OpenAI の 10 億米ドル補助は「この関門の寿命はあと半年」と読みたくなるが、根拠の三つの数字に共通の単位はない——本誌の判断では、期限は日付ではなく攻撃者の強さ順の一覧で、補助の受け手はすでに期限切れの側にいる

本稿の要点

9 月 3 日、OpenAI は「Daybreak for Frontline Defenders」を発表した。上下水道、電力網、州・地方政府、地域銀行、非営利団体、オープンソースの保守者に向けた、10 億ドル分の補助付きアクセスである。現金ではなく、OpenAI 自社製品の利用に充てるクレジットだ。同社はこれを6 か月で使い切る目標を置いた。

この 6 か月を、ほかの二つの数字と並べてみる。一つは三週間前、OpenAI 社長の Greg Brockman 氏がブログに書いた「オープンウェイトモデルのサイバー能力はフロンティアから数か月遅れているだけだ」という一文。もう一つは、英国 AI Security Institute(AISI)が 7 月に測った「4〜7 か月の遅れで、差は縮まっている」という数字だ。三つの数字、三種類の計測器、同じ桁。しかも一つは実際に出ていくお金である。発言は割り引けても、予算に組まれた支出は割り引きにくい。説得力のある筋書きができあがる。

本稿の結論は、この筋書きの骨組みの半分は持たず、持つ半分は別の、より切実な問いを指している、というものだ。 持たないのは「三つの独立した計測器」という部分である。後の二つは同じ会社、同じ申請窓口から 19 日の間隔で出ている。片方の文書の結びは、もう片方が補助する製品への申請を読者に促している。さらに決定的なのは、三つに共通の単位がないことだ。一つは狭い評価項目から換算した月数、一つは尺度の示されない形容、一つは予算の消化速度である。単位の違う三つの数字がたまたま「どれも数か月」に収まっても、互いの裏付けにはならない。

持つほうの半分、そして本稿が引き取るべき問いはこうだ。「この関門はあと何か月もつか」に一つの答えはない。答えは、誰から守るのかで変わる。 英米両政府が 7 月 23 日に出した共同評価は、二つの数値を同時に示している。防御の固い標的に対し、最新のオープンウェイト旗艦モデルがプログラム実行の制御権を握れた件数はゼロだった。フロンティアモデルは平均で 41 件中 20 件である。ところが同じ評価の結論文は、このモデルが防御の弱い小規模な企業システムをすでに自律的に攻撃できると書いている。10 億ドルの補助が名指しで支援する上下水道、地域銀行、地方政府は、まさに後者の文が描く組織群だ。

本稿は六つの段階で進む。

① 三つの数字をそれぞれの単位に戻し、足し合わせられるかを見る。

② 「メーカーの支出はメーカーの判断である」という読みを検証する。この読みは想像以上に持ちこたえるが、支えている証拠はその支出ではない。

③ 「6 か月はただの暦だ」という最も安上がりな反論を取り上げ、成り立たない理由を示す。

④ 別の読みに移る。6 か月は期限ではなく、乗り換えのスケジュールだという読みである。

⑤ 本稿の判定:能力の軸は二本、期限も二つあり、各社の値付けはどれも短いほうに賭けている。

⑥ 最後に、「関門」という言葉そのものを揺るがす数字を見る。承認リストはいま 2,000 組織に達している。

本稿が昨日の夕刊の同じ記事に加えたものは三つあり、どれも具体的に示せる。

第一に、昨日の判断で最も強かった点を攻め直し、その点は持たなかった。 昨日はこう書いた。「三つの数字は三種類の計測器から出て、同じ桁に落ちている。独立した三つの計測器が同じ方向を指すことは、どの単独の数字よりも強い」。今回、二つの文書の関係を調べた。Brockman 氏の文章の行動喚起は一字一句「Apply for Trusted Access for Cyber and get your team approved to use GPT-Daybreak-Blue」で、19 日後に 10 億ドルの補助が付いたのはまさにその Daybreak だった。同じ会社、同じ窓口、同じ切迫感の語り口。これは独立した二つの計測器ではなく、一つのキャンペーンの二段階である。

第二に、分母のなかった数字に分母を与えた。しかも向きの違う分母を二つ。 業界の AI クレジット制度で標準的な消化期間は 12 か月で、6 か月は確かにその半分しかない。ただし、その 12 か月はどれも有効期限の条項であり、使い切れなければ失効するという受け手側への制約だ。OpenAI のものは消化目標で、出す側の計画である。二つは種類が違い、そのまま比べることはできない。

