オープンウェイトAIがフロンティアに接近、安全対策の公開状況が選定基準になる

モデルの賢さだけを見て選べばいい、と思うかもしれない。だが同じ賢さでも、安全対策の有無まで含めて比べると話は変わってくる。

AI安全性を専門とする非営利団体SaferAIの新しい報告によると、中国Z.aiのオープンウェイトモデル「GLM-5.2」は、サイバー攻撃や生物兵器転用が可能な能力の面で、OpenAIのGPT-5.5やAnthropicのClaude Opus 4.7に数か月差まで迫っているという（TechCrunchの報道）。

差は能力ではなく、対応の側にある。SaferAIがZ.aiの公開APIを通じて実施した評価では、GLM-5.2は与えられた攻撃的サイバー・両用生物タスクのいずれも拒否しなかった。一方Claude Opus 4.7は拒否が一貫していたため、サイバー能力評価用のベンチマークCyberGymを完走できなかったという。SaferAI代表のHenry Papadatos氏は「能力のフロンティアは、リスクのフロンティアではない」と述べている。対策の状態まで合わせて見なければ、リスクは正しく測れないという指摘だ。

オープンウェイトモデルが厄介なのは、提供元がAPI経由でどれだけ対策をかけても、重みを自分のサーバーに落として動かした瞬間、その対策が外れてしまう点にある。今回、Z.aiは安全枠組みや事前評価のコミットメント、リスク評価のいずれも公開していないとSaferAIは指摘する。

対抗策として研究が進むのが、学習データの段階で危険な情報を取り除く「事前学習データフィルタリング」である。Anthropicの検証では、CBRN(化学・生物・放射性物質・核)に関する有害情報を学習前に除去しても、モデル全体の性能はほとんど落ちないことが確認されている（Anthropic, Enhancing Model Safety through Pretraining Data Filtering）。重みを改変されても安全対策が崩れにくい「改変耐性」を狙う研究も進んでおり、既存の安全ファインチューニングは数十ステップ規模の追加学習で崩れてしまうという課題が指摘されている（Deep Ignorance: Filtering Pretraining Data Builds Tamper-Resistant Safeguards into Open-Weight LLMs）。ただしサイバー領域ではこの手法が効きにくい。コーディング能力と、攻撃的なコード生成の能力を、学習データの段階で切り分けるのが難しいからだ。

会議記録や社内文書の整理にAIを使う場面でも、精度だけを見てモデルを選ぶ流れは今後さらに一般的になっていくだろう。だが精度が並んだときに問われるのは、そのモデルをどこで動かしているかという点だ。提供元のAPIを使うのか、重みを自前の環境に置いて動かすのか。前者なら提供元の安全対策がかかった状態で使えるが、後者は対策込みで持ち出す形になり、対策自体が外れる。業務ツールを選ぶ際、安全枠組みや事前評価を公開しているかどうかは、精度の比較表には出てこない確認事項として残っている。

あわせて読みたい： 「サーバーに残さない、AIに学習させない」――AIレコーダー「Oxtak」開発者に聞く録音データの安全性 / Sakana AI、日本語特化LLM「Sakana Namazu」提供開始 日本語の業務利用に効くか