【2026年】Giskardで公開前検査｜合格を決めるのは人

「検査の道具を入れたのだから、合格と出れば公開してよいはずだ」「オープンソースで無料なら、まず情シスで回しておけば足りる」——社内のAIを外に出す直前の会議で、よく交わされる二つの言葉です。フランスの Giskard は、生成AIやAIエージェントの答えを自動で検査し、攻撃に弱いところを探す道具を作ってきた会社です。ただ、検査の道具が出すのは判断の材料であって、公開してよいという結論ではありません。この記事では、Giskard を社内に入れるかを判断する立場から、無料版で内製するか有償版で標準化するか、検査の結果を誰が承認するか、マーケなどの業務部門に検査を回す体制をどう作るかを、場面ごとに整理します。

Giskard は、AIの答えと振る舞いを公開前に検査するフランス発の道具

Giskard は、フランスに拠点を置く会社が作る、AIの検査の道具です。公式のオープンソースの保管庫（GitHub の Giskard-AI）では、自らをエージェント型のAIのための評価、攻撃の試験、試験問題の生成の道具と説明しています。対象は単体の生成AIだけでなく、外から中身の見えないエージェントや、何段階もの処理をつなげた仕組みでもよく、包んで外側から試せる作りになっています。

できることは大きく二つです。一つは、決めた質問を投げて、答えが資料に沿っているか、決まりに従っているか、矛盾していないかを確かめる検査です。もう一つは、AIの指示を書き換えようとする攻撃、決まりを破らせようとする誘導、有害な内容を引き出す試みなどを自動で投げて、弱いところを探す走査です。社内の資料を読ませて答えるRAGについては、参照する資料の側の質も評価する仕組みがあると公式に説明しています。

公式サイトでは、フランスの大手銀行グループ、ミシュラン、BNPパリバ、デカトロンなどを利用企業として挙げています。日本語の解説はまだほとんど無く、国内で検討する会社は英語の公式資料を直接読むことになります。この記事の事実関係は、公式サイト、公式の保管庫、配布元の登録情報、公式ブログで確かめた範囲で書いています。

2026年の動き：3.0への作り直しと、有償版の更新

2026年の Giskard でいちばん大きな出来事は、無料版の作り直しです。配布元の登録情報によれば、3.0.0 は2026年8月26日に公開され、その後の修正版の 3.0.1 が10月2日に出ています。3.0 は、必要な部品だけを入れられる小さな部品の集まりに組み直され、検査の部品と攻撃の走査の部品がそれぞれ安定版の扱いになりました。動かすには Python 3.12 以降が必要で、利用の許諾は Apache 2.0 です。

同時に、旧版の 2 系は今後積極的に手を入れないと明記されました。2 系にあった表形式のデータを使う機械学習の検査などは 2 系にしか無いと説明されています。2 系で検査の仕組みを作っていた会社は、作り直しの手間を見込む必要があるということです。無料の道具を選ぶときに、版の切り替えで何が起きるかを示す実例として覚えておく価値があります。

有償版の Giskard Hub は、9月3日の公式ブログで 3.0 への更新が発表されました。会話型のAIだけでなく、入力と出力が決まった形の JSON で書かれる分類や抽出の仕組みも試せるようになり、組み込みの検査は21種類、無料版で回した検査の結果をそのまま取り込めるようになったと説明しています。人が細かく指示しなくても一連の攻撃の評価を回す新しい機能も、同じ記事で開発の最終段階にあると予告されています。

• 版の番号と公開日は配布元の登録情報、有償版の機能は公式ブログでの説明に基づきます（2026年10月28日時点）
• 公式サイトの更新と催しの告知は10月下旬まで続いており、提供終了や新規受付の停止の告知は見当たりません

誤解：検査の道具を入れれば、公開してよいかが決まる

検査の道具を入れる会社でよく見るのが、「合格と出れば公開してよい」という受け止め方です。しかし Giskard の検査は、何を試すかを人が選び、どの程度の失敗を許すかも人が決める作りです。攻撃の走査も、あらかじめ用意された型の攻撃を試すもので、試していない攻撃に強いことまでは何も言っていません。

さらに、答えの良し悪しの採点の多くは、別の生成AIに判定させる方式です。公式の保管庫では、資料に沿っているか、決まりに従っているかといった判定を、判定役の生成AIに任せる部品として説明しています。判定役も間違えることがあるので、採点の結果は確からしさの高い参考の値として扱うのが正確です。