第三に、覆す条件を一つ明記した。この条件には明確な日付がある。防御の弱い組織にとって、この関門が効かなくなった日は今後 6 か月のどこかではなく、すでに過ぎた 7 月 23 日である。 この日、両国政府は、ダウンロードできるオープンウェイトモデルが「防御の弱い小規模な企業システム」を自律的に攻撃できると共同で判定した。同じ尺度による後続の評価がこの一文を撤回するか、これらの組織の防御水準がその線より上だと測られれば、本稿のこの部分は無効になる。

この図の線が描いているのは、統制の置き場所の引っ越しである。2026 年より前、フロンティア各社は「この能力が悪用される」という問題に、モデルの中で拒否を学習させることで対処していた。4 月以降、三社は制限を外した別のモデルを作り、承認リストに載った相手だけに配る方式に切り替えた。図にはいま、競合する四つの読みが掛かっている。本稿は新しい証拠で一つずつ確かめ、最後にそのうち一つを書き換える。

三つの数字は単位が違い、足し合わせられない

まず三つの数字を並べる。見るべきは何を言っているかではなく、何で測ったかである。

三つとも「数か月」と言い表せる。ただ、これは言葉の上の偶然で、計測の一致ではない。

①は時間の遅れを測っている。オープンウェイトモデルの成績を非公開モデルの発表の年表に当てはめ、「何か月前のフロンティアに相当するか」を問う。分母は名前の付いた一組の評価項目だ。

③は消化の速度である。10 億を 6 で割ると、毎月およそ 1.67 億ドル分のクレジットが使われる計算になる。分母は OpenAI の製品価格と、対象組織の利用量だ。どのモデルの能力もまったく測っていない。

言葉にすると平凡だが、昨日の判断の強さの出どころを崩しているのはまさにこの点である。「独立した三つの計測器が同じ方向を指す」ことが単独の数字より強いのは、三つが同じものを測り、互いを校正するからだ。体温計と血圧計と体重計が同時に三つの数字を出しても、三つの計測器が同じ方向を指したとは言わない。

②はさらに厄介で、分類の対象になる資格すら怪しい。「only a few months behind the frontier」は、どのモデルも、どの評価も名指ししていない。しかもこの一文が書かれる三週間前に、英米両政府は当時最新のオープンウェイト旗艦モデルの評価を共同で公表していた。その結論は、この一文と逆の方向を向いている。詳しくは後で見る。

後の二つの数字は独立していない

これが、昨日の判断に対する本稿の最も実質的な訂正である。

Brockman 氏の〈The Defender's Window〉の行動喚起は、一字一句こうだ。

"Apply for Trusted Access for Cyber and get your team approved to use GPT-Daybreak-Blue for authorized defensive work, including incident response, detection engineering, and malware analysis."

さらに、次の一文もある。

"Time is of the essence, and defenders will need to pursue the steps below at turbo speed."

19 日後、同じ会社が同じ Daybreak に 10 億ドルの補助クレジットを投じ、6 か月で使い切る目標を置いた。

二つの関係を整理するとこうなる。ある文章が「時間がない、Daybreak に急いで申請せよ」と呼びかける。19 日後、同じ会社が 10 億ドルを出して Daybreak への申請を無料にし、6 か月以内に使い切ってほしいと言う。一つのキャンペーンの二段階であって、二台の計測器ではない。

公平のために書いておく。Brockman 氏の文章には、補助、クレジット、金額への言及が一つもない。この点は項目ごとに照合した。つまり二つの文書は、一本の広報文を二つに割ったものではない。とはいえ「同じ広報文ではない」と「独立した二つの計測器である」のあいだには大きな距離がある。独立性に求められるのは文面が重ならないことだけではなく、書き手、目的、利害を共有しないことだ。この二つの文書は書き手が同じ会社で、目的はどちらも同じ申請窓口を指している。

この訂正で、昨日の判断の中核にあった力は失われる。 残るのは、外部の物差し一つと、一社が二つの文体で語った同じ話である。情報がないわけではない。ただし中身は「一つの計測値と一つの主張」であって、「三つの計測値の収束」ではない。

読み方その一:メーカーの支出はメーカーの判断である

三つの数字が独立していないとしても、③の支出そのものに意味があるという読みは残る。まずこの読みから見る。

何を主張しているか:昨日の判断が賭けた読みである。主張は割り引けても、支出は割り引きにくい。6 か月で使い切ると決めた補助は、「この件の切迫性はあと何か月続くか」に会社が値を付けたことに等しく、しかも社内の財務手続きを通っている。

