フロンティア三社はサイバー能力を「値札を付けず、名簿に載った相手にだけ渡す」形に切り替えた——このゲートの寿命を決めるのは審査の厳しさではなく、英国政府が測り続けているもう一つの数字、ゲートの外の能力が追いつくまでの月数だ

本稿の要点

9 月 2 日、Google はサイバーセキュリティ専用のモデル Gemini 3.8 Flash Cyber を発表した。公式発表には最初から最後まで価格が書かれていない。書かれているのは、"available to trusted defenders through our new Fairwind Program"(新しい Fairwind Program を通じて信頼できる防御側に提供する)という一文だけだ。6 月 22 日に OpenAI が出した GPT-5.5-Cyber と同じ形である。どちらもセキュリティに特化した派生版で、価格は公開されず、使えるのは "trusted defenders" と呼ばれる相手に限られる。

本稿の結論は二つに分かれる。前半は訂正だ。 同じことをしたのは二社ではなく三社で、最初の一社は OpenAI ではなく Anthropic だった。時期は 4 月で、OpenAI より二か月早い。Anthropic は Project Glasswing で、一般公開していない Mythos を、重要インフラを支える約五十の組織に渡した。本題は後半にある。 三社は同じことをしたが、外からの問いの立て方が間違っていた。世間が問うのは「このゲートは人を止められるのか」(承認率はどれくらいか、誰が通るのか)である。この問いに三社とも数字を出しておらず、近いうちに出す見込みもない。ゲートの寿命を本当に決めるのは別の数字で、その数字は定期的に測られている。英国の AI Security Institute(フロンティア AI の能力を評価する英国政府の機関、AISI)の測定では、オープンウェイトモデルはサイバー能力でクローズドのフロンティアに 4〜7 か月遅れている。2025 年を通じた差は 6〜10 か月だったので、差は縮まりつつある。名簿制が塞ぐのは、ゲートの内側から出てくる経路だけだ。ゲートの外を通る経路がいつ追いつくかは、調べればわかる。

本稿は五段で進む。

① 時系列を直す。三社、五か月、それぞれの形。そして最初の一社が最も多くを開示していたこと。

② 名簿制が何に取って代わったのか、なぜそのコストはゼロではないのかを説明する。このモデルの値札は空欄ではない。金額以外の形で書かれているだけだ。

③ 三社が自己証明に使う物差し(CyberGym)が何を測っているのかを確かめる。答えによって、85.6 点という数字の読み方が変わる。

④ ゲートの寿命を日付に換算する。そのうえで、より重要な事実を示す。三社が自己証明に使う能力軸は、寿命の最も短い軸である。

⑤ 最後に、すでに起きた失敗を見る。このゲートは一度ゼロになった。原因は流出ではなく政府の指令で、期間は三日だった。

本稿が前日の夕刊の同じ項目より何を足したのか。三点あり、どれも具体的に示せる。第一に、本誌は前日の判断を自ら攻め直し、三か所が持たなかった。 前日の項目は「二社が 72 日のうちに独立に収束した」と書いた。社数が誤り(三社だった)、起点も誤り(6 月ではなく 4 月)、「ゲートはまったく動いていない」も誤りだった。ゲートは招待制から申請制へ移り、同時に開示の度合いは下がり続けた。第二に、自己証明の物差しを分解した。 CyberGym がモデルに与えるのは、脆弱性のテキストによる説明とコードである。課題はその脆弱性を再現するテストを書くことだ。測っているのはすでに知らされた脆弱性の再現であり、誰も知らない脆弱性を自力で見つける力ではない。ゲートが必要になるのは後者の能力である。第三に、覆す条件を一つ固定し、その宛先も明確にした。 英国 AISI と米国 CAISI はすでにオープンウェイトのサイバー能力の差を測っている。ただし対象はずっと汎用のフロンティアモデルで、三社が出したのはいずれも専用モデルだ。同じ物差しを専用モデルに一度当てれば、本稿の時計は推定から実測に変わる。この測定はまだ存在せず、実施できる機関はこの二つしかない。

