DeepTeamとは？
DeepTeam は、DeepEval の開発元である Confident AI による、LLM システムのレッドチーミング用のオープンソース Python フレームワークです。ジェイルブレイク、プロンプトインジェクション、エンコーディングによる難読化、マルチターンでの悪用といった攻撃をシミュレートし、LLM-as-judge のメトリクスを使って各テストに理由付きの合否を出します。
README には 50 を超える脆弱性と 20 を超える攻撃手法が載っています。PII の漏洩、プロンプトの漏洩、バイアス、有害性に加えて、関数レベルとオブジェクトレベルの認可の不備、SQL とシェルのインジェクション、サーバーサイドリクエストフォージェリといったアプリケーションセキュリティの分類や、過剰な権限、取得したコンテンツ内の間接的な指示、ツールのメタデータの汚染、エージェント間のなりすましといったエージェント特有のものもカバーします。プリセットは、OWASP Top 10 for LLMs 2025、OWASP Top 10 for Agents 2026、NIST AI RMF、MITRE ATLAS、BeaverTails、Aegis を対応するテストに割り当て、7 つの実行時ガードレールも同梱しています。
Python から、または YAML で動かす CLI からローカルで実行でき、ライセンスは Apache 2.0 です。バージョン 1.0.10 は 2026 年 10 月 16 日に PyPI に公開されましたが、GitHub のリリースページは v1.0.9 で止まっています。Confident AI のホスト型プラットフォームはストレージとレポートを販売しており、レッドチーミングは Enterprise のアドオンです。
DeepTeamは使う価値があるか？
DeepTeam の強みは、モデルがツールを持った途端に重要になるリスクをカバーしていることです。脆弱性の一覧は、アプリケーションセキュリティのチェックリストをエージェント向けに置き換えたように読めます。認可の回避、SQL とシェルのインジェクション、SSRF、ツールのメタデータの汚染、取得した文書に隠された指示などです。エージェント向けの 2026 年版 OWASP リストを含む 6 つのフレームワークのプリセットにより、セキュリティレビューで何をテストしたかを問われたとき、チームは 1 回の呼び出しで説明のつく基準を得られます。
弱点は判定器です。ある LLM が攻撃を生成し、別の LLM が合否を決めるので、結果は判定モデルによって変わり、毎回の実行で OpenAI のキーまたは設定したモデルのトークンを消費し、誤検知も見逃しも起こるものと考えるべきです。garak のルールベースの検出器や PyRIT のスコアラーのオプションの方が、この段階をより細かく制御できます。
注意すべきデフォルトが 2 つあります。テレメトリは、DEEPTEAM_TELEMETRY_OPT_OUT=YES（と、基盤のライブラリ用の DEEPEVAL_TELEMETRY_OPT_OUT=YES）を設定しない限り有効です。コードは Sentry と PostHog を初期化し、ipify でパブリック IP アドレスを調べます。データプライバシーのページによると、送信されるのは実行した脆弱性の名前と利用回数だけで、プロンプトは含まれません。もう 1 つは、GitHub のリリースページの最終更新が 2025 年 11 月なのに対し、PyPI は 1.0.10 まで進んでいることで、変更履歴が乏しくなっています。
ビジネスモデルははっきり見えます。無料のライブラリは結果の保存先として Confident AI に誘導し、その価格ページでは、レッドチーミングは $200 の Starter や $2,000 の Team のプランに含まれず、カスタム価格の「Enterprise ++」モジュールになっています。その契約なしに定期的な評価と共有レポートを望むチームは、JSON をダッシュボードにつなぐ仕組みを自作すること になります。それは promptfoo がオープンソースの CLI で無償提供しているものです。
真価を発揮する場面
返金とアカウントのツールを持つサポートエージェントを出荷するフィンテック企業のセキュリティエンジニア
公開前に OWASP に照らしてエージェントをテストしたことを監査チームに示す
エージェントを非同期の model_callback で包み、OWASP_ASI_2026 フレームワークで red_team を実行し、リスク評価をレビュー用に JSON でエクスポートします。実行ごとに判定モデルのトークンの予算を見込み、各失敗は人が確認してください。
RAG チャットボットに毎晩チェックを走らせる ML プラットフォームチーム
プロンプト変更後のプロンプトインジェクションと PII 漏洩への耐性の退行を捉える
選んだ脆弱性と攻撃を記した YAML の設定を管理し、CI で CLI を実行します。ランナーには 2 つのテレメトリのオプトアウト変数を設定し、合格率を毎晩比較できるよう判定モデルを固定します。
レッドチーミングの選択肢を比較する、500 人規模の保険会社の CISO
オープンソースのツールとマネージドのレッドチーミングサービスのどちらにするか決める