誰が賭けているか:昨日の本誌の判断である。この読みには、ビジネス分析での正当な由来がある。顕示選好、つまり何を言うかではなく、どこにお金を置くかを見るという考え方だ。

証拠の硬さ:この読みを支える二つの事実は、昨日の記録の時点で出典が一つしかなかった。Help Net Security が公式発表を一文ずつ引用した記事である。openai.com の公式ページは本誌の取得経路に 403 を返し、直接の照合はできなかった。昨日の判断は、この点を四つ目の覆す条件として自ら書いていた。「この二つが転載の誤りなら、本条はまるごと崩れる」。

今回の対応:直接の照合を補った。openai.com のページは今回も本誌の取得経路に 403 を返した。この経路では以前から続く取得上の制約で、今日に始まったものではない。ただし二つの事実はどちらも、独立した二本目と三本目の経路で確かめられた。

"The billion is credit against OpenAI's own products, and the company is targeting it to be consumed over the next six months." — Help Net Security

SecurityWeek は完全に独立した記事で「the subsidized six months」と書いた。The Register と TechRadar も、それぞれ「10 億ドルの AI クレジット」を見出しに掲げて報じている。

したがってこの点は崩れず、むしろ格上げされる。 「6 か月」と「現金ではなくクレジット」は、単一の出典から複数経路の一致に変わった。昨日の判断で最も脆かった部分が補強された。

この判断を覆す条件:OpenAI が補助期間終了後の対象組織向け価格を公表し、その価格が恒久的な優遇料金である場合。そうなれば、この 10 億ドルは希少性に値を付けたものではなく、長期プログラムの最初の 6 か月にすぎない。

読み方その二:6 か月はただの暦にすぎない

支出が判断を映すという読みが持ちこたえるなら、次に片付けるべきは、6 か月に判断など込められていないという反論である。

何を主張しているか:最も安上がりで、最初に排除すべき反論である。6 か月は誰かが脅威を判断した結果ではなく、会計年度や補助金の期限、あるいは能力の拡散と無関係な行政上の周期の副産物だ、とする。これが成り立てば、三つ目の数字は顕示選好ではなくただの暦になり、昨日の判断で最も強い項目はまるごと崩れる。

誰が賭けているか:昨日の判断が自ら挙げた三つ目の覆す条件である。その判断は「この項目はまだまったく検証していない、本条で最も脆い箇所だ」と明記していた。

証拠の硬さ:今回調べた結果、この読みは成り立たない。理由は二つある。

第一に、日付がどの明白な行政上の区切りとも合わない。2026 年 9 月 3 日から 6 か月後は 2027 年 3 月に落ちる。暦年の終わりでもなく、米国連邦政府の会計年度の区切り(10 月 1 日)でもない。(ついでに計算の誤りを一つ訂正する。昨日の判断の二つ目の覆す条件は 6 か月後を「約 2026-03」と書いていたが、正しくは 2027-03 である。)

第二に、より硬い論拠がある。この時計を掛けた側が、時計の掛け所を公に語っており、掛け所は暦ではない。 セキュリティのスタートアップ 7AI は、8 月 18 日に Brockman 氏の主張を論じた記事で、時計の掛け所をはっきり書いている。

"Capable open weight models are months from being in everyone's hands, starting with a release at the end of August."

つまりこの界隈の人々は、運営側も論評する側も、窓の長さを名前と日付のある外部の出来事に結び付けていた。8 月末のオープンウェイトの公開である。これは能力の拡散についての判断であって、暦ではない。

そしてその公開は実際に起きた。GLM-5.3 の重みは 8 月 28 日に Hugging Face で公開された。

したがってこの読みは閉じてよい。 閉じた結果は読み方その一を支える。6 か月は会計上の副産物というより、外部の出来事への反応に近い。昨日の判断で最も脆かった項目は、今回崩れなかっただけでなく、有利な方向に動いた。

(正直に書いておくべき限界がある。本稿が示したのは「暦による説明は見つからず、暦でない説明が見つかった」ことであり、「暦である可能性はない」と証明したわけではない。名指しされていない行政上の周期を否定することは、構造的にできない。この読みは大きく下がったのであって、ゼロになったのではない。)

読み方その三:6 か月は期限ではなく、乗り換えのスケジュールである

暦説を退けると、6 か月は何らかの判断だということになる。問題は、何についての判断かだ。

何を主張しているか:6 か月は確かに判断である。ただし判断の対象は「この関門はあと何か月もつか」ではなく、「この組織群をどれだけ早く取り込むか」だ。この読みは、10 億ドルが顕示選好であることは認める。そのうえで、示しているのは販売の速度であって能力の拡散速度ではない、と主張する。

