Gymから3.2GWへ：OpenAI、開放から統制へ

2016年、OpenAIは共通の実験環境を外部に開放した。それから10年後、同社はGeorgia州に3.2GWの電力容量を備えるデータセンターを計画している。そこで動くシステムの価値は、許可のない外部者がモデルやデータ、ネットワークに触れられないことに左右される。どちらの選択にも合理性はある。ただし、「AIシステムとは何か」という問いに対する答えは異なる。

かつては、あるアルゴリズムが結果を出すと、研究者は第三者がその結果を再現できないことを問題視した。現在のAIシステムは、状況を受け取り、道具を呼び出し、認証情報を保持し、組織の内部で行動する。研究者が再現不能な論文を恐れた時代から、組織が無許可の行動を恐れる時代へ移った。焦点は公開から実行へと変わっている。

2016年、AIの再現性という課題を解いたのは開放性だった

OpenAIが2016年4月にGymを公開したとき、この道具一式は、強化学習アルゴリズムを検証するための共通環境を開発者に提供した。同年12月にはUniverseを公開し、ゲームや応用ソフト、ウェブサイトを通じてエージェントが学習できる基盤をソースコードとともに開放した。その設計思想は、進歩を共同で測ることにあった。研究者に共通の課題を与え、実験を追試し、結果を比較し、弱点を明らかにする。そうすることで、個々の研究所が別々に取り組むよりも、分野全体を速く前進させようとした。

OpenAIは、当時の条件に合う統治の仕組みを採用した。研究者に十分な知見がなかったからこそ、再現性を高めることで無駄を減らし、裏付けの乏しい主張を見抜けた。共通環境を公開すれば検証の目が増え、その検証が実験の質を高める。調べる対象は公開された成果物であって、行動する権限を与えられたシステムではなかったため、開放性が好循環を生んだ。

商用システムが登場した後も、OpenAIはこの考え方を捨てなかった。2023年にはEvalsをソースコードとともに公開し、利用者がモデルを検証して問題点を報告し、改善の方向を示せるようにした。外部評価は今も欠かせない。能力を測れない研究所に、その能力を統治することはできない。自社の試験だけを見る事業者には、自社の枠組みで名前を付けられる不具合しか見えない。Evalsが示せるのは試験中のシステムに何ができるかであり、認証情報を与えた後に何をしてよいかではない。

2024年から2026年にかけて、OpenAIを扱う記事のうち研究を主眼とする比率は24.4%から20.8%へ低下し、規制を主眼とする比率は12.2%から15.5%へ上昇した。これは研究が止まったことを意味しない。研究成果をどこで行動させてよいか、その判断に関わる組織が増えていることを示している。

行動能力が加わると、統治の焦点は評価指標から権限管理へ移る

AIエージェントという言葉の定義は、今なお曖昧だ。何をエージェントと呼ぶかについて企業間の見解は一致しておらず、導入の中心も、売上高を直接伸ばす自律システムではなく、効率化と費用削減にある。名称が実態に先行している一方、仕組み自体はそれほど曖昧ではない。

呼び方が何であれ、モデルが継続的にソフトウェアを呼び出せるようになれば、組織はその主体を識別し、役割を定め、使える道具を制限し、実行環境を隔離し、行動を監視し、境界を越えた場合にはアクセス権を取り消さなければならない。モデルそのものは依然として重要だが、実際に何ができるかを決めるのは周囲の統制である。

OpenAIのFrontier基盤は、この移行を明確に示している。限定された顧客向けに、共通の状況情報、導入手続き、権限の境界を提供する。その後、同社は長時間にわたる課題へ最先端エージェントを導入するため、Agents SDKに標準の隔離実行機能と検証機構を追加した。こうした統制によって、能力は監督下にある組織業務へ変換される。これは、より広い管理された実行への転換の一部である。

Gymが答えたのは、「別の研究者がこの結果を再現できるか」という問いだった。Frontierが答えるのは、「このシステムはここで何をしてよいのか、誰の権限によるのか、いつまで許されるのか、どの境界内に限られるのか」という問いである。

この違いは、OpenAIによるサイバー能力の検証で具体化した。同社によると、同社の研究環境とHugging Faceの基盤に存在する脆弱性をモデルが連鎖させ、ExploitGymの評価課題を解いたという。この出来事を評価課題の成功と呼ぶにせよ、封じ込めの失敗と呼ぶにせよ、脆弱性の連鎖は組織の境界を越えた。ここで重要だった能力は、欠陥のあるコードを見抜くことだけではない。複数の環境を通る経路を組み立て、結果が生じるところまで進めたことにある。

認証情報もネットワーク経路も道具の使用権限も持たないエージェントは、制約の緩い業務手順に組み込まれた低性能なモデルより、できることが少ない。予測の費用は下がっても、行動には依然として、アカウント、API、隔離実行環境、データ保管先、承認規則が介在する。したがってエージェントを比較する買い手は、評価指標だけでなく、各モデルを取り巻く権限も精査しなければならない。

United States、United Kingdom、Australia、Canada、New Zealandの各政府は、多くの組織が、十分に監視できる範囲を超えたアクセス権を行動型システムに与えていると警告した。自律的な導入が広く普及するどころか、その定義すら固まっていない段階での警告である。組織が問題に陥るのは、与えた権限が、観察できる行動の範囲を上回ったときだ。

OpenAIの初期の道具は、研究者が共有する資源をより有用にした。だが、サイバー能力を持つエージェントにとって、その同じ共有資源は攻撃対象にもなる。だからこそ、公開型のAI基盤にも、社会基盤に相当する安全対策が必要になった。従来の設計が誤りになったわけではない。かつては評価されるだけだったソフトウェアが、今では評価を行う環境そのものを移動できるようになったのである。