上の図の線は、制御の置き場所の移動を描いている。2026 年より前、フロンティアラボは「この能力が悪用されるおそれ」に、モデル自体に拒否を学習させて対処していた。2026 年 4 月から、三社は制限のない別版を作り、名簿に載った相手にだけ渡す方式に切り替えた。本稿が扱うのは、この線の上で最も実務的な問いである。この新しい方式の賞味期限はどれくらいか。そして、その期限を決めるのは誰か。

帳尻を合わせ直す:三社、五か月、そして最も多くを開示したのは最初の一社だった

本題に入る前に、前日の判断の土台を点検しておく。

前日の判断の骨組みは「二社、72 日、独立の収束」だった。このうち社数と期間の二つは直す必要があり、独立の収束そのものは持ちこたえた。もう一つ、骨組みには入っていなかったが同じく成り立たない言い方があった。「ゲートはまったく動いていない」である。合わせて三か所を訂正する。

先に一語を定義しておく。名簿制の提供とは、価格を付けず、公開販売もせず、使いたい側がまず申請し、提供側が渡すかどうかを決める方式を指す。反対側にあるのは価格による配分である。値札が付いていて、払える相手なら手に入り、提供側は相手が誰かを問わない。

時系列に並べるとこうなる。

訂正を一つずつ説明する。

第一に、社数は二ではなく三だった。 Stratechery の報道によれば、Anthropic は 4 月にすでに同じことをしており、やり方はほかの二社より硬かった。Mythos は「限定公開」ですらなく、そもそも一般公開されていない。Anthropic の Frontier Red Team を率いる Logan Graham 氏は当時、理由を安全への確信不足だと説明した。公開しても安全だと先に確かめる必要があるが、どうすれば十分な確信を持てるのかは当時まだはっきりしなかった、という趣旨である。6 月の AWS の公式発表は、この仕組みをさらに明確に書いた。制限を外した版の名前は Claude Mythos 5 で、審査を通った少数の顧客にしか提供しない。

この発見は、前日の判断に二方向から効く。悪い知らせは、「二社が独立に収束した」という言い方を書き直さなければならないことだ。よい知らせは、判断がむしろ強くなったことである。前日の項目は覆す条件の三つ目として、「三社目のフロンティアラボがセキュリティ専用モデルをゲートなしで出せば、収束という読みは崩れる」と自ら書いていた。その三社目が見つかり、ゲートを設けていたうえに、三社のうち最も厳しいゲートだった。収束は持ちこたえ、標本は二から三に増えた。

第二に、期間は 72 日ではなく五か月だった。 72 日という数字は、OpenAI の 6 月と Google の二つ目のモデルの 9 月を引き算して出したものだ。その間にあった Google の一つ目のモデル、7 月 22 日の Gemini 3.5 Flash Cyber が抜けていた。OpenAI から Google までの実際の間隔は 30 日である。線全体は 2026 年 4 月から 9 月まで延び、約 150 日になる。

第三の訂正が最も重い。ゲートは「まったく動いていない」のではなく、ずっと動いており、開示の度合いは一方向に下がっている。 上の表の最後の列が、この推移を示している。最初の一社は組織数と実名の参加者五つを公開した。二社目は七つの国家パートナーを公開したが、組織数は言わない。三社目は計画の名前を一つ出しただけだ。同じ時期に、仕組みの形も変わった。Glasswing は招待制で、提供側が相手を選ぶので人数にはおのずと上限がある。Fairwind は申請制で、使う側が自ら申し込み、上限は何も告知されていない。

この二つの変化は、重ねて見て初めて意味を持つ。開示が下がり始めた時点は、承認率が意味を持ち始めた時点と重なっている。 五十組織の招待名簿なら、承認率が何を意味するかはあまり重要ではない。名簿は名簿である。上限のない申請制では、承認率こそが、このゲートが制御なのか単なる受付窓口なのかを分ける唯一の基準になる。そして開示が止まったのは、まさにこの段階の後だった。

