トランプのフロンティアAI許可証に書式はない

2025年から2026年にかけて、President Donald Trump政権はAI規制の緩和を約束した一方、ライセンス、公開された閾値、異議申し立て手続きのいずれも設けずに最上位のフロンティアモデルを制限した。AI Security Instituteは、オープンウェイトモデルのサイバー能力が現在、クローズドの最先端モデルにわずか4〜7カ月遅れるだけだとした。2025年の大半では6〜10カ月だった。能力差が縮小する一方で、ワシントンの緊急時スイッチは維持された。

トランプ政権の当局者は同時に二つの設計を追求した。人工知能では、スピード、国家規模、分断された州規則からの解放を重視した。サイバーセキュリティでは、何を把握しているかを開示する前に行動できる行政府の能力を残した。トランプ第1期政権では、省庁横断のルールにより、当局者はセキュリティ上の欠陥を開示するか保持するかを決められ、保持した欠陥は年1回再検討された。このプロセスにはレビュー周期があったが、公表すれば審査対象の能力価値を失わせかねないため、政府は裁量を維持した。

2025年から2026年にかけて、当局者は持続的な規制緩和や透明なライセンス制度ではなく、インシデント主導の行政によるゲートキーピングへと収束した。サイバー性能や国家安全保障上の露出がホワイトハウスの圧力、調達条件、輸出規制、モデル制限を招くまでは、通常のアクセスは広く維持された。安定した閾値、証拠ルール、異議申し立てを欠くまま、統制は中央集権化した。

軽規制の計画は緊急時スイッチを残した

政権のAI Action Planには90件を超える提言が含まれ、バイデン政権期のバイアスとサイバーセキュリティ脅威への対応策を後退させようとした。規制サンドボックス、連邦レベルの統一、「まず試す」姿勢は、競合国が前進するなかで米国がいかに導入を加速できるかに答えるものだった。常設の連邦モデル審査機関は別の問いに答える。政府はいつ導入許可を差し止められるのか。計画はそれを設けなかった。

ホワイトハウスは後に、リリース前審査を含む監督手続きを検討できるAIワーキンググループを探った。提案されたサイバーセキュリティ命令は、政府によるリリース前テストを義務付けず、各機関にAI企業との連携を指示するものだった。当局者は制度的レビューを検討したが、どちらの提案も、公開された閾値、最終評価者、通常の承認経路を備えた運用システムを示してはいない。

行政機関は、すべてのモデルを事前ライセンスの対象にせずとも、特定のリスクを狙い撃ちできる。大半の開発者はそのスイッチに遭遇しないため、イノベーション促進のレトリックも維持できる。だが、遭遇した企業は、どの懸念が措置を発動させたのか、どの機関が判断を担うのか、何の証拠が判断を覆し得るのかを自ら突き止めなければならない。

サイバー評価は待つコストを変えた

Palo Alto Networksは報告した。同社のテストでは、フロンティアAI支援による3週間の分析が、より広い範囲をカバーしながら、1年分の手作業によるペネトレーションテストに匹敵した。AnthropicのClaude Mythos Previewは、2025年4月以前にはどのモデルも完了できなかった専門家レベルのcapture-the-flag課題で、報告上73%の成功率に達した。これらの結果は自律的な現実世界の侵入を裏付けるものではないが、希少な専門家にかつて求められた時間と労力が急激に圧縮されていることを示す。

ベンチマークは、実稼働ネットワークにある防御側、監視スタック、アクセス制約、運用上の不確実性を再現せずとも、脆弱性の発見、ツール利用、多段階の実行を測定できる。GPT-5.5のサイバー評価で、このモデルは多段階の攻撃シミュレーションをエンドツーエンドで完了した2番目のモデルとなった。この評価は、環境に能動的な防御者や防御ツールが欠けていたと注意を促した。統制環境での成功は能力の証拠であり、攻撃キャンペーンの証明ではない。

こうした留保は即時の攻撃的自律性に関する主張を限定するが、Palo Altoはなお1年分の手作業テストを数週間に圧縮した。したがって国家安全保障当局者が負うコストは非対称である。無害な評価に過剰反応すれば企業に目に見えるコストを課す一方、後に規模化する能力への対応を怠れば、平均的なテスト結果をはるかに超える損失を生み得る。「平均すればモデルは失敗した」は、一つの成功した連鎖で足りる場面ではほとんど慰めにならない。

Anthropic CEO Dario Amodeiは、危険な導入を阻止または取り消す権限を備え、サイバー、バイオ、自律性のリスクを対象とする義務的な第三者テストを求めた。彼の提案は判断をリリース前に置き、それを評価者に委ねた。政権は代わりに、すでに保有していた権限を通じて行動した。両者とも、一定の能力には許可が必要だと認める。違いは、衝突が始まる前に誰が閾値を定義するかにある。

エージェントは統制をモデルの下層へ移した

AIエージェントは、モデル出力をツール、認証情報、プロンプトで記述された世界を変える機会と結び付ける。ビジネスソフトウェア企業は、ユーザーを支援するコパイロットから、ユーザーに代わって行動するエージェントへ移行し始めた。アプリケーション層は、モデルがアカウントを開設し、資金を使い、コードを変更し、インフラをデプロイできる場所となった。

Cloudflareは、ユーザーに代わりエージェントがアカウントを作成し、有料サブスクリプションを開始し、ドメインを登録し、アプリケーションをデプロイできるようにした。OpenAIは、長期間にわたるデプロイとテストに向け、Agents SDKへネイティブのサンドボックスとin-distribution harnessを追加した。Microsoftは、開発者がエージェントの挙動を粒度高く一貫して制御できるよう、Agent Control Specificationを導入した。各社は同じ工学的事実に対応した。モデルレベルのルールでは、周囲のアプリケーションだけが実行を許可されている行動を統制できない。