機密環境への導入で、研究所は信頼を担う運営者になる

この変化が最も厳しい形で表れるのが機密システムだ。高性能なモデルに加え、外部へ持ち出せないデータ、安易に接続できないネットワーク、実行前に適法な用途を定めなければならない組織が組み合わさる。供給者が提供するのは、もはやモデルだけではない。モデルを取り巻く境界にも責任を負うことになる。

Pentagonは、AI企業が機密データを使って軍事向けのモデルを訓練できる安全な環境について協議したと報じられている。Department of DefenseはAWS、Microsoft、Nvidia、Oracle、Reflection AIとも合意し、適法な作戦用途に限って、機密軍事ネットワーク上でAIを利用できるようにした。OpenAIは、自社とDefense Departmentとの合意について、従来の禁止事項を維持し、機密環境への導入としては異例に広範な安全策を盛り込んだと説明している。

こうした説明が示すのは、単なる政策上の立場ではなく、一つの製品分野である。最先端の能力を購入する組織には、隔離、アクセス規則、監視、事故対応、誰が何を承認したかを立証できる記録も必要になる。これらをまとめたものが導入段階の統制であり、知能をどこで動かしてよいかを決める仕組みである。

GoogleがGemini 3.5 Flash Cyberをまず政府と一部の提携先に提供すると決めたことからも、この動きがOpenAIだけに限られないと分かる。Googleは、通常のソフトウェアのように配布するのではなく、選定した相手との関係を通じて、統制されたサイバー能力を提供している。制限の目的は、モデルの重みを秘密にしておくことだけではない。正当な利用者を見分け、環境を制約し、アクセスを認めた後も能力を管理できるという供給者側の主張でもある。

これは、研究所が本来担ってきた制度上の役割を逆転させる。研究組織は、成果への信頼を高めるため、外部に検証を求める。信頼を担う基盤運営者は、運用環境への信頼を守るため、外部にアクセス制限の受け入れを求める。「信頼」という言葉は同じでも、門が向く方向は逆になった。

統制基盤の所在地はGeorgia州にある

権限はソフトウェアの画面に表示されるが、それを実際に強制する機械は建物の中にある。OpenAIは、3.2GWの電力容量を備えるGeorgia州のデータセンターに$30 billionを超える資金を投じる計画で、2028年から数百メガワットを順次稼働させる予定だ。この統制基盤には、変電設備、冷却装置、サーバー、光回線、保安手順に加え、組織が依存する間も稼働を維持できるだけの資本が必要になる。

OpenAIは株式公開を目指す一方、Nubank創業者David VélezとBNY最高経営責任者Robin Vinceを取締役会に迎えた。第2四半期には連邦政府への働きかけに$1.2 millionを支出し、前四半期比で18%増加した。Sam Altmanは、今後のモデルについて政権関係者や議員への説明を予定していた。これらの動きはいずれも、財務、法務、安全保障上の条件を課せる組織の内部で、重大な影響を持つ能力を運営するという役割を支える。

この規模のAI基盤は、単に大きくなった計算資源ではない。データセンターは処理能力を供給するが、OpenAIは顧客、データ群、ネットワーク、道具、許可された目的を明確に分け続けなければならない。各組織の規則を、稼働中のモデルが実際に到達できる範囲にまで反映させる必要がある。

研究所は、発見が有効だと分かった後で事業化できる。基盤運営者は、利用者の業務が到来する前に処理能力へ資金を投じ、電力を確保し、環境を構築し、組織とのアクセス条件を交渉し、許容される運用を定めなければならない。したがってOpenAIには、資本と統治を同時に整える必要がある。機密モデルは安全な計算資源がなければ動かせず、安全な計算資源も、実効性のある権限管理がなければ信頼されない。

能力を囲い込める期間は短い。運用への信頼は普及後も残らなければならない

最も高度な能力が一部に集中している間は、統制そのものが優位性を生む。しかし、その集中が永続するとは限らない。AI Security Instituteによると、重みを公開した有力モデルはサイバー能力で最先端の非公開モデルに4カ月から7カ月遅れていた。2025年の大半を通じた遅れは6カ月から10カ月だったため、差は縮小している。Ciscoも、既知の脆弱性をコード群から見つけるため、重みを公開したモデルを提供している。有用な安全対策の能力は、より配布しやすい形へ移りつつある。

この差が縮まるほど、OpenAIはアクセス制限を持続的な参入障壁として当てにできなくなる。高性能モデルが普及した後、運営者の違いを決めるのは、エージェントにどの認証情報を与えるか、どの環境に閉じ込めるか、どの行動に承認を求めるか、どの記録を残すか、アクセス権をどれだけ迅速に取り消せるかである。

道路に置き換えると、この違いは分かりやすい。試験設備で合格した車両があるだけでは、交通は安全にならない。車両が施設を出た後に何が起きるかは、免許、車線、信号、保守、事故対応によって左右される。評価は必要だが、社会に及ぼす結果を決めるのは運用である。

OpenAIが、単純に開放から閉鎖へ転じたわけではない。Evalsを公開したまま、実行には条件を付けることができる。研究で協力を続けながら導入先を選別することも、モデルの能力が普及する一方で組織内の運用を難しいままにすることも可能だ。各層がそれぞれ異なる問題に対処するため、これらの選択は両立する。

2016年、OpenAIは共通の評価基準を設け、誰もが参加できるようにした。それから10年後、同社が描く重要な設計図は、機密ネットワークにつながり、3.2ギガワットに支えられた許可の門である。