名簿制が置き換えたのは拒否訓練であり、その対価はデータと監査可能性で払われる

社数と時期を直したところで、次に、三社がなぜそろってこの方式に向かったのかを見る。理解の鍵は、名簿制が何に取って代わったかにある。

デュアルユースの能力では、守る側が自社の穴を塞ぐ作業と、攻める側が他人の穴を探す作業が、技術的には同じことになる。名簿制の前、フロンティアラボがこの種の能力に使う標準的な手段は拒否訓練だった。特定の種類の依頼には答えないようにモデルを訓練する方法である。この手段には繰り返し批判されてきた欠点が一つある。全員に一律に効くことだ。意志の固い攻撃者は迂回し、実際に止められるのは自社システムの脆弱性を直したいセキュリティエンジニアのほうになる。鋭い言い方をすれば、拒否のポリシーは守る側にだけ課される税である。

名簿制は、この批判への答えの形である。全員に対して拒否するのをやめ、制限を外した別版を作って守る側に渡す。この論理を最もはっきり示しているのが Anthropic のやり方だ。Fable 5 はガードレール付きの版で、そのガードレールは次のように実装されている。AWS の発表は "Harmful prompts related to cybersecurity, biology, chemistry, and health fall back to receive a response from Opus 4.8 instead" と書く。サイバー・生物・化学・健康の分野の有害なプロンプトには、一世代前の、より弱いモデル(Opus 4.8)が代わりに答える。このガードレールはモデルを訓練し直して作ったものではなく、振り分けで作ったものだ。危険な質問を性能の低いモデルに回すのである。Mythos 5 は同じモデルからこの振り分けを外したものにすぎない。

したがって名簿制の実質は、「誰を信頼してよいか」という判断を、モデルのその場の反応から一企業の事務手続きへ移すことにある。

ここに、読み飛ばされやすい推論の誤りが一つあるので、立ち止まっておく。前日の項目は「高いのではなく、価格という欄そのものがない」と書いた。しかし公式発表に価格が載っていないことと、このモデルが価格で配分されていないことは、別の話である。前者は観察でき、後者は推論だ。この推論が何を見落としたかは、一つの実例から読み取れる。AWS の公式発表によれば、Mythos 級のモデルを使うには、顧客がデータ共有を自らオンにする必要がある。さらに Anthropic が求める入出力の 30 日間保持と人手による審査を受け入れなければならない。

代償がないわけではない。データと監査可能性で払う代償である。差し出すのは金ではない。モデルに送り込んだ中身が 30 日間保持され、人の目に触れることだ。

同じ日の別のニュースに、この構図の裏返しがある。9 月 2 日、Meta は Muse Spark 1.3 を発表した。最も安い層は入力百万文字あたり 0.10 米ドルで、この価格と引き換えに、Meta はプロンプトを学習データとして使う。両者は同じ構造をしている。安いモデルも管理されたモデルも、実際の値札は金額の欄にはない。 顧客データや社内コードを送り込む企業にとって、どちらも価格の問題ではなく法務の問題になる。

自己証明の物差しが測っているのは「知らされた脆弱性の再現」である

名簿制の対価がわかったところで、次は三社がゲートの必要性をどう証明しているかを見る。

三社のうち二社は同じテストで自己証明している。OpenAI は GPT-5.5-Cyber が CyberGym で 85.6 点(汎用版は 81.8 点)を取ったとし、Google のモデルページは "Gemini 3.8 Flash Cyber leads with 86.2%" と書く。二つの数字の差は 0.6 点だ。前日の項目はこれを「二社が同じ物差しで自己証明している」と読んだ。その読みは正しい。ただし、その物差しが何を測っているかは確かめておく価値がある。

