記事のサマリー（TL;DR）
- 中国Z.aiのGLM-5.2はサイバー・バイオ能力でGPT-5.5／Claude Opus 4.7に数カ月差まで肉薄、だがSaferAIの評価で有害タスク拒否率はゼロ
- Claude Opus 4.7はCyberGymベンチマークを一切完了させなかったほど拒否が徹底されており、クローズドモデルとの安全性格差が拡大中
- オープンウェイトの場合、一度ウェイトを配布すれば安全策を事後に強制できないため、攻撃者が「好きな環境で」モデルを運用できる構造的問題が残る
国内AIセキュリティ担当者・SaaS開発事業者が押さえるべき視点
オープンウェイトAIの能力向上は、日本国内でもローカル推論環境（オンプレ・プライベートクラウド）でのモデル活用を検討している企業にとって直接影響します。GLM-5.2のようなモデルをファインチューニングして業務に組み込む構成では、APIレベルの安全フィルターが機能しないため、入力制御・出力監視をアプリケーション層で実装する必要があります。また、Hugging Faceがのちに詳述するようにオープンウェイトモデルを防御側として活用するユースケースもありますが、SaferAIのHenry Papadatos氏が指摘するように「防御への活用」と「危険な能力のオープン化」は切り分けて議論すべき点です。kintone・Salesforceのような業務SaaSにLLMを接続する構成を検討する際も、モデル選定時に公開されている安全評価（システムカード・リスクアセスメント）の有無を確認することが実務上の判断基準になります。
詳細
オープンウェイトAIがフロンティアモデルに肉薄
政策立案者がOpenAIのGPT-5.6 SolやAnthropicのMythosのようなますます強力なAIシステムをどう規制するか議論する中、中国発のオープンウェイトモデルが業界トップとの差を急速に縮めています。
AI安全性非営利団体SaferAIの新たなレポートによれば、中国Z.aiのオープンウェイトAIモデルGLM-5.2は、サイバーおよびバイオ分野の能力においてOpenAIのGPT-5.5やAnthropicのClaude Opus 4.7からわずか数カ月遅れの水準にあります。
しかし、フロンティア能力と安全対策の間の溝は広がっています。SaferAIがZ.aiの公開APIを通じて実施した評価によると、GLM-5.2はオフェンシブサイバーおよびデュアルユース生物タスクのいずれも一切拒否しませんでした。一方、Claude Opus 4.7は「SaferAIがCyberGymを完了させることすらできないほど一貫して拒否した」と報告されています。
CyberGymはサイバーセキュリティ能力を評価するベンチマークです。OpenAIはこのベンチマークを、先月発生したHugging Faceへの侵害の前段となった評価にも使用していました。
能力が上がるほど高まるリスク
これは一部の批評家が長年警告してきた点の厳しい現実を改めて示しています。オープンウェイトAIモデルは、潜在的な攻撃者の手に高度な能力を持つAIを届ける可能性があり、一度ウェイトをダウンロードされてしまえばその使われ方を管理する手段がありません。
オープンウェイトモデルがフロンティアAIの能力に急速に近づく中、議論の焦点は「競合できるかどうか」から「リリース後のリスクを社会がどう管理するか」へと移りつつあります。
SaferAIのエグゼクティブ・ディレクターであるHenry Papadatos氏はTechCrunchにこう述べています。「能力のフロンティアはリスクのフロンティアとは異なります。リスクを正確に評価するためには、緩和策の状態も考慮しなければなりません。」
Z.aiはホステッドAPIに安全対策を適用できますが、誰かが自分のハードウェア上でウェイトを実行し始めると、その保護は強制力を失います。ユーザーはあらゆる安全策を削除・変更し、モデルをファインチューニングし、システムプロンプトを書き換えることができます。
クローズドモデルの安全対策もすり抜けられている
OpenAIやAnthropicのようなフロンティア開発者は、危険なサイバー・生物支援を制限するために分類器（classifiers）、拒否訓練（refusal training）、APIレベルの制御などの安全策に依存しています。しかしこれらの対策も完璧ではありません。ジェイルブレイクによって、デプロイ済みモデルの保護がルーティン的に突破されています。
AI安全性非営利団体のFar.aiは、xAIのGrok 4.5やGoogle DeepMindのGemini 3.1 Proといったフロンティアモデルで、数百件の「ユニバーサルジェイルブレイク」（ほとんどの有害リクエストに成功する再利用可能な手法）を発見しました。
レポートによれば、攻撃者がロールプレイ、権威なりすまし、偽の会話履歴、フォローアッププロンプトなど複数の操作技術を組み合わせることで、モデルの防御の弱点を増幅させる形でジェイルブレイクが成功しています。
クローズドモデルに適用されている安全策は、オープンウェイトモデルには全く機能しません。オープンウェイトモデルはいかなるインフラでも、いかなる安全策セット（あるいは安全策なし）でも実行できるよう設計されているからです。