誰が賭けているか:本稿が新たに加えた読みで、昨日の判断は扱っていなかった。

証拠の硬さ:中程度である。証拠は、本稿がもともと別の目的で進めていた作業から出てきた。「6 か月」を同じ種類の制度の中に置いてみる作業である。

AI とクラウドのクレジット制度で、通常の期間を調べた。業界の標準は 12 か月だ。AWS Activate の Founders クレジットは約 12 か月、Portfolio は約 12〜24 か月。Google for Startups のクラウドクレジットは 1 年で失効する。購入した Anthropic のクレジットは購入日から 1 年で失効する。非営利・研究向けのクレジットも 1 年である。6 か月は確かに通常の半分しかない。これで昨日の判断は、それまでまったく持っていなかった分母を得た。向きとしては「この窓は異例に短い」を支える。

ところが二つを並べて比べると、種類の違うものだとわかる。 ここがこの読みの入り口である。

上に挙げた 12 か月は、どれも有効期限の条項だ。出す側が受け手に課す制約で、使い切れなければ失効する。縛られるのは受け手である。

OpenAI のものはそうではない。原文は「the company is targeting it to be consumed over the next six months」で、会社自身が置いた消化目標だ。描いているのは、出す側がこのお金をどれだけ早く使ってほしいかである。「使い切れなければ失効する」期限と、「6 か月以内に使い切ってほしい」目標は、向きが逆の別物だ。前者は制約で、後者は事業目標である。

補助クレジットを早く使ってほしいと会社が望むとき、最も自然な説明は「6 か月後にはこの能力は希少でなくなると判断したから」ではない。「この組織群に 6 か月以内に業務の流れをつないでほしいから」である。対象を見直すと、上下水道、電力網、州・地方政府、地域銀行、非営利団体、オープンソースの保守者が並ぶ。いったん乗り換えコストが沈み込めば、引き抜くのがほぼ不可能になる組織群だ。

ロックインと乗り換えコストの枠組みで見るとわかりやすい。顧客がデータ、業務手順、システム連携を製品に沈め込むと、離れるコストが高くなり、値上げされても離れられなくなる。この枠組みでは、10 億ドルが買っているのは 6 か月分の防御能力ではなく、6 か月分の配線工事の時間である。

この読みは読み方その一と排他ではない。 ここは重要で、「だから切迫性の判断ではない」と読んではならない。二つは同時に成り立ちうる。能力の希少性があと数か月しか続かないと判断したからこそ、希少なうちに組織を取り込む、という順序である。ただし二つは 7 か月目について異なる予測を出し、その違いは見分けられる。

• 切迫性の判断なら、7 か月目の焦点は能力である。関門の外の道がそこまで届くかどうか。
• 乗り換えのスケジュールなら、7 か月目の焦点は請求書である。すでにつながった組織が、初めて見積もりを目にする。

この問いには現時点で答えがない。調べ漏れではなく、どの出典にも書かれていない。 SecurityWeek の記事は同じ空白を独立に指摘し、まったく同じ処方を読者に示している。

"the announcement gives no indication of actual costs"

"be sure you understand the full cost and range after any subsidy before you commit"

ここで本誌自身に不利な記録を一つ付けておく。昨日の判断は、補助期間終了後の価格について「公式発表と三つの転載経路のどれも触れていない」と書き、「7 か月目」を本誌の貢献として扱った。空白は本物で、いまでは四つ目の経路も同じ空白を確認している。ただ、「この空白に気づいた」ことは本誌だけの観察ではない。 あるセキュリティ専門媒体が同じ日に書いており、しかも読者向けの調達上の助言として書いていた。

この路線で同じ形の誤りが出たのは、これで三度目である。昨日の判断そのものが、「この差はどこも測っていない」と書いた古い判断を訂正するために作られたものだった。実際には測っている主体が三つあり、その一つは関門の運営者である。訂正したその日のうちに、昨日の判断は再び「三つの出典はどれも触れていない」と書いた。教訓は「もっと注意する」ではなく、実行できる一つの規則である。「誰も気づいていない/誰も測っていない」という形の文は、書く前に本誌のデータベースと少なくとも一つの外部経路で反証の検索をかける。 この種の文の価値は真であることにすべてがかかっており、偽だったときの代償は論証の一段落まるごとだからだ。

この判断を覆す条件:OpenAI が補助期間終了後の価格を公表し、その価格が対象組織に対する恒久的な優遇料金である場合。そうなれば「配線工事」の読みは収益モデルを失う。あるいは、6 か月後にこれらの組織の継続利用率が極めて低い場合。低い継続利用率は、取り込みに失敗したことを示す。

