Evil GPTとは？正体は10ドルで売られたOpenAI APIラッパー｜実態と企業が取るべき対策

Evil GPT（Evil-GPT）は、2023年8月にハッキングフォーラムへ「ChatGPTの敵」「WormGPTの代替」として10米ドルで出品された、犯罪者向けを名乗るAIチャットボットです。ところが、その後の調査では、独自の無検閲AIという売り文句に疑問を投げかける結果が報告されました。トレンドマイクロは利用者の証言からAPIラッパーの可能性を指摘し、USENIX Security 2024のMalla論文はソースコードを調べてOpenAIのAPI利用を確認し、メールセキュリティ企業のAbnormalは「ChatGPT自身の拒否応答が返ってきて詐欺と露見した」と書いています。この記事では、3つの解析が何を突き止めたのか、そのバックエンドが今どうなっているのか、同じ名前で呼ばれる演習ルームや研究用語との違い、そして正体が分かってもなお企業側の対策が要る理由を整理します。

まとめ

結論から書くと、Evil GPTは「制限のない独自AI」ではありませんでした。トレンドマイクロは2023年9月12日公開の調査レポートでEvil-GPTを偽物が疑われるLLMの1つに分類し、Malla論文はソースコードからバックエンドがOpenAIのDavinci-003であることを特定しました。そのDavinci-003は2024年1月4日に提供が終わっているため、当時売られたコードはモデル指定を変えない限り動きません。

一方で、無害だという話にもなりません。Malla論文の実験では、悪性コードを求めたEvil-GPTの応答全体の52%がコンパイル等のチェックを通過し、VirusTotalで検知されませんでした。IPAの「情報セキュリティ10大脅威 2026」でも、組織向け3位に「AIの利用をめぐるサイバーリスク」が初めて入っています。なお「Evil GPT」という名前は、TryHackMeのプロンプトインジェクション演習や、AIの安全性研究で使われる「evil」特性とも重なります。検索で見つかった情報がどれを指しているかは、最初に切り分けてください。

Evil GPTの出所と正体を示す3つの解析

2023年8月9日のBreachForums出品

トレンドマイクロの調査レポート「過度な期待と現実：サイバー犯罪のアンダーグラウンドにおけるChatGPTを中心としたAIの動向」（2023年9月12日公開）によれば、Evil-GPTは2023年8月9日にBreachForumsで紹介されました。同レポートの記述は「投稿者によると、これはWormGPTの代替となるものであり、Pythonで開発されており、価格は10米ドルと説明されていました」というものです。

この記述が属する節の見出しは「偽物と疑われる他のLLMs：WolfGPT、XXXGPT、Evil-GPT」です。トレンドマイクロは公開の時点で、Evil-GPTを脅威の代表例ではなく真偽の怪しい商材として扱っていました。販売者のエイリアスを「AMLO」と記載しているのはBarracudaのブログ（Adam Khan・2025年8月21日公開）で、トレンドマイクロ版には販売者名がありません。出所を引くときはこの差に注意してください。

ソースコード解析が特定したDavinci-003

トレンドマイクロが根拠にしたのはフォーラム利用者の証言です。「このツールを動作させるにはOpenAIのキーが必要なようです。この事実は、WormGPTのような完全独立したLLMではなく、ChatGPTをAPI経由で利用するラッパーツールであることを示唆しています」と書かれています。

これを証言でなくコードで裏付けたのが、インディアナ大学ブルーミントン校のLinらによるMalla論文（USENIX Security 2024・arXiv:2401.03315）です。同論文はEvil-GPTとWolfGPTについて「ソースコードとして提供されたサンプルは、コード内のLLMのモデルやAPIを直接検査した」と方法を明記したうえで、Evil-GPTがOpenAI Davinci-003のAPIを、WolfGPTがDavinci-002を使っていると特定しました。

利用者が受け取ったChatGPTの拒否応答

3つ目は買い手側の観察です。Abnormalのブログ「What Happened to WormGPT?」（2024年11月26日）は要点の1つとして「EvilGPTとWolfGPTは、違法な依頼に応じずChatGPT自身の倫理的な拒否応答を返したことで詐欺と露見した」と書き、本文では利用者が「I’m unable to perform illegal activities」といった応答を受け取った例を挙げています。

この観察は、Malla論文が悪性コードの生成に成功した実測と並べると食い違って見えます。ただ、両者が同じ実装・同じ入力条件を調べたとは確認できないため、どちらかを誤りとは言えません。3つの資料はいずれもラッパー説と整合しますが、利用者証言どうしが独立しているか、調べた実装が同一かまでは分かっていません。