CyberGym はカリフォルニア大学バークレー校のチームが作った公開テストで、論文は 2025 年に出た。規模は小さくない。1,507 件の実在する脆弱性を、188 のオープンソースプロジェクトから集めており、データの出どころは Google の OSS-Fuzz である。鍵は、モデルに何を渡し、何をさせるかにある。モデルの課題は、脆弱性を再現する概念実証(PoC)のテストを作ることだ。そのときモデルが受け取るのは、論文の言葉では "given only its text description and the corresponding codebase"、つまり脆弱性のテキストによる説明と、対応するコードベースだけである。

この一文は二度読む価値がある。脆弱性がどこにあり、何であるかは、問題文がすでにモデルに教えている。 モデルの仕事は、その説明を実際にクラッシュを起こすテストファイルに変えることだ。これには大きな価値がある。脆弱性修正の前半にあたる能力で、安定して再現できなければ直ったかどうかも確かめられない。

しかし、これは「誰も見たことのない大量のコードの中から、誰も知らない脆弱性を自力で見つけ出す」能力ではない。そして、ゲートが必要になるのは後者のほうだ。攻撃者が欲しいのは、CVE データベースですでに公表された脆弱性の再現ではない。その情報はもともと公開されている。

覚えておくべきことがもう一つある。論文自身が報告した成績は "Even the top-performing combinations only achieve a ~20% success rate"(最も成績のよい組み合わせでも成功率は約 20% にとどまる)だった。2025 年の約 20% から 2026 年の 85.6 点まで、一年でおよそ四倍になった。この跳躍は本物かもしれない(この一年、AI が自律的に手順を組み立て、多段の作業を最後までやり切る能力は大きく伸びた)。しかし、誰も公表していない点が二つある。三社のどこも、どの難易度区分やどのサブセットで測ったかを明らかにしておらず、どの点数も第三者による再現を経ていない。 85 点台の二つの数字は、現時点ではどちらもベンダーの自己評価という位置づけにある。

問題を最もよく示す兆しは、このテストの作者たち自身から来ている。同じチームは 2026 年に CyberGym-E2E を発表し、論文は ICML 2026 に採択された。論文の冒頭はこう書く。"existing cybersecurity evaluations of AI systems are limited in scale or scope, and fail to capture the end-to-end lifecycle of real-world software vulnerability discovery and remediation"(AI システムに対する既存のサイバーセキュリティ評価は規模か範囲のどちらかが限られており、実世界のソフトウェア脆弱性の発見から修正までのエンドツーエンドのライフサイクルを捉えられていない)。新版は 139 のプロジェクトから 920 件の脆弱性を集め、「発見→概念実証→パッチ」を一つの流れとして評価する。

言い換えるとこうなる。同じ作者たちが後継論文の冒頭で「既存の評価は規模か範囲が限られている」と書いた。この言い方は総称だが、作者たちが次に手がけたのは、まさに旧版が扱っていなかった部分である。一方でフロンティアラボ二社は同じ年に、旧版の点数をゲートの正当性の根拠にした。 85.6 点が偽物だと言っているのではない。ゲートが答えるべき問いに、この点数は答えられないということだ。

(Google はほかに二つの数字を出している。CWE-Bench の pass@1(一回目の試行で正解する割合)が 47.2%、そして "success rate exceeding 70%" とされる社内の脆弱性発見テストである。後者は社内のもので、外から検証できない。外部と比べられる 47.2% のほうは、86.2 という数字を大きく下回る。)

ゲートの寿命を決めるのはゲートではなく、その数字は測られている

物差しの中身を確かめたところで、本稿の核心に入る。

「このゲートは人を止められるのか」と問うのは自然だが、この問いには数字がない。三社とも出していない。問いを替えれば数字が手に入る。ゲートを迂回する代わりの経路は、いまどこまで来ているのか。

ゲートに意味があるのは、ゲートの外に同じものがない場合に限られる。名簿制が塞げるのは「ゲートのある API から出てくる」経路だ。まったく塞げないのがもう一つの経路、オープンウェイトモデルである。重みは公開されていてダウンロードでき、自社のサーバーで動かせる。どんな名簿も止められない。

この代わりの経路がどこまで来たかは、政府機関が測っている。2026 年 7 月 17 日、英国の AI Security Institute は、オープンウェイトモデルがサイバー能力でクローズドのフロンティアにどれだけ遅れているかを初めて公開の数字で示した。AISI の報告の原文はこうだ。

"Recent open models GLM-5.2 and DeepSeek V4-Pro perform similarly to frontier closed models released 4 to 7 months before them – a narrower gap than the 6 to 10 months we measured through most of 2025."