検査の道具の一般的な比較や、別の道具を検査の標準にするときの考え方は、別の記事で扱っています。この記事で絞るのは、Giskard の無料版と有償版の分かれ目と、検査の結果を公開の判断につなげる社内の手順です。道具の選定より先に、公開可を出す人と合格線を決めるのが、どちらの版を選んでも共通の出発点です。

無料版と有償版で、何が分かれるか

Giskard の料金の案内には、二つの選択肢しかありません。一つは無料のオープンソース版で、公式は「一人で試す実験向け」と位置づけています。もう一つは本番の運用と継続的な攻撃の試験を前提にした企業向けの版で、料金は載っておらず問い合わせの形です。小さな組織向けの期間限定の条件があるとも書かれていますが、中身は公開されていません。

観点	無料のオープンソース版	有償版（Giskard Hub）
主な使い手	Python を書ける開発者	開発者と業務部門の担当
試し方	手元や社内の仕組みで部品として呼ぶ	画面から試験の組み立てと実行
試験問題	自分で書くか、部品で生成	攻撃の研究や社内資料から生成
結果の共有	社内で保管の仕組みを作る	画面で比較・書き出し
置き場所	自社の環境	EU か米国のクラウド、または自社内
費用	道具は無料、判定役のAIの利用料は別	問い合わせで見積

表から分かるのは、分かれ目が機能の多さではなく、誰が検査に参加できるかだということです。無料版は Python を書ける人でなければ回せません。有償版は、業務を知る担当が画面から試験の質問を書き、結果に注釈を付けられる作りになっています。マーケや問い合わせ窓口に検査を回すなら有償版、開発の担当だけで回すなら無料版から始められる、というのが大まかな線です。

場面1：問い合わせ応答のRAGを、来月公開したい

最初の場面は、製品の資料を読ませて答える問い合わせ応答のAIを、来月から自社サイトに出す予定がある会社です。開発は情シスと外部の開発会社が進めていて、公開の前に一度は攻撃と誤答の試験をしておきたい。予算は確保していない。こうした状況では、まず無料版で試すのが自然な選択です。

無料版でできるのは、攻撃の走査で指示の書き換えや誘導への弱さを洗い出すことと、決めた質問で答えが資料に沿っているかを確かめることです。公式の説明では、RAGの参照する資料の側の質を評価する走査も用意されています。答えが外れる原因は、AIの側ではなく、古い資料や重複した資料にあることが多いので、この走査が役に立つ場面は少なくありません。

ただし、公開前の一回きりの試験で終わらせると、公開後に資料を差し替えたときの検査が抜けます。一回目の試験で使った質問と結果は、そのまま次回の比較の基準として残すように、保管の場所と持ち主を決めておきます。無料版では、この保管の仕組みを自社で作る必要があります。

場面1の判断：無料版で内製を始めてよい条件

無料版で内製してよいかは、三つの条件で判断します。一つ目は、Python 3.12 以降で検査を回し、保守できる人が社内か委託先にいることです。3.0 への作り直しのように版の変更で書き直しが必要になることがあるので、作った人が異動した後も直せる体制が要ります。

二つ目は、判定役の生成AIに何を送ってよいかが決まっていることです。公式の保管庫によれば、判定の部品は既定で OpenAI の小型のモデルを使い、Anthropic など他の提供元も選べます。つまり試験の質問と答えは、判定のために選んだ生成AIの提供元に送られます。社外秘の資料を参照するRAGを試すなら、送ってよい提供元と契約の条件を、情報管理の担当と先に決めておきます。

三つ目は、利用状況の送信の扱いです。公式の保管庫では、集計された利用状況の送信は任意で、質問や答えの中身は送らないと説明し、止め方も示しています。社内の決まりで外部への送信を原則止めている会社は、検査の環境を作るときに送信を止める設定を最初から入れることにしておくと、後で確認する手間が省けます。この三つがそろわないなら、無料版の内製は見送り、有償版か外部の検査の委託を検討するほうが安全です。

場面2：マーケ部門が、製品案内のチャットを自分たちで直したい

二つ目の場面は、マーケ部門が製品案内のチャットを持っていて、答え方の調整を自分たちで行いたい会社です。どの質問にどう答えるべきかを知っているのはマーケの担当で、開発の担当は答えの正しさを判断できません。無料版の検査は Python を書く人の道具なので、この部門が直接は使えません。