そのため運用者は、エージェントのセキュリティ問題を、より小さな認可判断に分割する。モデルはコマンドを提案できるが、実行場所を決めるのはサンドボックスである。アプリケーションは購入を要求できるが、その認証情報で認可できるかを決めるのは決済システムである。エージェントは脆弱性を特定できるが、対象への接続可否を決めるのはデプロイ環境である。意図が不可逆な行為に変わるのはその境界であり、説明責任もそこに置かれる。

人によるレビューは誤りを捉え、誰が責任を引き受けたか、その人物がどの証拠を見たか、どの行動が境界を越えたかを記録する。人間を外せばスループットは改善し得るが、その場合、周囲のシステムは責任を別の場所に割り当てなければならない。

制度が閾値をつくり、欠員が裁量を生む

OpenAIは、高度システムに対する義務的なサイバーリスク評価を主導するよう、NSAではなくCAISIに求めた。ホワイトハウスは監督ワーキンググループを協議し、ホワイトハウスとAnthropicはAIセキュリティ上の欠陥の深刻度を評価する枠組みを策定していたと報じられた。当局者とモデル企業は、欠けている制度的な層を特定していた。

CAISIとNISTはまた、制度化を難しくする能力上の制約も示した。CAISI Director Chris Fallは4月に連邦テスト機関のトップに就任した後に辞任し、NIST Director Arvind Ramanが暫定トップとなった。NISTは、2024年の資金失効に起因する滞留を受け、National Vulnerability Databaseの作業をCISAの既知悪用カタログに含まれる脆弱性へ絞り込んだ。評価者を指名しても、人員、継続性、証拠基盤を維持する十分な能力がなければ、閾値は再現可能にならない。

Anthropicは実務上の違いに直面した。情報筋によると、Commerce Departmentが同社モデルに輸出規制を課す前、同社には対応まで90分が与えられ、詳細な懸念は示されなかった。正式な評価者も同じ実質判断に達した可能性はあるが、その場合は閾値を特定し、証拠を文書化し、是正措置を明示し、再検討への経路を用意しなければならなかった。

当局者は代わりに、こうした欠落部分を交渉で埋めている。フロンティアラボは希少なモデルを支配するため交渉できる。一方、政府は調達、輸出許可、国家安全保障権限を支配するため措置を強められる。判断はライセンス手続きより早く下り得る。しかし、わずかに異なるモデルで同じ基礎能力を持つ次の企業よりも、目の前の当事者を明確に拘束するにとどまる。

オープンウェイトは恒久的な優位という安心を消す

AI Security Instituteは見いだした。最近のオープンウェイトモデルは、クローズドのフロンティアモデルとのサイバー能力差を縮めている。同研究所は、テストしたオープンモデルの大半が安全対策にほぼ妨げられていなかったとも述べた。ただし、将来の差の大きさは不確実だと注意を促している。

この不確実性は両方向に働く。クローズドモデルの提供者は、アカウント統制を課し、API利用を監視し、アクセスを撤回し、モデルレベルの安全対策を追加できる。オープンウェイトのリリースは、配布後に提供者がそうした統制を適用する能力を低下させる。測定された遅れは、オープンシステムが予定通りにクローズドモデルのすべての能力へ到達することを保証しない。評価、学習の進展、リリースの選択は、その距離をいずれの方向にも動かし得る。

CAISIは、DeepSeek V4 Proが主要な米国モデルから約8カ月遅れているとし、これまでで最も能力の高い中国製AIモデルと評した。ホワイトハウスは、オープンモデルがフロンティア能力に達した時点で監督枠組みを拡大すると見込まれていた。当局者はなお、何が一線を越えるのかを定義しなければならない。モデルのウェイトか、測定された性能か、欠けた安全対策か、ユーザーの身元か、モデルに接続されたインフラか。

同等の能力が提供者のアカウント外へ拡散すると、アクセス制限は封じ込め手段として弱まる。政府はスタックの下層へ移ることで対応できる。米国当局者は、各国向けのNvidiaとAMDの出荷にCommerceの承認を要する世界的なAIチップ輸出規制を提案した。APIキーで能力を封じ込められないとき、国家はそれを可能にしたアクセラレータの出荷に手を伸ばす。

制御可能性が製品の一部になった

フロンティアラボはかつて、モデル品質を主要な差別化要因として売っていた。エージェントのデプロイには、サンドボックス設計、認証情報の権限範囲、監査記録、行動承認、取り消しが加わった。Microsoftのcontrol specificationとOpenAIのagent harnessは、能力と並んでこうした統制をパッケージ化する。その製品は、モデルに何ができるか、誰が止められるか、その境界がどこにあり、どの記録が残るかを特定しなければならない。

連邦調達は別の統制面を加える。GSA guidanceの草案は、プロバイダーにモデルのあらゆる合法的な政府利用を認めるよう要求し、民生向けAI契約の条件を厳格化した。国家安全保障機関は別途、単一ベンダーへの依存を避けるためのルールを検討した。政府はライセンサーではなく買い手として行動するが、十分に大きな買い手は契約適格性を運用要件へ変えられる。

身元統制、ログ、デプロイ境界、評価へのアクセスを維持するプロバイダーは、下流での統制なしにウェイトを公開するプロバイダーよりも、条件付きアクセスを容易に示せる。この優位は依存を生む。企業の買い手と安全保障当局者を安心させる仕組みは、行政府にもプロバイダーの顧客、デプロイ、市場に直接働きかけるレバーを与える。

不文の許可証とは、90分間の電話の後にもなお機能するAPIキーであり、審査を乗り越えて残る調達条項であり、Commerceが港から出すことを認めるチップ出荷である。