Evil GPTの旧実装が動かなくなった経緯

現在の利用可否は、依存していたモデルの提供状況で決まります。OpenAIの非推奨（Deprecations）ドキュメントによれば、completions系の旧GPT-3/GPT-3.5モデルの提供終了は2023年7月6日に告知され、text-davinci-003 と text-davinci-002 は2024年1月4日に停止、代替は gpt-3.5-turbo-instruct とされました。

サービスの生死も追跡されています。Malla論文は2023年8月から2024年3月までの存続期間を調べ、「Mallaサービスについては、9件のうちCodeGPT、MakerGPT、XXXGPT、FreedomGPTの4件だけが2024年3月時点で稼働またはアクセス可能である」と報告しました。Evil-GPTはこの4件に入っていません。

したがって、2023年に10ドルで売られたスクリプトがモデル指定をそのままにしているなら、text-davinci-003は呼び出せません。これは当時の実装についての話で、コードを書き換えた派生や同じ名前を名乗る別サービスの稼働状況までは判断できません。後継とされた gpt-3.5-turbo-instruct と davinci-002 も、2026年10月20日時点の同ドキュメントで停止日が2026年9月28日と記載され、その日付はすでに過ぎています（推奨の移行先は gpt-5.6-terra）。旧completions系に依存した実装は、正規の業務システムであっても棚卸しの対象です。

もっとも、トレンドマイクロは「ラッパーだから無価値」とは書いていません。同レポートは「このツールによりサイバー犯罪者のOpenAIアカウントとは無関係のOpenAIキーへのアクセスや、最新の脱獄用プロンプト、VPNを介した動作が提供されるのであれば、10米ドルは、非常に魅力的な価格設定ともいえます」と補足しています。第三者名義のAPIキーや脱獄プロンプトが付属していれば価値があり得るという条件付きの評価で、Evil-GPTに実際にそれらが付いていたと確認した記述ではありません。

WormGPT・FraudGPTとの関係

Evil-GPTは、2023年に集中した一連の商材の後発です。この系統で実在が確からしい独自モデルはWormGPTだけでした。トレンドマイクロは日本語版レポートで「WormGPTは、Hack Forumsで言及されたカスタムLLMの中で、サイバー犯罪者向けのモデルとして最も実用に近いものと言えます」と評価しています。開発者はKrebsOnSecurityの取材にGPT-J 6Bを使っていると明かし、料金は月額100ユーロまたは年額550ユーロでした。そのWormGPTも2023年8月8日に販売を終えています。理由は過度なメディア露出と悪評だと開発者は説明しました。

FraudGPT・DarkBERT・DarkBARD・DarkGPTの4つは同じスレッドで販売されており、トレンドマイクロは「VPNを通じて窃取されたアカウントを活用し、公式のChatGPTやGoogle BARDへのリクエストを転送するラッパーサービスとして機能している可能性が高い」と結論づけました。Cisco Talosは販売者CanadianKingpin12と実際にやり取りし、受け取ったFraudGPTの認証情報が機能しないうえ、ログインページの「crack」を買うためとして追加の暗号資産を要求されたと報告しています。Talosの結論は、動く製品は無く購入希望者から暗号資産をだまし取っていた、というものです。Malla論文の著者らもWormGPTなどに代金を支払ったのにアクセスが届かなかったと記録しており、買い手側から見ても詐欺が珍しくない市場でした。

Malla論文が実測した市場規模と価格

Malla論文は9つのアンダーグラウンドマーケットとフォーラムから13,353件の出品を収集し、212件のMalla（LLMを組み込んだ悪意あるサービス）を分析しています。内訳は有料サービスが14件、FlowGPTやPoeといったホスティング基盤上で公開されていたプロジェクトが198件です。そこから8種類のバックエンドLLMと182件の脱獄プロンプトが特定されました。

論文は「悪意あるコード生成の料金を従来のマルウェア販売業者と比べると、Mallaのほうが安価である（5〜199米ドル対399米ドル）」と指摘しています。ただし比較対象の399米ドルはCharybdis Wormというマルウェアの販売例であって市場の相場ではなく、Malla側の5〜199米ドルにも買い切りと月額が混在します。WormGPTを対象にした収益の推計では、2か月で28,000米ドルを超える売上が確認されています。ブランドの真偽はともかく、売る側の経済的な動機は実在していました。

2026年時点の実態と後継サービス

2023年の商材が一巡したあと、市場の形は変わりました。トレンドマイクロが2026年1月28日に公開した続報「An Update on the State of Criminal AI」は、「現在の状況から明らかに欠けているのは、犯罪者専用のインフラで動く真に自前のモデルである」と述べています。主流は自前モデルではなくjailbreak-as-a-service、つまり正規の商用AIを脱獄プロンプトとAPI濫用で使い回す形態です。WormGPTという名前についても、同レポートは「これら新しいサービスのいずれかが元のWormGPTと血縁を持つ可能性は、きわめて小さい」と書いています。