(最近のオープンモデル GLM-5.2 と DeepSeek V4-Pro の性能は、4〜7 か月前に公開されたクローズドのフロンティアモデルと同等だ。2025 年の大半を通じて測った 6〜10 か月の差より狭い。)

同じ報告には、本稿の主題に正面から向き合う一節もある。

"cyber defenders have a short window to prepare before today's frontier cyber capabilities may become accessible without the same safeguards"

(今日のフロンティアのサイバー能力が同じ安全措置なしで手に入るようになるかもしれないまでに、サイバー防御側に残された準備期間は短い。)

これを日付に直す。Google のモデルは 9 月 2 日に出た。差が 4〜7 か月なら、同等の能力を持つオープンウェイトモデルはおおよそ 2027 年 1 月から 4 月の間に現れる。この換算には明確な但し書きが一つあり、後で二つ目の弱点として述べる。

ただし、本当に注目すべきなのはこの日付ではない。同じ報告の二つ目の発見のほうだ。差は一つの数字ではなく、二つある。

• 狭い範囲のサイバー能力(70 項目の評価)では、差は 4〜7 か月である。
• 長時間にわたる多段の作戦(AISI のサイバーレンジ試験「The Last Ones」)については、AISI は "The gap here is larger than on our narrow cyber tasks"(この差は狭い範囲のサイバー課題よりも大きい)と明言している。

この区別で全体像がはっきりする。ゲートの寿命は、二つの能力軸で長さが違う。狭い範囲の脆弱性発見では寿命は四半期単位であり、長時間の多段作戦ではずっと長い。

そのうえで、三社が何で自己証明しているかを見る。CyberGym(説明された脆弱性の再現)、CWE-Bench(パッチ)、社内の脆弱性発見の成功率。どれも狭い範囲の評価である。長時間の作戦の数値でゲートを擁護した社は一つもない。

つまり、三社は寿命の最も短い軸の上にゲートを置き、しかもその軸の点数でゲートの必要性を証明している。 悪意があるとは限らない。狭い範囲のものは測りやすく、長時間の評価はもともと作るのが難しい。それでも結果は変わらない。ゲートが守っている能力は、オープンウェイトが最も速く追いつく種類の能力である。

この推算には弱点が二つあり、時計を後ろにずらしうるので、ここで正直に述べておく。

一つ目の弱点は、AISI が測ったのは汎用モデルで、三社が出したのは専用モデルだという点だ。 AISI は GLM-5.2 と DeepSeek V4-Pro を Claude Opus 4.6 や GPT-5 と比べた。どれも汎用のフロンティアモデルである。一方、Fairwind と Trusted Access が提供するのはセキュリティ専用のモデルだ。Google 自身の公式発表は、3.8 Flash Cyber が "surpasses both 3.5 Flash Cyber as well as significantly larger frontier models"(3.5 Flash Cyber を上回り、はるかに大きなフロンティアモデルも上回る)と書く。この記述が正しいなら、専用化には実在の上乗せがあり、その上乗せはこれまで誰にも測られていない。オープンウェイトが追いつくべき距離は 4〜7 か月ではなく、4〜7 か月に大きさの知れない専用化の差を足したものかもしれない。