本稿の判定:この関門が守る能力は二種類あり、期限は一桁違う

ここからが本稿の引き取る問いである。

ここまでの三つの読みは、どれも「6 か月」の意味をめぐって争っていた。だが三つとも、確かめられていない一つの前提を共有している。関門の外の道が到着する時刻は、一つの数字だという前提だ。

一つの数字ではない。しかもそう言っているのは、①の数字を出したのと同じ機関である。

2026 年 7 月 23 日、英国 AI Security Institute と、米国 NIST 傘下の Center for AI Standards and Innovation(CAISI)は、Kimi K3 のサイバー能力に関する予備評価を共同で公表した。Kimi K3 は当時最新のオープンウェイト旗艦モデルである。評価の結論文はこうだ。

"Kimi K3 performs significantly below the most recent frontier cyber-capable models on preliminary cyber evaluations."

数字を分解すると、差の形が見えてくる。数字そのものより、形のほうが重要である。

ほかのオープンウェイトモデルとの比較では、Kimi K3 は進歩している。

"Kimi K3 achieves a score of 32%, whereas GLM-5.2 achieves a score of 24%"(ExploitBench)

フロンティアとの比較で出てきたのは、パーセントの差ではなく、種類としての空振りだった。

"Kimi K3 failed to develop exploits that achieved arbitrary code execution (ACE)"

同じ評価が示した比較対象はこうである。

"the most cyber-capable models achieved ACE on 20/41 samples on average"

この語を先に説明しておく。本節の要になる語だからだ。任意コード実行(arbitrary code execution)とは、攻撃者が標的のマシンに、指定したプログラムを実行させられることを指す。「ここに弱点がある」と「このマシンを制御した」のあいだにある扉である。脆弱性を見つけることは、それを突けることと同じではない。安定して突けることこそが、関門で管理すべき能力である。

この項目で、最新のオープンウェイト旗艦モデルはゼロだった。フロンティアモデルは 41 サンプル中平均 20 件である。長い攻撃の軸も同じ方向を示した。32 段階の攻撃経路でこうなっている。

"Kimi K3 reached step 17 of this 32-step attack path on average, while the most cyber-capable U.S. models reached 28.5 steps on average"

ここまでなら、話は「広い軸では、オープンウェイトはまだ大きく遅れている」に見える。だがこの評価にはもう一文あり、その一文が話全体を裏返す。

同じ評価は、このモデルがすでに誰を破れるかも書いている

同じ 32 段階の攻撃経路で、評価者は平均の段階数とは別の数値も記録していた。

"In one of the 10 attempts, Kimi K3 successfully completes 'The Last Ones' cyber range within the 100M token limit."

10 回のうち 1 回、最後まで到達した。評価者がここから導いた結論は、一字一句こうである。

"Kimi K3 is capable of autonomously attacking small, weakly defended and vulnerable enterprise systems, when directed to do so and given initial network access."

この一文はゆっくり読む必要がある。 書いたのは英米両政府の評価機関で、日付は 7 月 23 日。主語は誰でもダウンロードして自前の設備で動かせるモデルであり、目的語は「防御の弱い小規模な企業システム」である。

したがって広い軸の正しい読み方は「まだ閾値を越えていない」ではない。この軸には閾値が二つあり、このモデルは低いほうをすでに越えている。

• 防御の固い標的(フロンティア級の攻防、41 サンプルで安定して制御権を握る、攻撃の連鎖を最後まで走りきる)に対しては、オープンウェイトはまだ大きく遅れている。ゼロ対 20、17 段階対 28.5 段階である。
• 防御の弱い小規模な組織に対しては、両国政府がいまの時点ですでにできると判定した。条件は、誰かが指示し、最初のネットワーク上の足場を与えることだけである。

(あわせて書いておくべき限界がある。この 1/10 は、1 回あたり 1 億トークンの推論予算のもとで得られた。評価自身、すべての数値は指定した予算のもとでの数値だと明記している。普通はこれほどの予算を投じない。ただ「普通は投じない」と「できない」は別の話で、予算は安くなっていくものの代表である。)

これが本稿の判定であり、冒頭の図を書き換える点である。

三つの数字が収束して見えたのは、三つとも一本の軸に賭け、しかも守る相手を分けない問い方をしていたからだ。AISI の 4〜7 か月は、70 項目の狭い能力評価から換算したものである。Brockman 氏の「数か月」には尺度がない。しかもこの一文は両国政府の評価の三週間後に出ており、同氏はこの評価を引いていない。6 か月の補助が支えるのは Daybreak の Blue と Red の二層である。フロンティア三社がこの種の製品の裏付けに使う評価(CyberGym、CWE-Bench、社内の脆弱性発見率)は、一昨日の夕刊で分解したとおり、どれも狭い軸に収まっている。

