何が起きたか
Anthropicは、米政府による輸出管理指令を受け、新モデル「Claude Fable 5」と一般非公開モデル「Mythos 5」をオフラインにしました。指令は外国籍ユーザーによる利用を一律で禁じる内容で、同社は金曜日からホワイトハウスと協議を続けているものの、再開合意には至っていません。
Mythosは元々、「Project Glasswing」と呼ばれる選定済みコンソーシアム向けに先行公開され、Mythos 5は先週この枠内で限定提供されました。Fable 5は一般公開されたものの、生物学・サイバーセキュリティ関連の質問にはブロックが設定されていました。トランプ政権はFable 5のガードレールを無効化するとMythos 5の能力にフルアクセスできるとみなし、安全保障上のリスクと判断したとされています。
なぜ「Anthropicだけ」を止めても意味が薄いのか
論点は単一企業の規制ではありません。OpenAIも4月中旬にサイバーセキュリティ特化モデルを限定公開し、戦略拡張を発表済みです。Bruce Schneier氏(Harvard)らは、同等能力は他社や開源モデルでも近い将来登場するか既に保持されている可能性が高いと指摘。Chris Wysopal氏(Veracode)は、既存モデルでも洗練されたハーネス(実行基盤)があれば高度な脆弱性発見・エクスプロイト開発に十分使えると述べています。
二重用途(デュアルユース)という構造
Anthropic自身、先週のブログで高度AIの二重用途性を認めました。防御者が脆弱性を塞ぐためのクエリは、攻撃者の手にあれば武器になります。日曜日には大規模なサイバーセキュリティ専門家グループが、輸出規制は的外れだとする公開書簡を提出。論点は「リスクの有無」ではなく、「特定の規制が実効的にリスクを下げるのか、それとも安全側の人々の足だけを引っ張るのか」へと移っています。
💼 事業会社視点：これは自社にどう効くか
日本の事業会社が直視すべき2つの現実
第一に、サプライチェーンとしての米国製AIの不確実性が露呈しました。 Anthropic APIに業務プロセスを組み込んでいる国内SaaS・受託開発各社は、地政学的指令一つで「外国籍ユーザー利用禁止」=実質日本撤退が起こり得る前提に立つ必要があります。日本法人の社員、海外拠点、グローバル顧客を抱える企業は、特定モデルへのハードコーディングを避け、OpenAI・Google・国産モデル・開源モデルへの切り替えを48時間以内に行える設計(プロンプト抽象化層、評価セット、フォールバック)を持つことが事業継続要件になります。
第二に、6〜12カ月で「攻撃支援AI」は普通の市販品になります。 専門家は同等能力が開源モデル+高度プロンプトで再現されると見ています。事業会社の役員が今着手すべきは、SOC・脆弱性管理の予算をAI攻撃前提に組み替えることです。EC・金融・医療など個人情報を抱える企業は、自動化された脆弱性スキャンと侵入試験を「年1回の監査」から「常時運用」に切り替え、AI赤チームを内製または委託で確保する判断を年内に下すべきです。規制が間に合うのを待つ余裕はありません。