二つ目の弱点は、差そのものが動いている点だ。 差は 6〜10 か月から 4〜7 か月に縮んだ。動いている数字から外挿しても、出せるのは幅であって日付ではない。

二つの弱点は同じ一つの行動を指している。本稿が最も実施する価値があると考える行動である。AISI の物差しを、専用モデルに一度当てること。 この測定はまだ存在しない。そして、誰かに承認率の開示を頼る必要もない。既存のオープンウェイトモデルに、三社が自己証明に使ったテストを解かせればよい。実施できる機関は、すでにこの種の作業をしている。2026 年 7 月、英国 AISI と、米国 NIST の下で AI の安全性評価を担う CAISI は、オープンウェイトの Kimi K3 のサイバー能力を共同で評価した(ExploitBench で 32%、GLM-5.2 は 24%)。同じ方法を専用モデルに向ければ、本稿の時計は推定から実測に変わる。

このゲートは一度ゼロになった——流出ではなく、政府の指令で、三日で

寿命の推算を終えたので、次はすでに起きた失敗を見る。

この種の仕組みの失敗と聞くと、直感は「流出」に向かう。しかし、実際に起きた一回は流出ではなかった。

2026 年 6 月 9 日、Anthropic の Fable 5 と Mythos 5 が AWS で使えるようになった。6 月 12 日、同じ公式発表に一行の更新が加わった。

"To support compliance with the US Government export control directive, Anthropic has asked AWS to revoke access to Claude Fable 5 and Claude Mythos 5 for all users. All other models, including Opus4.8, are not affected"

(米国政府の輸出管理の指令に従うため、Anthropic は AWS に対し、Claude Fable 5 と Claude Mythos 5 へのアクセスを全ユーザーについて取り消すよう求めた。Opus 4.8 を含むほかのモデルには影響しない。)

公開から三日で、全面的な取り消しである。 規模は名簿の縮小を超えている。モデルそのものが、全員の前から一斉に消えた。

この出来事は、調達側が心配すべきことの順番を書き換える。Fairwind のようなゲートの内側のモデルを防御チェーンに組み込んだセキュリティ責任者が思い浮かべるリスクは、たいてい「名簿が漏れたらどうなるか」か「申請が通らなかったらどうなるか」だろう。しかし、実際に観測された失敗の型は三つ目だった。供給元が政府の指令によって、三日で SKU ごと止められたのである。 しかも、これまでに観測された取り消しはこの一回だけで、起きたのは三社のうち最初にこの方式を始めた一社だった。

この出来事は、Hugging Face の CEO、Clément Delangue 氏が 7 月に示した議論の実物版でもある。同氏は当時こう書いた。"Open models aren't the risk, they're the defense! Attackers can already jailbreak any API or guardrails. Defenders can't secure systems with black boxes they can't control, inspect, test, or run locally."(オープンモデルはリスクではなく防御だ。攻撃者はすでにどんな API もガードレールも脱獄できる。守る側は、制御も検査もテストもできず、ローカルでも動かせないブラックボックスでシステムを守ることはできない。)当時この発言は、オープンソース企業の経営者の立場表明として読むこともできた。同氏に利害があるのは確かだ。だが 6 月の取り消しによって、この発言は観察できる事実になった。ローカルで動かせない部品は、三日で防御チェーンから取り除かれうる。しかも取り除くのは、使う側でも供給元でもない第三者である。

同じ仕組みは二十年前から運用されてきた——結果は記録に残っている

もっと長い対照群もある。セキュリティ業界自身の歴史である。

Cobalt Strike はレッドチーム演習・侵入テスト用のツールで、2012 年に登場した商用製品だ。現在は Fortra が保有している。提供の仕組みはフロンティア三社がいまやっていることとほぼ同じで、しかもどの項目もより厳しい。一ユーザーあたり年 3,500 ドルで(こちらには価格がある)、購入にはベンダーによる確認を通る必要がある。顧客は利用制限と輸出管理の条項を受け入れ、ライセンスの複製一本一本には固有の識別用ウォーターマークが埋め込まれている。