だから「この関門はあと何か月もつか」に一つの答えはない。答えは、誰が問うかで変わる。 二つを並べると、見過ごしにくい重なりが現れる。

10 億ドルの補助が名指しで支援する対象は、一字一句「上下水道システム、電力網、州・地方政府、地域銀行、非営利団体、オープンソースプロジェクト」である。両国政府がオープンウェイトモデルにいまの時点で自律的に攻撃できると判定した対象は、一字一句「防御の弱い小規模な企業システム」である。

この二つのリストは、同じ組織群を描いている。

すると 7 か月目の問いは形を変え、元の問いより鋭くなる。もはや主な問いは「クレジットが切れたらいくら払うのか」ではない。補助を受け取るこの組織群にとって、「守る側はフロンティアのサイバー能力を使え、攻める側はまだ使えない」という前提は、補助が始まった時点ですでに成り立っていなかった。 6 か月後に効かなくなるのではない。両国政府の 7 月 23 日の判定に従えば、防御の弱い組織にとってこの前提は、補助の発表の 6 週間前にすでに崩れていた。

10 億ドルに価値がないという意味ではない。守る側がより良い道具を手にすることは、変わらず守る側がより良い道具を手にすることである。意味しているのは、このお金が買うものの説明が間違っているということだ。 買っているのは「攻める側がまだ追いつけない」希少な期間ではない。この組織群にとって、その期間はすでに過ぎている。買っているのは防御の遅れを埋める時間である。これはまったく別のものだ。成果はまったく別の方法で検収すべきで、6 か月後にこれらの組織の検知と修復にかかる時間が動いたかどうかで測ることになる。「関門はあと何か月もつか」を基準に優先順位を組むべきものでも、まったくない。

そしてフロンティア三社のどこも、自社のサイバー向けモデルの広い軸での得点を公表していない。「どの水準の攻撃者から守るのか」で数値を分けて報告している社も一つもない。

承認リストが 2,000 組織に達したいま、「関門」という言葉はまだ正確か

最後に、今回新たに出てきた数字を記録しておく。ここまでの言葉遣いをまとめて引き締める数字である。

同じ発表には、これまで図になかった一文がある。

"Thousands of defenders across 2,000 approved organizations and workspaces already use it, among them cybersecurity companies, defense organizations, and law enforcement agencies."

この一文には、向きの逆な効果が二つある。

第一に、本誌が先週立てたばかりの観察をひっくり返す。 一昨日の記事は、三社の開示の度合いが時とともに一方向に下がっていると測った。Anthropic は 4 月に約 50 組織と五つの名前付きのメンバーを公表し、OpenAI は 6 月に 7 か国を公表したが組織数は出さず、Google は 9 月に計画の名前しか出さなかった。いま OpenAI が数字を出し、しかも三社で最大の数字だった。「一方向に下がる」という系列は成り立たなくなった。

第二に、こちらがより重要だが、2,000 組織は 50 組織とは性質の違うものだ。 50 組織の招待リストは、希少なものの配分である。2,000 組織で、外部からの申請を受け付け、さらに 10 億ドルの補助で人を押し込んでいるリストは、むしろ販路に近い。

この数字の限界ははっきりさせておく。使いすぎやすい数字だからだ。2,000 は Daybreak 全体で承認された組織とワークスペースの数で、セキュリティ企業、国防機関、法執行機関を含む。補助の対象数ではない。しかもこれは分子であって比率ではない。申請数がなければ承認率は計算できず、この数字は三社とも依然としてゼロのままだ。SecurityWeek も独立に、この発表は「goes into few specific details」と指摘している。

それでも分子として読むだけで、問いは変わる。関門の運営者が 10 億ドルを投じ、毎月約 1.67 億ドルの速さで、より多くの人を関門の内側に押し込んでいる。これは希少性を守る行動ではない。 ゲーム理論の見方では、期限付きの支出の約束は、単なる購買ではなく、合図か陣取りであることが多い。この支出の形は陣取りである。代わりの道が到着する前に、導入の実績を積み上げておく動きだ。

そこで、図の上の「これは統制なのか、販売の振り分けなのか」という争いに対する本稿の扱いはこうなる。両方でありうる。しかも順序は、先に統制、後に販路である。 ただしこの一文には現時点で裏付けとなる数値がない。本稿が出す仮説であって、判定ではない。決着をつけられるのは、依然として三社とも出していない承認率である。本稿はこの仮説が成り立つとは主張しない。