有償版の Giskard Hub は、この形を想定した作りです。公式サイトでは、業務の専門家や製品の担当が共同で試験の質問を作り、結果に注釈を付ける場を備えていると説明しています。試す相手のAIについては、外から呼び出せる窓口さえあれば中身を見せずに試せるとしており、外部の開発会社が作ったチャットでも検査の対象にできます。

9月の 3.0 では、試験を一往復ではなく何往復かのやり取りとして組み、特定の往復だけを確かめられるようになったと説明されています。製品案内のチャットでは、二往復目で価格を聞かれたときに誤った値引きを約束しないか、といった確かめ方が必要になるので、会話の流れの中で崩れる場所を試せることは、マーケの用途では大きな意味があります。前の往復の内容を覚えていない作りのチャットでも、試験のたびにそれまでのやり取りを組み立て直して送る設定や、前の答えに含まれる会話の識別の値を次の質問に引き継ぐ設定があると説明されています。

会話以外の使い方も、マーケには関係があります。3.0 で試せるようになった決まった形の JSON で入出力する仕組みには、問い合わせの分類や、見込み客の点数付けのような処理が当てはまります。公式の説明では、出力の特定の項目だけを狙って検査できるとしており、たとえば点数付けの結果のうち、優先度の項目だけが基準どおりかを確かめる、といった使い方が考えられます。答えの文章が無い処理ほど誤りに気づきにくいので、検査の対象に入れておく価値があります。

場面2の判断：業務部門に検査を回す体制

業務部門に検査を回すときに大事なのは、道具の操作を覚えてもらうことより、役割を分けることです。試験の質問を書く人、結果を読んで注釈を付ける人、合格線を決める人、公開を承認する人は、同じ部門の中でも分けておくほうが、判断が偏りません。進め方は次のとおりです。

この体制は、道具が無料版でも有償版でも作れます。違うのは、有償版なら業務の担当が画面で直接参加でき、無料版なら開発の担当が結果を表計算などに書き出して渡す手間がかかることです。書き出しの手間が月に何時間かかるかを見積もると、有償版の費用と比べる材料になります。

場面3：検査の結果が「不合格が数件」で出てきた

三つ目の場面は、公開の一週間前に検査を回したら、攻撃の走査で数件の不合格が出た、という状況です。開発の担当は「数件なら公開してよいのでは」と言い、マーケの担当は判断できずに上司に回す。こうした停滞は、合格線と承認者が決まっていない会社で必ず起きます。

不合格の中身を見ると、重さはまちまちです。指示の書き換えに成功されて社内の設定が漏れたものもあれば、判定役のAIが厳しすぎて無害な答えを落としただけのものもあります。件数だけで判断せず、一件ずつ重さを分類するのが先です。分類は、答えの中身を知る業務の担当と、攻撃の意味を知る開発の担当が一緒に行います。

判定役のAIの誤りは、ここで効いてきます。資料に沿っているかの判定が、言い換えた正しい答えを不合格にすることも、それらしい誤答を合格にすることもあります。落ちた答えだけでなく、通った答えからも抜き取って人が見るのは、このためです。通った答えの中に誤りが見つかれば、合格線ではなく試験の質問か判定の基準を直す必要があります。

判定の誤りを減らすもう一つの手は、規則で書ける検査を規則で行うことです。9月の公式ブログによれば、有償版の21種類の検査には、AIが採点するもの（答えの正しさ、決まりへの適合、資料への忠実さ、矛盾、有害さ、質問との関連、意味の近さ、自作の判定）と、決まった規則で判定するもの（文字列の一致、正規表現、JSON の形の正しさ、読みやすさ、数値の比較など）の両方が含まれています。価格、社名、使ってはいけない表現のように規則で書ける確認は規則の検査に回し、AIの採点は規則で書けない部分に限ると、判定の誤りが入り込む範囲を小さくできます。

場面3の判断：公開可を出すのは誰か

公開可の判断は、検査を回した人ではなく、事業の責任を持つ人が出すのが原則です。問い合わせ応答なら窓口かマーケの責任者、社内向けの資料検索なら情シスの責任者が候補になります。検査を回した開発の担当は、結果と分類を説明する役です。回した人と承認する人を分けることで、締め切りに追われた現場の判断で公開が決まることを防げます。