結果は公開の記録に残っている。クラック版や試用版が、APT41、Mustang Panda、OceanLotus、FIN7 といった国家レベルの集団や、Conti、Ryuk といったランサムウェア集団に流れた。Cobalt Strike は、実際の侵入事件で最もよく見られるコマンド&コントロール(C2)の枠組みの一つになった。

状況を本当に押し戻したのは、審査の仕組みではなかった。審査の仕組みは最初から最後まで存在しており、失敗したのはその仕組み自体である。押し戻したのは、2023 年 3 月 31 日のニューヨーク東部地区連邦地裁の命令だった。Microsoft、Fortra、Health-ISAC がライセンス契約違反と知的財産侵害を理由に提訴し、200 以上の悪意あるドメインを差し押さえ、1,900 以上の IP アドレスに削除を通知した。Fortra は後に、悪用が二年で 80% 減ったと述べている。

この対照群は注意して使う必要があり、実在の境界が一つある。Cobalt Strike は複製を手元に受け取るソフトウェアだが、ゲートの内側のモデルは API で、API はクラックできない。したがってこの歴史は API の経路には当てはまらない。当てはまるのは「ダウンロードできる完成品がある」経路、すなわちオープンウェイトと蒸留だけである。

ところが、境界がここに引かれるからこそ、もっと扱いにくい事実が浮かび上がる。Cobalt Strike を救った経路が機能したのは、その製品を野外で特定できたからだ。実行ファイルのウォーターマーク、差し押さえられる C2 ドメイン、そして裁判に持ち込めるライセンス契約がそろっていた。

オープンウェイトモデルには、この三つのどれもない。重みはもともと公開されていて、違反すべきライセンス契約がない。動くのは他人のマシンの上で、差し押さえるドメインがない。そして三社のうち、セキュリティモデルの出力を追跡できる識別の仕組みを開示した社は、これまで一つもない。

したがって、この歴史的対照から出る結論は「名簿制は失敗する」ではない。その言い方は安易すぎる。正確にはこうなる。この仕組みは同種の製品で二十年運用され、実際に失敗したことがある。そして当時この仕組みを救った経路は、AI の今回の局面では通れない。

問うべき問いが替わった

ここまでの検討をまとめると、問いそのものが替わる。

本誌の見立て

このゲートの寿命を決めるのは、ゲート自身ではない。名簿の審査の厳しさや承認率の高さが決めるのは、ゲートが誰を止めたかである。ゲートがあとどれだけ意味を持つかを決めるのは、ゲートの外の代わりの経路がいつ到着するかだ。その経路とはオープンウェイトモデルである。重みが公開され、誰でも自社のサーバーにダウンロードして動かせるので、どんな名簿も止められない。この経路は第三者が定期的に測っており、現在の遅れは 4〜7 か月で、縮まりつつある。さらに重要なのは、この差が一つの数字ではなく二つだということだ。狭い範囲の脆弱性発見は速く追いつき、長時間の多段作戦は遅れて追いつく。そして三社がゲートを擁護するために挙げた点数は、どれも速く追いつく側の軸に乗っている。今後「ある能力は管理下に置かれた」という主張が出るたびに、この境界線で確かめられる。まず、その能力がどちらの軸に属するかを問う。次に、ゲートの外のその軸がいまどこまで来ているかを問う。

セキュリティ部門にとって何が変わるか

優先順に三つある。

1. Fairwind や Trusted Access のようなプログラムは、調達計画に組み込む製品というより、途切れうる供給である。 観測された失敗は審査に通らなかったことと関係がない。実際に起きたのは、SKU が三日で全員の前から消えたことだった。供給元に問われるのは「承認まで何日かかるか」ではなく、「このモデルが明日使えなくなったら、防御チェーンのどこが止まるか」になる。

2. このモデルの本当の対価は、申請の前の段階で効いてくる。 条項が公開されている唯一の例(Anthropic/AWS)は、データ共有をオンにし、入出力の 30 日間保持と人手による審査を受け入れることを求める。送り込むのが顧客データや社内コードなら、これは価格の問題ではなく法務の問題である。Fairwind の対応する条項は公開されていない。

