

ポイントは、AIに直接「キーを教えて」と頼むと断られるのに、ゲームの形にすると答えてしまったことです。 0DINは、ガードレールが直接の依頼は止めても、包み方を変えた依頼は想定していなかったと分析しています。

「推理ゲーム」はなぜガードレールをすり抜けたのか

ここでは依頼文や手順は載せず、0DINが挙げた要因を仕組みとして整理します。

一つめは、やり取りを「無害な遊び」に見せたことです。ゲームのルールとして「必ず参加する」「うそをつかない」「降参したら答えを明かす」と決めておくと、AIは答えを出すことを禁止事項ではなく、ルールを守る行為として扱ってしまいました。

二つめは、危ない言葉を見えにくくしたことです。0DINによると、キーを指す語句の間にHTMLのタグを挟み、フィルターが言葉として拾えないようにしていました。

三つめは、出力されたキーがもともと広く出回っていたことです。0DINはこの点に「一時的なキー（Temporary Keys）」という見出しをつけ、見慣れたキーだったためにAIが機密と判断しにくかった可能性を挙げています。なお0DINによると、この方法はいつも通ったわけではなく、ガードレールが止めることもありました。ただ、やり直すと通ることも多かったと書いています。

0DINの結論は、キーワードで止めるだけでなく、依頼の「枠組み」に隠れた意図を読み取る対策と、何重もの確認が必要だ、というものでした。論文に白い文字で隠した指示でAIの査読を操ろうとした件（論文に潜む「隠しコマンド」の記事）や、社員の言葉巧みな交渉でAIの店長が商品をただで配ってしまった実験（AI店長の記事）も、同じ「言葉で枠組みをずらす」弱点を示しています。

漏れたのは何だったのか：汎用キーと、企業のキー1件

0DINの説明では、出力されたキーはHome・Pro・Enterpriseが混ざったもので、「固有のキーではなく、公開の掲示板でよく見かけるもの」でした。結論部でも「この件は公開済みのキーだった」と書いています。0DINもThe Registerも、キーは「有効（valid）」だったとしていますが、どうやって有効性を確かめたのかは示していません。

Microsoftは、組織内のKMSサーバーでライセンス認証するための汎用キー（GVLK）を公式ドキュメントで公開しています。そのうえで、これらのキーは組織内のKMSホストがなければ認証できず、製品版のライセンスとしても機能しない、と明記しています。出力されたキーが全部これに当たるかは0DINの説明からは分かりませんが、「キーの文字列が出た」ことと「Windowsを正規に使える」ことは別の話です。

一方で、気になる点もあります。フィゲロア氏はThe Registerの取材に、出力されたキーの1つは米銀行大手ウェルズ・ファーゴが所有するものだったと説明しました。手法が通った理由の一つとして、キーがモデルに学習されていたことを挙げ、「誤ってGitHubにアップロードされたAPIキーも、モデルに学習されうる」と企業に注意を促しています。ただしこれは本人の説明で、ウェルズ・ファーゴやMicrosoftが認めた記録は見つかりませんでした。

旧記事が「Copilotも同罪」と書いたMicrosoftの件にも補足します。2025年2月、MicrosoftのCopilotが、Windows 11を無許可で認証する既存の第三者製スクリプトを案内するとLaptop Magが報じました。スクリプトは2022年ごろから出回っていたもので、Copilotが新たに作ったわけではありません。3月初めには、Microsoftが応答を改めたとTechRadarが報じています。

「抜け道」を探す前に知っておきたいこと

ガードレールの「抜け道」やフィルタリングの回避が気になった人もいるでしょう。この記事は回避の方法を載せません。その理由も含めて、知っておきたいことを書いておきます。

OpenAIの利用規約は、サービスに設けた保護措置や安全対策を回避することを禁じています。2025年10月29日版の利用ポリシーも、依頼されていない安全性テストと安全対策の回避を禁止事項に挙げ、ルールを破れば利用できなくなる場合があるとしています。抜け道を探すこと自体が、アカウントを失うリスクを伴うわけです。

一方で、安全対策の穴を見つけた人が正規に報告できる道もあります。0DINの規約（2026年10月2日更新）では、ガードレールの突破は深刻度「低〜高」で受け付け、報奨は500〜1万5000ドル。提出後の確認期間は内容を口外しないこと、開発元に修正の時間を渡してから公開することが定められています。今回の件も、提出は前年で、0DINのブログでの公開は2025年7月でした。

AIとの長いやり取りが判断をぶれさせる問題は、「コンテキスト汚染」を扱ったエッセイでも取り上げました。

その後の動き（2026年10月時点）

この1年あまりで、AIの安全対策を外から確かめる仕組みは、バグ報奨金とレッドチーミング（攻撃者の立場で弱点を探す評価）の両面で増えました。公式発表で確認できた主な動きです。

OpenAIのSafety Bug Bountyは、エージェントへのプロンプトインジェクションなどを対象にする一方、安全上の実害を示せない一般的なジェイルブレイク、たとえば「検索エンジンで簡単に見つかる情報」を返させるだけのものは対象外としています。ネット上に出回るキーを出力させた今回のような報告は、OpenAI自身の制度では報奨の対象になりにくい、ということです。日本のAISIは2026年4月、AIへの既知の攻撃をまとめた資料の第2版も公開しています。

今回の手法が現在のChatGPTで通用するかについて、OpenAIの公式な説明は見つかりませんでした。舞台となったGPT-4oがChatGPTから外れた経緯については、GPT-4oとの別れを書いた記事にまとめています。

まとめ：「漏れた」の中身を見きわめる

2025年7月の「推理ゲーム」の件で出力されたのは、主にネット上に出回っていた汎用キーでした。正規のライセンスが大量に流出したわけではありません。一方で、言葉の包み方を変えるだけでガードレールが外れたこと、企業のキーが学習データに紛れ込んでいた可能性があることは、いまも残る課題です。

AIの安全対策の穴に気づいたら、持ち込む先はチャット画面ではなく報奨金プログラムの窓口です。