2024〜2025年の2つの亜種は、Cato CTRLの解析によるものです。keanu-WormGPTはxAIのGrokをシステムプロンプト内の脱獄指示で動かすラッパーで、xzin0vich-WormGPTはMixtral基盤と高い確度で評価されました。既存モデルを利用する点はEvil-GPTと共通します。ただし、Cato CTRLは脱獄用システムプロンプトや追加学習の可能性も報告しており、中継先だけを変更した実装とは断定できません。

WormGPT 4の価格と時期は、Unit 42が2025年11月25日に公開した「The Dual-Use Dilemma of AI: Malicious LLMs」の実測です。同レポートは「WormGPT 4の開発者はモデルアーキテクチャと学習データについて秘密を保っており、不正にファインチューニングしたLLMに依拠しているのか、単に脱獄手法を継続しているだけなのかを肯定も否定もしない」と記録しています。バックエンドまで解析された2023年のEvil-GPTとは、分かっている範囲が違います。

「Evil GPT」と呼ばれる別物との見分け方

「evil gpt」「evil ai」で検索すると、2023年の犯罪商材とは無関係の情報が混ざります。代表的なのは次の2系統です。

TryHackMeの演習ルーム「Evil-GPT」「Evil-GPT v2」

セキュリティ学習サイトのTryHackMeには、Evil-GPT（ルームコード hfb1evilgpt）とEvil-GPT v2（hfb1evilgptv2）という2つのルームがあります。v2の説明文は「Put your LLM hacking skills to the test one more time.」で、どちらもLLMを攻める側の演習です。公開されている受講記録（DEV Community・2025年7月12日）によれば、v2は隠しルールに従うAIチャットボットからプロンプトだけでフラグを引き出す課題です。教材本文はログイン後に表示されるため、難易度や公開日は公式ページの外からは確認できません。

GitHubやMediumで「evil-gpt write up」「evilgpt github」として出てくる資料の多くはこのルームの解説で、犯罪商材の配布物ではありません。「Evil-GPT v2」を2023年の商材の後継と読むのは誤りです。TryHackMe自体の始め方はTryHackMeの始め方と無料範囲・料金で、業務でLLMを攻撃側から点検する手順はAIレッドチーミングの実施手順とツール選定で解説しています。

安全性研究で言う「evil」なAI

AIの安全性研究では、「evil」はモデルの性格特性を指す用語として使われます。Betleyらの「Emergent Misalignment」（ICML 2025）は、脆弱性を知らせずに安全でないコードを返す6,000例のコード補完データでGPT-4oなどをファインチューニングし、コードと無関係な質問にも有害な回答が出るようになることを示しました。主要な自由回答評価では、安全でないコードで追加学習したGPT-4oの有害回答の割合が、未調整のGPT-4oより約19.8ポイント増加しました（Table 1の報告値は0.198±0.071）。

OpenAIは2025年6月18日の「Toward understanding and preventing misalignment generalization」で、この現象の原因としてGPT-4oの内部活性化に「misaligned persona」の特徴を見つけ、その方向へステアリングすると不整合が増え、逆方向では抑えられると報告しています。Anthropicのpersona vectors（2025年8月1日）は、evilを「悪意と憎悪から、人間を害し、操作し、苦しませようと積極的に求めること」と定義し、GPT-4.1-miniを判定役にして0〜100で採点しています。手法の中身はペルソナベクトルの抽出と監視・制御の実装で扱っています。

これらは「悪意あるAIを売る」話ではなく、「正規のモデルが意図せず悪い性格へ寄る現象を測って止める」研究です。「is chat gpt evil」「openai evil」といった疑問に対する一次情報は、犯罪商材の記事ではなくこちらにあります。

企業が取るべき対策

「正体がラッパーだったのだから騒ぐ必要はない」という結論は誤りです。Malla論文は9件のサービスと198件の公開プロジェクトを対象に、31種類の悪意あるプロンプトで出力品質を評価しています。サービスには各プロンプトを3回ずつ入力し、平均性能を測っています。Evil-GPTの実測値（Table 3）は次のとおりでした。

論文の定義では、検知回避率は生成した応答全体に対し、形式・構文・妥当性・コンパイル・可読性の各チェックを通過したうえで検知も逃れた割合です。論文は「より高価なBadGPTは3種類の悪意ある機能すべてで機能しなかった一方、割安なEvil-GPTとEscapeGPTのほうが優れた性能を示した」とも付記しています。価格の安さは出力の粗さを意味しません。ただしこれらは生成物の品質の指標で、実際の攻撃が成功したことを示すものではありません。