Papadatos氏はこう述べています。「目標は明確に、良い能力—安全な能力—は誰もがアクセスできるようにし、悪い能力はオープンソース形式であっても排除しようと努力することであるべきです。」
緩和策の現実：データフィルタリングとサイバーの難しさ
Papadatos氏が有効と指摘した技術の一つに「プレトレーニングデータフィルタリング」があります。これはAI企業が攻撃的なサイバーセキュリティ情報をトレーニングデータから除去し、選別されたデータセットでモデルを訓練する手法です。研究によれば、全体的なモデル性能を損なわずに生物学的危険知識を削減できる可能性があります。
ただしサイバーセキュリティの領域では、データフィルタリングの実用性はかなり低くなります。コーディングに優れながら「ハッカーにもなれる」能力を持たない汎用モデルを訓練するのは難しいためです。コーディングはAIにとって最大の収益源となっているため、開発者は誤用を制限する方法を模索しながらも、能力を向上させ続ける圧力にさらされています。
そのため、フロンティア開発者は他の緩和策に移行しつつあります。一つのアプローチは、モデルが提供するサイバーセキュリティ支援の種類を選択的に制限することです。AnthropicのOpus 5は、モデルのシステムカードによれば、コンパイル前のソースコードの脆弱性は探せますが、コンパイル済みソフトウェアには対応しないとされています。これにより攻撃目的でのOpus 5利用を困難にする意図があります。
その他の対策としては、厳格なデプロイ前安全評価、リスクアセスメントの公開、危険と判断されたシステムのモデルウェイト非公開などが含まれます。GLM-5.2のケースでは、SaferAIはZ.aiが安全フレームワーク、デプロイ前テストのコミットメント、リスクアセスメントのいずれも公開していないと指摘しています。TechCrunchはZ.aiにリリース前の内部または第三者安全評価の実施有無を問い合わせましたが、回答は得られていません。
中国の規制アプローチとその特性
中国のリーダーたちは先進AIのリスクを認識するようになっています。先月の**世界AI会議（World AI Conference）**では、習近平国家主席がオープンウェイトモデルの重要性を強調しつつ、AIを厳格な人間の管理下に置く必要性も訴えました。
スタンフォード・サイバーポリシーセンターで中国のAI政策を研究するGraham Webster氏はTechCrunchに、中国はAIを規制する強固な規制を持つが、それらの規則は歴史的にオフェンシブサイバー能力や生物兵器の悪用といった壊滅的AIリスクよりも、政治的に敏感なコンテンツ、偽情報、社会的安定に焦点を当ててきたと語りました。
「米国のAI思想家は一般的に、実存的・壊滅的なリスクに対してより強い懸念を持っています。中国コミュニティとは対照的です」とWebster氏は述べ、多くの中国の政策研究者は、真に新しいフロンティアリスクが生じるとすれば、まず米国企業が直面するだろうと考えているとも付け加えました。
「中国のシステムは、中国国内でのこれらの技術の利用をコントロールしていると確信しています」とWebster氏は続けました。「中国でオンラインになるのは実名で行うことであり、企業も、ユーザーも責任を問われます。」
Webster氏はまた、モデルプロバイダーが特定の政治的トピックへの関与を拒否するために使うメカニズムを微調整することで、オフェンシブサイバー攻撃の完了や有害な生物工学的アウトカムの提供を拒否させることも理論上は可能だと述べています。また、中国企業は規制当局と水面下で連携する傾向があるため、リリース前にどのような内部テストを実施しているか外から把握するのが難しいとも指摘しました。
「防御ツールとしてのオープンウェイト」論の限界
オープンウェイトAIの支持者は、ウェイトの公開はサイバーセキュリティ上も重要だと主張しています。企業が攻撃に対して自社を守れるようになるからです。実際、HuggingFaceはOpenAIによる侵害への対応にGLM-5.2を活用しました。また、脅威の全容を把握することで将来的な攻撃への準備も整います。
「AIを活用したサイバー攻撃を阻止するのに役立った同じシステムが、今や毎日数百万件のサイバー攻撃から守り、攻撃者が悪用する前に脆弱性を特定・修正するのに役立っています」と、Hugging FaceのCEOであるClem Delangue氏は今週ソーシャルメディアで述べました。
Papadatos氏はこのメリットはしばしば誇張されており、「危険な能力をオープンソース化すべき」という意味にはならないと反論しています。「私が最も重視する点は、危険な能力に誰もが、どこからでも容易にアクセスできるような状況をただ受け入れてはならないということです」と強調し、業界は「良い能力」だけを誰もが容易にアクセスできるようにすることを目指すべきだと訴えました。
「デフォルトでは攻撃者は守る側よりも早く新しいツールを採用します。たとえば、ランサムウェアグループは一週間で手法を変えられます。しかし、病院にはそれができません。」