では、何を問うべきか

ここまでの検証で、問いの立て方そのものが変わった。最後に、本稿の見立てと、この見立てが誰にとって何を変えるかをまとめる。

本誌の見立て

「この承認リスト制のサイバー関門はあと何か月もつか」という問い方そのものが間違っている。誰にとっても同じ期限がある、と前提しているからだ。両国政府の 7 月 23 日の共同評価が示したのは日付ではなく、攻撃者の強さ順の一覧である。防御の固い標的に対しては、オープンウェイトはまだ大きく遅れている(プログラム実行の制御権を握れたのは 41 件中ゼロ、フロンティアは 41 件中 20 件。32 段階の攻撃経路では平均 17 段階、フロンティアは 28.5 段階)。防御の弱い小規模な組織に対しては、同じ評価の結論文がすでにできると書いている。つまりこの関門は「あと何か月」ではなく、「誰をすでに守っていないか」の問題である。 いま出回っている三つの期限の見積もりは、どれも守る相手を分けていない。互いの裏付けにもならない。共通の単位がなく、しかも二つは同じ会社、同じ申請窓口から 19 日の間隔で出ている。今後「この能力はまだ管理されている」という主張が出るたびに、同じ線で検証できる。まず「誰に対して管理されているのか」を問い、次にその区分で測った者がいるかを見る。

補助を申請する組織のセキュリティ責任者にとって

三つの点が、優先順に変わる。

1. 意味を持つ問いは「この関門はあと何か月もつか」ではなく、「この水準の攻撃者がいま何を手にしているか」になる。 上下水道、地域銀行、地方政府の水準のシステムについては、ダウンロードできるモデルがこの水準の標的を自律的に攻撃できると、両国政府が 7 月の時点で判定している。計画に「攻める側はまだフロンティアの能力を手にしていない」という前提が残っていれば、この前提は 6 か月後の見直しを待たず、いま外れたことになる。 変わるのは優先順位である。より良いモデルを待つことより、攻撃者がどれほど強くても効く対策(ネットワークの分割、最初の足場の締め込み、検知と修復にかかる時間)のほうが先に来る。

2. 7 か月目の価格は、申請前に書面で確定していない限り空白のままである。 この空白は調べ漏れではない。四つの経路のどれにも価格は書かれておらず、そのうち一つのセキュリティ専門媒体は、契約前に補助後の全額の費用を確かめるよう読者に勧めている。確定すべき具体的な項目は、補助期間終了後、同じ利用量・同じ階層(Blue と Red は別々に)での対象組織向け料金と、その料金に期限があるかどうかである。

3. このサービスは調達品目ではなく、途切れうる供給として扱うべきものになる。 関門の内側に置かれたこの種のサイバー向けモデルで、すでに観測された障害はリストの漏洩ではない。2026 年 6 月 12 日、Anthropic の Fable 5 と Mythos 5 は、公開の 3 日後に輸出管理の指令によってすべての利用者への提供を取り消された。焦点は「いつ承認されるか」ではなく、「このモデルが明日使えなくなったとき、防御の連鎖のどこが止まるか」にある。

この分野のルールを設計する側にとって

一昨日の記事が挙げた手立ては、いまも有効で、まだ実行されていない。AISI と CAISI の既存の方法を、三社のサイバー専用モデルに一度当てることである。公開されている差の数値は、どれも汎用モデルどうしを比べたものだからだ。

本稿が補うのはより安い半分である。Kimi K3 の評価は、正しい形をすでに示している。軸ごとに報告し、パーセントだけでなく「閾値を越えたかどうか」を報告する形だ。 「ACE ゼロ対平均 20/41」という一項目が運ぶ情報は、換算したどの月数よりもはるかに多い。今後の差の測定が総合的な月数一つしか公表しなければ、本稿が指摘した分岐はまた隠れてしまう。