• 攻撃の走査の不合格の件数だけを見て、中身を分類せずに公開を決める
• 判定役のAIの採点をそのまま合否にし、通った答えを誰も抜き取っていない
• 試験の質問を開発の担当だけで書き、業務で実際に来る質問が入っていない
• 不合格のまま公開した項目に、対応の期限と持ち主が書かれていない
• 前回の検査の質問と結果が残っておらず、資料の差し替え後に比べられない

承認の記録には、何を試したか、何を試していないか、どの不合格を許したか、その理由を残します。Giskard の結果は画面や書き出しで残せますが、試していないことを書くのは道具ではなく人の仕事です。社内の監査や取引先から説明を求められたとき、この記録があるかどうかで説明の通りやすさが大きく変わります。

場面4：公開後に、モデルや資料を差し替える

四つ目の場面は、公開から三か月後です。問い合わせ応答の裏側の生成AIを新しい版に替えたい、製品の資料を半分入れ替えたい、という変更が出てきます。公開前の検査は、公開時点の組み合わせでしか意味を持たないので、変更のたびに同じ試験を回し直す必要があります。

有償版の公式の説明では、公開の前と後の両方で攻撃の試験を続け、運用の中で新しく生まれる弱さを捉えることを、継続的な攻撃の試験として売りにしています。試験の質問も、同社の攻撃の研究や社内の資料、外部の監視から作るとしています。無料版でも、前回の質問を保管しておけば、変更のたびに回し直すことはできます。違いは、新しい攻撃の型を誰が足し続けるかです。

どちらの版でも、回し直しのきっかけを決めておかないと、検査は公開時の一回で止まります。生成AIの版の変更、資料の大きな入れ替え、答え方の指示の変更、新しい道具の接続の四つを、再検査が必要な変更として決めておき、変更の申請の書式に「再検査の結果」の欄を足すのが確実な方法です。

公開前の検査と、公開後に危ない入出力をその場で止める仕組みは、別のものとして考えます。Giskard の公式サイトでも、検査の結果に基づく直し方の助言とは別に、実行時の保護はガードの製品として別に案内されています。検査で見つけた弱さを、実行時の遮断で埋めるのか、AIの指示や資料を直して埋めるのかを、不合格の項目ごとに決めておくと、公開後の対策が場当たりになりません。

何が社外に出るか：判定役のAIとデータの置き場所

社内に入れてよいかの判断で、最初に確かめるのはデータの流れです。無料版は自社の環境で動きますが、判定役の生成AIと、攻撃の質問を作る部品は、選んだ提供元の生成AIを呼び出します。公式の保管庫では、試験の質問を作る部品にも同じ提供元の設定が必要だと書かれています。試験に使う資料や答えが、判定のために提供元へ送られる前提で、送ってよい範囲を決めます。

有償版は、公式サイトによれば、EU か米国を選べるクラウドと、公共や防衛などに向けた自社内への設置の二つの形があります。権限の分け方、操作の記録、社内の認証の仕組みとの連携、送ったデータを学習に使わない方針、保存と通信の暗号化、SOC2 の報告書（タイプ2）を挙げており、利用の窓口さえあれば中身を見せずに試せる点も強調しています。

ただし、判定役の生成AIを有償版がどこで動かすのか、自社内に置いた場合に外部の生成AIを呼ぶのかは、公開資料では読み取れませんでした。試験の質問と答えがどの国のどの事業者を通るかは、見積の段階で構成図と書面で確かめてください。個人情報を含む問い合わせの記録を試験に流用する場合は、匿名にしてから使うのが基本です。

費用の増え方と、やめ方

無料版の道具は無料ですが、費用がゼロになるわけではありません。判定役の生成AIの利用料は、試験の質問の数と回し直しの回数に比例して増えます。攻撃の走査は一度に多くの質問を投げるので、変更のたびに全件を回すと、生成AIの利用料が月ごとに積み上がります。検査を回し、結果を保管し、版の更新に追従する人の時間も、見えない費用です。

有償版の料金は公開されておらず、何を単位に課金されるかも料金の案内からは読み取れません。見積では、試すAIの数、利用者の数、試験の回数、判定役の生成AIの利用料が含まれるかを確かめます。自社内に置く形では、設置を同社の技術者が行うと説明されており、その費用と保守の範囲も確かめておく点です。

