「事前検死」という方法
論文の手法は、大規模なAI絡みのテロがすでに起きたと想定し、開発・配布・利用・防御・検出の各段階を逆向きに辿って、事件を可能にした選択と阻止できる地点を探すことだ。「大規模」は死者・重傷者50人以上または損害10億ドル以上（米州法SB 53・RAISE・SB 315の水準）、「AI絡み」とは計画や実行にAIが決定的な役割を果たし、AI無しでは成果が上がらなかったと考えられる場合を指す。実行するのは人間であり、自律システムではない。
著者らの中心の主張は二つ。第一に、ライフサイクルの各段階の特定の選択が、悪用への壁を予見可能な形で上下すること。第二に、事件が起きるなら、その道筋は「最先端の防御を備えない閉じた重みのモデル」か「下流での改変に耐えない開いた重みのモデル」のどちらかを辿るだろうということだ。
9つの予測
予測はそれぞれ独立に反証できる形で並ぶ。閉じた重みなら、(1)入出力と軌跡の安全分類器、(2)安全のための学習と調整、(3)利用者の監視と制限の各仕組みが2026年夏時点の最先端を下回っていた。開いた重みなら、(4)事前学習データから危険物を除去しておらず、改変に強い防御も最先端を下回っていた、(5)実行者は学部レベルの情報科学と大学院レベルの専門知識を持つ、(6)第三者による改変への侵入試験を受けていない、のいずれかに合致する。
重みの開閉を問わない予測も三つある。(7)開発者は有害な能力を最小化するより役に立つ能力を優先し、場合によっては有害能力を宣伝に使った。(8)配布前に第三者による危険能力の評価を受けていない。そして冒頭の二つの道筋そのものが第1の予測だ。
警告される具体例
論文は現実の観察も挙げる。英国のAISIは検査したすべての閉じた重みのシステムに普遍的なジェイルブレイクを見つけた。ある評価では、約4,400ドルで公開重みのモデルの危険な要求への拒否率が90%から2〜3%まで下がった。大手模型カードの監査では、強化の無作為比較試験を報告していたのは1社だけだった。配布プラットフォームには14,000を超える「検閲なし」「防御除去」版の開いた重みのモデルが並び、2020年以降、テロ・サイバー犯罪・画像侵害でのAI悪用の報道は約10倍に増えたという。
その前にできること
推奨は段階ごとに整理される。開発者は最先端の防御を実装し、能力を削る「安全コスト」を受け入れ、第三者評価を受けて公表する。閉じた重みの開発者は層になった防御と利用者監視を完全に実装し、調整APIを開いた重みと同等の攻撃面として扱う。開いた重みの開発者は事前学習データの除去など上流で耐える防御に投資し、二重用途の能力は審査つきのアクセスで提供する。配布基盤は要求があり次第ではなく自ら防御除去版を取り下げ、政策当局は防御と評価の開示を義務化し、脅威情報の共有枠組みを作る。
この記事を閉じる3つの問い
- 防ぐべき水準を「死者50人・損害10億ドル」と数値で置いたとき、日本の制度はどこに同じ物差しを持つのか。
- 開いた重みの改変に耐える防御は技術的にどこまで可能で、誰がその研究に金を出すのか。
- 第三者評価の義務化は、速度を競う開発者にどのような競争の条件を作り直すのか。