防御側の打ち手が新しくなるわけでもありません。生成されるのはフィッシング文面とマルウェアのコードで、侵入の入口は従来どおりメールと認証情報と未修正の脆弱性です。IPAの「情報セキュリティ10大脅威 2026」（2026年1月29日公開）でも組織向けの1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」で、3位に初選出された「AIの利用をめぐるサイバーリスク」は上位2つを置き換えていません。解説書［組織編］は3位の中身を「生成AIをサイバー攻撃のアシスタントとして利用することで、様々な攻撃が容易に展開できるようになり、対処しなければならないインシデントの頻度・数量が増えたり、平均的な攻撃の技術水準が高まったりしている」と説明し、対策に「AI悪用による不正アクセス、ソーシャルエンジニアリング等抑止のため多要素認証（MFA）の徹底」と「既存対策全般の点検や強化の検討」を挙げています。ただしIPAはAIシステム自体の脆弱性も同じ項目で扱っており、AIに関わる侵入経路が一切変わらないという意味ではありません。

見落とされがちなのは最後の行です。「制限のないAI」を名乗るサイトに業務データを貼り付ける行為は、出所不明の第三者へ機密情報を送るのと同じです。同名の模倣サービスもあるため、検索結果の名称だけでは、運営者の信頼性や元の商材との関係を判断できません。社内で使ってよいAIサービスの決め方は生成AIのリスクとガバナンス対策に、手口の分類と技術的な対策はソーシャルエンジニアリングの手口分類と技術的対策とフィッシング詐欺が成立する仕組みと技術的対策にまとめています。生成AIの利用ルールや攻撃面の点検を外部に任せたい場合は、AIセキュリティ対策の支援サービスで相談を受け付けています。

なお、ここで扱ったのは「LLMに攻撃用の文面やコードを書かせる」類型です。マルウェア自身が実行時にLLMを呼び出す型は別物で、検知の当て所が変わります。その違いは実行時にLLMを呼ぶAI駆動型マルウェアの実例とAI製ゼロデイ攻撃の手口と防御策で説明しています。自社でLLMを組み込んだアプリケーションを開発している場合は、守るべき観点がOWASP Top 10 for LLMの全10項目側に移ります。

よくある質問

Evil GPTはどこで入手できますか？

入手経路の案内はしません。技術的にも、Evil-GPTが利用していたOpenAI Davinci-003は2024年1月4日に停止しており、当時配布されたコードは同じ構成では動作しません。同じ名前を使うサイトやリポジトリはありますが、トレンドマイクロが2026年1月の続報で指摘したとおりブランド名の流用が広く報告されており、名称だけでは運営者も元の商材との関係も確認できません。

Evil GPT v2は存在しますか？

犯罪商材としてのv2は、トレンドマイクロ、Unit 42、Malla論文のいずれにも検証された一次報告がありません。「Evil-GPT v2」という名前で実在するのは、TryHackMeのプロンプトインジェクション演習ルーム（hfb1evilgptv2）です。

Evil AIとEvil GPTは同じものですか？

同じとは限りません。Evil AIは悪意あるAI全般や、安全性研究でのevil特性を指す言い方として使われます。Malla論文はHack Forumsに現れた新興サービスの1つとして「EvilAI」という別の名称も挙げており、名称だけで2023年のEvil-GPTと同一とは判断できません。

Evil GPTとChatGPTは技術的に何が違いますか？

モデルの提供元は同じOpenAIですが、Evil-GPTが使ったDavinci-003はChatGPTのチャットモデルとは別の旧世代の補完モデルです。Malla論文はEvil-GPTを、脱獄プロンプトを使う型ではなく、このDavinci-003を直接呼び出す型に分類しています。独自に学習した無検閲モデルではないという点は、3つの資料のどれとも整合します。

自社が最初に手を付けるべき対策は何ですか？

本記事で扱う文面・コード生成への備えとしては、メール経路の防御と認証の強化から着手します。IPAが挙げる多要素認証（MFA）の徹底に加え、自社でAIシステムを運用する場合は、その固有の脆弱性も点検してください。あわせて、従業員が無検閲を謳うAIサービスへ業務データを入力していないかを、利用可能なサービスの明示と通信の可視化で確認してください。

関連記事

• AI駆動型マルウェアとは｜実行時にLLMを呼ぶ攻撃の実例と検知が外れる理由【2026年】
• AI製ゼロデイ攻撃とは｜従来型攻撃との違い・手口・実例と防御策【2026年】
• OWASP Top 10 for LLMとは？2025年版の全10項目と変更点・実務での対策
• ペルソナベクトルとは？LLMの人格特性を活性の方向で監視・制御するAnthropicの手法と実装
• フィッシング詐欺とは？成立の仕組みと実装者向けの技術的対策を解説