やめ方も先に決めておきます。有償版の 3.0 では、無料版で回した結果を取り込めるようになったので、逆に有償版をやめても、試験の質問と結果を自社の形式で書き出して持っておけば、無料版での運用に戻ることはできます。契約の前に、試験の質問、注釈、結果の履歴を書き出せる範囲を確かめ、年に一度は書き出しておくと、乗り換えや契約の見直しのときに困りません。

有償版を試すなら、本番の契約の前に、自社の問い合わせ応答で一度試す期間を取るのが確実です。料金の案内では、新しい攻撃の評価の機能の無料の試用を、枠を限って受け付けていると書かれています。試用で確かめるのは、日本語の問い合わせに対して攻撃の質問と判定がどの程度機能するか、業務の担当が画面を使いこなせるか、結果をどこまで書き出せるかの三つです。日本語での精度は公開資料では確認できなかったので、ここは自社のデータで測るしかありません。

AIに判断させないところ

Giskard を使うと、試験の質問の生成も、採点も、攻撃の組み立ても、多くをAIに任せられます。だからこそ、AIに判断させない範囲をはっきりさせておく必要があります。一つ目は合格線です。どの失敗を何件まで許すかは、事業の影響を知る人が決め、AIの採点の閾値はその線に合わせて調整するものです。

二つ目は、試験の質問の最終的な選定です。AIが作った質問は網羅的に見えても、業務で本当に来る質問や、自社にとって致命的な話題が抜けていることがあります。業務の担当が選び、足りない質問を足す工程を外さないようにします。三つ目は公開可の判断と例外の承認で、これは名前のある人が署名する形にします。

AIに任せてよいのは、大量の質問を投げること、決めた基準で点数を付けること、落ちた答えに理由を書かせることです。理由が書かれていれば、人が一件ずつ確かめるときの手間が減ります。採点の理由を読まずに点数だけで合否を出さないことを、検査の手順書の最初の一行に書いておくとよいでしょう。

有償版の 3.0 では、評価の指示を自社で書いて、合否と理由を返させる自作の判定も使えるようになりました。公式の説明では、判定役は現在の入力、AIの答え、それまでの往復のやり取りを見て判断します。便利な反面、判定の指示を書いた人の考えが、そのまま合否の基準になるということでもあります。自作の判定の指示は、合格線と同じく業務の責任者が目を通し、版を付けて保管し、変えたときは過去の結果と比べ直すようにします。

公開前の確認チェックリスト

最後に、Giskard を使って社内のAIを公開する前に、関係者で確認しておきたい項目をまとめます。道具の設定ではなく、社内で決めておくことの一覧です。一つでも空欄があれば、公開の判断を一度止めて埋めてから進めます。

• 公開を承認する人と、検査を回す人が別の名前で決まっている
• 合格線が、重さの違う失敗ごとに書かれている
• 試験の質問に、業務の担当が選んだ実際の問い合わせが入っている
• 判定役の生成AIの提供元と、送ってよいデータの範囲が決まっている
• 落ちた答えと通った答えの両方から、人が抜き取って確かめた
• 試していないことが、承認の記録に書かれている
• 再検査が必要な変更の種類と、変更の申請の欄が決まっている
• 試験の質問と結果の保管の場所、持ち主、保存期間が決まっている
• 有償版を使う場合、書き出せる範囲と解約の条件を確かめた

このリストは、Giskard に限らず検査の道具を使うときに共通する項目でもあります。違いが出るのは、無料版なら保管と書き出しの仕組みを自社で作る項目が増え、有償版なら契約の確認の項目が増えることです。どちらの版を選んだかを、リストの横に理由とともに書き残しておくと、一年後に見直すときの判断がぶれません。

まとめ

Giskard は、生成AIとAIエージェントを公開前に検査し、攻撃への弱さを探すフランス発の道具です。2026年は無料版が 3.0 に作り直され、有償版の Giskard Hub も業務部門が参加しやすい形に更新されました。無料版で内製するか有償版で標準化するかは、機能の差より、検査に誰が参加し、結果を誰が承認するかで決まります。どちらを選んでも、試験の質問は業務の人が選び、AIの採点は抜き取りで確かめ、公開可は名前のある人が出す。この三つを決めてから道具を入れれば、検査の結果が公開の判断に正しくつながります。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。