DeepTeam 自体は無料ですが、Confident AI はホスト型のレッドチーミングをカスタム価格の Enterprise アドオンとしてしか販売していません。それを、ライブラリを運用し、LLM 判定器の検出結果を手作業でトリアージする人件費と比べてください。
導入前に確認すること
- 導入
- Python 3.9 から 3.13 で pip install -U deepteam を実行し、OPENAI_API_KEY を設定するか別の判定モデルを設定し、model_callback を書きます。脆弱性 1 つの最初の実行は数分で終わります。
- 連携
- DeepEval の上に構築されています。DeepEval が対応する任意のモデルを攻撃側と判定器に使えます。YAML 設定で動く CLI、ドキュメントにあるコードスキャン用の GitHub ボット、Confident AI への結果のプッシュがあります。
- データとプライバシー
- プロンプトは設定した攻撃側と判定器のモデルに送られます。パブリック IP の照会を伴う Sentry と PostHog によるテレメトリはデフォルトで有効で、DEEPTEAM_TELEMETRY_OPT_OUT=YES と DEEPEVAL_TELEMETRY_OPT_OUT=YES でオプトアウトできます。GitHub のセキュリティアドバイザリは公開されていません。
- 大規模利用時のコスト
- ライブラリは無料です。各実行では攻撃側と判定器のトークンがかかり、脆弱性 x 攻撃 x ターン数に比例して増えます。Confident AI：Free（2 シート、週 5 回のテスト実行）、Starter は月額 $200、Team は SOC 2 と SSO 付きで月額 $2,000 です。レッドチーミングは Enterprise のアドオンです。
- 制限
- 未解決の issue とプルリクエストが 80 件あります。判定器の結果はモデルによってばらつきます。マルチターンの攻撃はトークンの消費を何倍にもします。GitHub のリリースは 2025 年 11 月の v1.0.9 で止まっています。
良い点
- エージェントとアプリのセキュリティ脆弱性を幅広くカバー
- OWASP、NIST、MITRE ATLAS のプリセット
- Python API と YAML で動かす CLI。どちらもローカル
- Apache 2.0 で、PyPI へのリリースが頻繁
気になる点
- 合否が LLM の判定器に依存する
- パブリック IP の照会を含むテレメトリがデフォルトで有効
- ホスト型のレッドチーミングモジュールは Enterprise 限定
- GitHub のリリースノートが PyPI より 1 年遅れている
おすすめの人
エージェントを作っており、ローカルで実行できる OWASP 対応のレッドチームのカバレッジを求める Python チーム。
DeepTeamの代替
DeepTeam：よくある質問
- DeepTeamは使う価値があるか？
- オープンなレッドチーミングライブラリとしては、エージェントとアプリケーションの脆弱性のカタログが最も幅広いものです。ただし、すべての判定は LLM の判定器に依存しており、確認が必要です。 評価は5点満点中3.9点です。
- DeepTeamの料金は？
- Apache 2.0 の無料オープンソースです。Confident AI のプラットフォームは無料ティアから月額 $200、$2,000 まであり、レッドチーミングのモジュールはカスタム価格の Enterprise アドオンです。
- DeepTeamの欠点は？
- 合否が LLM の判定器に依存する; パブリック IP の照会を含むテレメトリがデフォルトで有効; ホスト型のレッドチーミングモジュールは Enterprise 限定; GitHub のリリースノートが PyPI より 1 年遅れている.
- DeepTeamは誰に向いているか？
- エージェントを作っており、ローカルで実行できる OWASP 対応のレッドチームのカバレッジを求める Python チーム。
- チームや本番環境でDeepTeamを使うと費用はいくらか？
- ライブラリは無料です。各実行では攻撃側と判定器のトークンがかかり、脆弱性 x 攻撃 x ターン数に比例して増えます。Confident AI：Free（2 シート、週 5 回のテスト実行）、Starter は月額 $200、Team は SOC 2 と SSO 付きで月額 $2,000 です。レッドチーミングは Enterprise のアドオンです。
- DeepTeamは企業データを扱っても安全か？
- プロンプトは設定した攻撃側と判定器のモデルに送られます。パブリック IP の照会を伴う Sentry と PostHog によるテレメトリはデフォルトで有効で、DEEPTEAM_TELEMETRY_OPT_OUT=YES と DEEPEVAL_TELEMETRY_OPT_OUT=YES でオプトアウトできます。GitHub のセキュリティアドバイザリは公開されていません。
- DeepTeamの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はpromptfoo, PyRIT 、 garakです。
回答確認日：2026年10月23日