英国AI Security Instituteの4〜7カ月の猶予

2026年7月、英国AI Security Instituteは主要なオープンウェイトモデルがサイバータスクでクローズドなフロンティアモデルにわずか4〜7カ月遅れると報告した。2025年の大半における6〜10カ月から縮小した。英国は2025年2月、同研究所の名称から「safety」を外した一方で、現在この介入可能期間の縮小を規定する試験は維持していた。

国家は介入の根拠を絞り込んだ

この改称は研究所の重点をサイバーセキュリティに絞り、バイアスへの懸念を対象から外した。英国は、どの害悪がなお国家の注意を正当化しうるかを選んだ。深刻な安全保障上の脅威は正当な対象として残り、より広範な社会的リスクは同機関の公表された所掌から外れた。

政府とフロンティアラボは、フロンティアAIガバナンスを運用上の権限へと移している。誰がモデルを受け取るのか、どの能力階層を得るのか、何に接続できるのか、そして誰がアクセスを取り消せるのか、である。英国は介入を認める根拠を狭め、プロバイダーは介入を細分化する仕組みを提供する。

改称後のAI Security Instituteは、フロンティアシステムの評価を続けた。所掌を狭めたことで、危険な能力の試験は政治的な転換を生き残り、デプロイメント判断の根拠を生み出した。

認証情報がデプロイメントの実効的な力を決める

OpenAIのFrontierプラットフォームは、確認済みの運用例を示す。OpenAIはこのエージェント管理システムを「限られた顧客」に向けて開始し、共有コンテキスト、オンボーディング、権限境界を備えた。この商用製品は、アクセスシステムの働きを示している。プロバイダーは組織を受け入れ、認証情報を割り当て、システムが到達できる範囲を制限し、その認証情報を変更または取り消す能力を保持する。

プロバイダーは、モデルのチェックポイントを変えずとも、ツールアクセスの付与、企業データへの接続、自律実行の許可によって、デプロイメントの実効的な力を変えられる。顧客に何ができるかは、モデル、受け取る認証情報、環境に左右される。

プロバイダーはアクセス管理によって選択肢を維持する。公的ルールは通常、カテゴリーをあらかじめ定義し、事例をまたいで適用する。これに対しプロバイダーはアカウントごとに判断でき、あるデプロイメントを厳格化する一方で別のものには手を付けずにいられる。認証情報は法令を改正せずに編集でき、公開原則を定義せずに例外を認められる。

サイバーリスクは接続に付随する

ツール、認証情報、到達可能な標的を持つコーディングエージェントは、チャットでセキュリティ上の質問に答えるモデルより大きな露出を生む。このエージェントは、行為を説明する段階から実行を試みる段階へ移れる。2026年3月の分析は、コーディングエージェントがゼロデイの発見を自動化し、エクスプロイト開発の経済性を変えると論じた。脆弱性の探索に必要な労力を減らすからだ。

標的は具体的である。FBI、NSA、その他の米政府機関は、イラン系ハッカーが米国の水道・エネルギーインフラで使われる産業制御機器を標的にしていたと警告した。英国はすでにデータセンターをCritical National Infrastructureに指定しており、サイバーインシデントへの対応で政府との緊密な連携を可能にしていた。サーバー、制御機器、ネットワーク認証情報、電力システムがモデル能力を国家安全保障上の露出へと変える。それらの接続関係が被害範囲を決める。

プロバイダーは、一般的なモデル安全性の宣言では届かない領域でアクセス制限を使える。エージェントをサンドボックスに閉じ込め、ツールを制限し、到達範囲を広げる前に長期タスクで試験できる。OpenAIはすでに、ネイティブのサンドボックス機能とデプロイメント試験ハーネスをAgents SDKに追加している。企業データや外部システムに作用できるエージェントにとって、こうした境界は安全性インフラである。

プロバイダーは立法府より速く動くこともできる。評価によってモデルとツールの危険な相互作用が明らかになれば、プロバイダーはツールを無効化し、顧客グループを絞り、認証情報を取り消せる。深刻なサイバー事案の最中、この速度は役立つ。ただし同時に、どの顧客のアクセスを失わせるかはアカウント運営者の判断に委ねられる。

オープンウェイトはゲートに有効期限を付ける

クローズドモデルのプロバイダーは、AISIの4〜7カ月という間隔を使い、アクセスを段階化し、デプロイメントを監視し、より強力な能力を防御側が管理された形で利用できるようにする。比較可能なウェイトが流通すれば、元のプロバイダーはすべての認証情報、接続、コピーをもはや管理できない。

Google DeepMindによれば、Gemmaのダウンロード数は10億件を超え、開発者は2年間で100,000以上の派生版を公開した。10億ダウンロードは10億の個別運用デプロイメントを意味しない。しかし、ウェイトを複製・改変する開発者は、GoogleがAPIキーを取り消しても閉じられないガバナンスの分岐を生み出す。この規模により、オープンウェイトの拡散はプロバイダー管理の制約に対する構造的な限界となる。

したがって政策立案者は、二つのシステムに向き合う。フロンティアプロバイダーは、契約、認証情報、技術的境界を通じてホスト型APIと企業デプロイメントを管理できる。政府は、プロバイダー段階での取り消しが機能しなくなった後、オープンウェイトにどの義務を課すのかを別途決めなければならない。

エージェントを選ぶインフラ事業者は、モデルが能力の閾値を超えるかだけでなく、そのデプロイメントがどのツール、認証情報、標的を露出させるかも問わなければならない。政府は両方の層にルールを設けられる。プロバイダーと顧客は、二つ目の層を各アカウントで実装する。

取り消しボタンには不服申立ての道筋が必要だ

OpenAIとAnthropicはともに、プロバイダーの判断に対する公的な検証を支持している。OpenAIはCaliforniaにSB 53の強化を求めた。AIエージェントによるハッキングを受けた学習時モニタリング要件も含む。Anthropic CEOのDario Amodeiは、サイバー、生物学、自律性のリスクに対する第三者試験の義務化と、破滅的な危険をもたらすデプロイメントを阻止または取り消す権限を求めた。いずれの立場も、最高リスクの事例では公的権限の役割を残す。

公的監督が重要なのは、同じアクセスシステムが脆弱なネットワークを守ることも、好ましくない顧客を排除することも、一貫性のない例外を隠すこともできるからだ。権限境界そのものは、どの利用が正当かを決めない。公表された適格基準、監査記録、独立したレビュー、不服申立ての道筋があれば、外部者はリスク管理と恣意的な門番行為を区別できる。

説明責任には、プロバイダーの失敗を是正できる公的機関が必要である。これにより、デプロイメントの説明責任はアクセスシステムの内部に置かれる。レビュー担当者は、誰が能力階層を承認したのか、どの証拠が判断を支えたのか、何が取り消しの契機となったのか、誤った拒否をどう覆せるのかを知る必要がある。人間の承認者は、単にループ内に存在するだけでは説明責任を生まない。承認者には権限、記録、そしてノーと言える別の機関が必要だ。

AISIの看板では、SafetyがSecurityになった。その4〜7カ月の差は今、プロバイダーの顧客行、能力階層、ツール切り替え、取り消しボタンが、なお最先端の能力を封じ込められる期間を測っている。