3. 必要な能力がどちらの軸かで、見通しが分かれる。 「既知の脆弱性を安定して再現し、修正する」こと(三社の点数が実際に扱っている範囲)なら、オープンウェイトの代替が 4〜7 か月で迫る。ロードマップ上の「ゲートの内側のモデルを待つ」は、「代替を待つ」に置き換えられる。長時間の多段の攻防演習なら、代替が追いつくのはもっと先になる。そしてゲートの内側のモデルについても、この領域の点数を公表した社は一つもない。買い手が手にするのは、数値の裏付けのないものだ。

規範を設計する側にとって何が変わるか

対照群として使える独立の実装が三つあり、どれにも同じ欄が欠けている。承認率である。ただし、本稿の提案はこの欄を求めることではない。三社にはこの数字を出す動機がなく、出されたとしても信頼できるとは限らない。

より効く手段は、誰の自発的な協力も要らない測定である。AISI/CAISI がすでに持つ方法を、三つの専用モデルに対して一度走らせる。必要なのは既存のオープンウェイトモデルと、三社がすでに公開しているテストだけだ。この測定は二つの問いに一度に答える。専用化には何か月分の価値があるのか、そしてこのゲートにはあとどれだけの寿命があるのか。現在公開されている差の数値は、どれも汎用モデル同士の比較である。この論争にとって、その比較は母集団を取り違えている。

この判断を覆す条件

• いずれかの社が承認率を公開する。 90% を超えていれば、このゲートは制御ではなく販売の振り分けであり、本稿の「寿命」の議論はまるごと「一度も噛み合ったことのない仕組みで、寿命の問題はそもそも存在しない」に格下げされる。90% を大きく下回り、実名の却下例があれば、「制御」という読みに初めて実証の裏付けがつく。
• いずれかの社のセキュリティ専用モデルが、十二か月以内に公開の定価付きの提供に移る。 その場合、名簿制は段階的上市のための商取引上の措置であって統治の移動ではなく、本稿の前提を書き直す必要がある。
• AISI/CAISI が専用モデルについて測った差が 7 か月を大きく上回る。 時計は後ろにずれ、名簿制の寿命は延び、本稿で日付の幅を出した節の 2027 年 1〜4 月という区間は無効になる。
• いずれかのオープンウェイトモデルが、CyberGym または同じ基準の後継テストで 85 点台に達したと公開される。 三社のゲートはそろって技術的な意味を失い、この件は決着する。
• いずれかの社が、出力を追跡できる識別の仕組み(ウォーターマークに相当するもの)を開示する。 その場合、Cobalt Strike の節の「当時救った経路は通れない」は見直しが必要になる。本稿のなかで、一点の反証で最も覆りやすいのはこの部分である。
• 政府の指令による取り消しが二度目に起きる。 取り消しは単発の出来事からこの仕組みの特徴に格上げされ、調達側の主なリスクは「流出」から「供給停止」に判定を改めるべきものになる。

二つ目の項目を除き、本稿はほかの項目に自前の期限を設けない。期限は、AISI の今後の測定のペースと、三社自身の発表のペースが決める。二つ目の項目の十二か月は本誌が独自に設けた観察の枠で、本稿の公開日から数える。三つ目の項目は本稿が自ら求める唯一の測定であり、実施を約束した機関はまだない。

本記事は日本語版・英語版・中国語版と同一の調査と判断にもとづいて書かれています。出典にはリンクを付け、原文書と報道を区別し、確かめられなかった点を明記しています。

ご意見・ご感想は [email protected] までお寄せください。

他言語版が引いた出典

以下の出典は、この記事の他言語版の本文ではリンクされているが、この版の本文にはないため、ここに補う。

• blog.google/innovation-and-ai/models-and-research/gemini-models/3-8-flash-and-3-
• x.com/pushmeet/status/2079918882047807537
• openai.com/index/daybreak-securing-the-world/
• deepmind.google/models/gemini/cyber/