この判断を覆す条件

• AISI と CAISI、または同じ尺度の後続評価が「防御の弱いシステムをすでに自律的に攻撃できる」という判定を撤回するか、その条件を狭めて補助の対象組織を含まなくなる場合。 本稿で最も重みを負う一文が消え、「補助対象にとって希少な期間はすでに過ぎた」という部分はまるごと無効になる。本稿が一点で覆される可能性が最も高いのはここである。
• これらの組織(上下水道、地域銀行、地方政府)の防御水準が、評価の「weakly defended」の線を明らかに上回ると測られた場合。 本稿が二つのリストを同じ組織群と読んだ根拠は、二つの文の記述の重なりである。この組織群の防御水準を実際に測ったデータはない。 本稿で最も柔らかい継ぎ目はここである。
• いずれかのオープンウェイトモデルが、同じ尺度の評価でプログラム実行の制御権をゼロでない件数で握るか、32 段階の経路を安定して走りきった場合。 そうなれば「防御の固い標的にはまだ大きく遅れている」という半分も崩れ、二つの閾値は一つに収束する。
• 三社のいずれかが、自社のサイバー専用モデルの長い攻撃・端から端までの軸での得点を公表した場合。 本稿の「広い軸で裏付けを示した社はない」という一文はただちに無効になる。この場合は良い知らせでもある。
• OpenAI が補助期間終了後の価格を公表し、その価格が対象組織に対する恒久的な優遇料金である場合。 「乗り換えのスケジュール」の読みは収益モデルを失い、セキュリティ責任者向けの 2 点目は通常の調達上の問いに格下げになる。
• Brockman 氏の「数か月」に名指しの尺度があり、その尺度が広い軸を含むと示された場合。 ②の数字は単位のない形容から計測値に格上げになり、「三つの数字は足し合わせられない」という節は書き直しが必要になる。
• いずれかの社が承認率を公表した場合。 九割を超えれば、2,000 組織の節で出した「先に統制、後に販路」の仮説が支えを得る。九割を大きく下回り、名前の付いた拒否の事例があれば、「統制」の読みに初めて実証が付く。

本稿は、上の各項目に独自の時間枠を設けない。決着の時期は、AISI と CAISI の測定のペースと、三社それぞれの発表のペースで決まる。本誌が独自に設けた観察の枠は一つだけで、補助そのものである。2026-09-03 から 6 か月、つまり 2027-03-03 前後に、二つの点を確かめる。補助期間終了後の価格が公表されたかどうか、そして補助を受けた組織の継続利用の状況である。この日付は本誌が独自に設けた観察の枠であり、どの当事者が約束した期限でもない。

本稿が上の図のどの枝を書き換えたか:四つ目の読み(能力差の副産物説)は、もともと「承認リスト制の寿命は関門の外の能力がいつ追いつくかで決まり、その差は第三者の政府機関が測っており、縮まっている」と書いていた。本稿は「その差」を、攻撃者の強さ順の一覧に置き換えた。防御の固い標的に対してはまだ大きく遅れている(プログラム実行の制御権は 41 件中ゼロ対 41 件中 20 件、17 段階対 28.5 段階)。防御の弱い小規模な組織に対しては、両国政府がすでに到着したと判定している。判定はこれにより、「縮まりつつある一つの差」から「この関門は相手によって期限が違い、すでに期限が切れた側こそ、10 億ドルの補助が名指しした対象である」に書き換わる。

本記事は日本語版・英語版・中国語版と同一の調査と判断にもとづいて書かれています。出典にはリンクを付け、原文書と報道を区別し、確かめられなかった点を明記しています。

ご意見・ご感想は [email protected] までお寄せください。

この記事が依拠した出典

以下は、この記事が引いた事実の記録から機械的にまとめた出典で、各行はそのうち一つの事実の出どころである。原文を読んだか報道経由かは、本文各段の説明に従う。

• UK AI Security Institute + US Center for AI Standards and Innovation：UK AISI / CAISI — Preliminary Assessment of Kimi K3's Cyber Capabilities
• UK AI Security Institute：AISI — How Far Behind the Frontier are Leading Open Weight Models on Cyber?
• Digital Applied · 2026-08-28：GLM-5.3's Weights Are Out. The Licence Is Not MIT
• X / @kevinsxu · 2026-07-27：x.com/kevinsxu/status/2081808380335681644
• Import AI · 2026-07-20：Import AI 465: Open vs closed gaps; Kimi K3; Demis' big policy plan
• Greg Brockman · 2026-08-16：The Defender's Window
• OpenAI · 2026-09-04：openai.com/index/daybreak-for-frontline-defenders/
• Help Net Security · 2026-09-04：helpnetsecurity.com/2026/09/04/openai-daybreak-frontline-defenders-access/
• Reuters · 2026-09-04：insurancejournal.com/news/national/2026/09/04/884033.htm

他言語版が引いた出典

以下の出典は、この記事の他言語版の本文ではリンクされているが、この版の本文にはないため、ここに補う。

• securityweek.com/openai-pledges-1-billion-to-bring-frontier-ai-to-critical-infra
• blog.7ai.com/openai-put-a-timer-on-the-defenders-window
• anthropic.com/news/fable-mythos-access