何が公開されたのか
Ciscoは7月30日、オープンモデルの出自を検索できる公開データベース「AI Supply Chain Provenance Explorer」を provenance.aidefense.cisco.com で無料公開しました。収録は約900モデル。各エントリには提供元の本社所在地、指紋照合で構築した系譜グラフ、ライセンス上の制限、ClamAVによるスキャン済みファイル数などが載ります。Cisco製品の契約もアカウントも不要です。
土台は4月に公開されたオープンソースのPythonツールキット「Model Provenance Kit」。当時は45以上のファミリー・20以上の発行元にまたがる約150のベースモデルが対象でしたが、四半期で約6倍に広がった計算になります。
なぜ重要か：タグは「申告」でしかない
Hugging Faceのリポジトリページにはbase_modelタグがあり、親モデルが示されています。ただしこれはアップロード者が打ち込んだ文字列で、Hugging Faceは重みレベルの分析による裏付けを求めていません。つまり業界が親子関係の基礎データとして使っているものは、性善説の申告値です。
そのタグの上に統計が積み上がっています。Nathan LambertとFlorian BrandがInterconnects AIで4月に公開したATOM Reportは、約1,500のメインラインのオープンモデルを追跡し、base_modelタグから派生関係を特定しました（追跡対象に親が存在し累計5ダウンロード超、GGUFとMLXの再アップロードは除外）。この集計で、2026年2月時点の新規派生モデルの69%がAlibabaのQwenを親と申告しています。2024年1月には1%でした。中国系ラボ全体で70%、欧州は4%。3地域の累計追跡ダウンロードは2026年3月までで20.4億に達します。
分布の偏りそのものより重要なのは、この地図の目盛りが検証されていない点です。ベースモデルに脆弱性が開示された直後、取締役会から最初に出る質問は「本番のどのモデルがその弱点を継承しているのか、そしてなぜそう言えるのか」です。申告タグでは後半に答えられません。
指紋照合の中身
Model Provenance Kitは2段階のスコアリングで動きます。第1段は重みを読み込む前にアーキテクチャのメタデータを比較し、それが曖昧な場合に第2段で5つの重みレベル信号を抽出します。Embedding Anchor Similarity（ファインチューニングを生き延びる幾何的関係）、Embedding Norm Distribution（語頻度のパターン）、Norm Layer Fingerprint（微調整で安定する層）、Layer Energy Profile（ネットワーク深さ方向の分布）、Weight-Value Cosine（重み値の直接比較。独立に学習されたモデル同士はほぼ相関ゼロになります）。
Ciscoは自社の111ペアのベンチマークで、しきい値0.70のとき精度96.4%、F1は0.963と報告しています。誤分類は4ペアで、いずれも極端なアーキテクチャ変換を伴うもの。Cisco自身がペア単位の重み比較の原理的限界だと説明しています。
設計判断として興味深いのはトークナイザ信号の扱いです。診断用に計算はするものの、スコアには意図的に入れていません。StableLMとPythiaはどちらもGPT-NeoXのトークナイザを使っており、重みの系譜を共有していなくても「関連あり」と判定されてしまうからです。同じ思想は「Model Provenance Constitution」にも表れており、判断が曖昧なペアは既定で独立扱いにします。誤検知はライセンス違反の告発になるが、見逃しは手動レビューで拾える、という非対称性を踏まえた設計です。
学習時の系譜だけでは足りない
Ciscoは公開ブログで、Explorerが静的な指紋照合と挙動ベースの類似度分析の両方を統合していると説明しています。この二本立てには理由があります。Project VAILのJonah Leshin、Manish Shah、Ian TimmisがUIUCのDaniel Kangと進めた研究は、エンドポイントが健全なまま、重み更新・量子化・ルーティングによって実効的なアイデンティティが変わりうることを示しました。学習時の派生関係を証明しても、実行時に中身が入れ替わる経路は別に塞ぐ必要があります。
セキュリティ面では、Cisco Foundation AIがHugging Faceにアップロードされる全公開ファイルを更新版ClamAVエンジンでスキャンし、ファイル単位のバッジを出しています。ただしHugging Face自身のドキュメントが、okでもinfectedでもないファイルは待機中・スキャン中・エラーのいずれかだと注記しており、ある時点のレビューではスキャン結果が揃っていないファイルが混じりうる点は押さえておく必要があります。
モデルそのものの脆さについては、CiscoのAI脅威インテリジェンス責任者Amy ChangがVB Transform 2026のエージェントセキュリティ・パネルで、15のフラッグシップモデルに対する6,986回のマルチターン攻撃で最大88.3%の成功率が出たと報告しています。「モデルがどんな攻撃を受けやすいかを理解していなければ、そのモデルが動かしているエージェントやアプリケーションの failure point がどこにあるかを説明できません」というのが本人の指摘です。
8月2日という締め切り
8月2日、欧州委員会はGPAIモデル提供者に対するAI Actの執行権限を得ます。制裁金は最大1,500万ユーロまたは全世界売上高の3%のいずれか高い方。しかもオープンモデルを実質的に改変してEU市場に出した��織は、提供者（provider）としての地位を取得しうる立場になります。委員会のガイダンスは、元モデルの3分の1を超える改変コンピュートを一つの目安として扱っています。
Article 53(2)のオープンソース例外も期待ほど広くありません。アクセス・利用・改変・再配布を認める真に自由でオープンなライセンスに加え、重み・アーキテクチャ・利用情報の公開が要求され、重みを公開しているだけでは要件を満たしません。LlamaのコミュニティライセンスにはMAU（月間アクティブユーザー）のしきい値があり、委員会ガイダンスが明示的に名指しする失格要件も含みます。ATOMの集計でLlamaとGemmaは新規派生の約5分の1を占めますが、両者とも委員会の基準では例外から外れる可能性が高いライセンスです。
残る穴
Hugging Faceは2026年春時点で200万を超えるモデルをホストしています。約900という収録数は、境界の外にあるモデルが依然として自己申告タグ頼みであることを意味します。さらにCiscoは、ExplorerがAPIを提供するかを明らかにしていません。APIがなければ、人手で調べることはできてもCIのゲートに組み込むことはできません。
従来型ツールで代替できない点も指摘されています。IDCのシニアリサーチマネージャーSakshi GroverはCSO Onlineで、従来のSCAは依存関係マニフェスト、ライブラリ、コンテナイメージを検査するために設計されたもので、AIワークフローに紐づくリスクの特定にははるかに効果が薄いと述べています。GartnerのディレクターアナリストJaishiv Prakashは同じ媒体で、企業にはレジストリ層でのモデルソース・承認済みバージョン・アクセス・実行時検証といった専用の統制が必要だと語りました。
💼 事業会社視点：これは自社にどう効くか
日本企業にとって効くのは「モデル台帳」の作り替えです。承認記録に載せるべき項目は4つ。指紋で裏付けられた派生関係、スキャン済みファイル数、フィルタ可能な項目としての提供元本社所在地、そして法務が読めるライセンス系譜。今のモデル台帳がbase_modelタグのコピペで埋まっているなら、それは自己申告値を社内統制の根拠にしているのと同じです。
特に自社ホストでオープンモデルを回しているSaaS・ECは、8月2日以降のEU AI Actで立場が変わりえます。EU向けにサービスを出しつつ元モデルの3分の1を超えるコンピュートでファインチューニングしているなら、提供者側の義務が乗る可能性を法務と詰めるべきです。Llama系を使っていて「オープンソースだから例外」と整理しているなら、その前提はArticle 53(2)の基準では通らない公算があります。
受託開発は逆に商機です。納品したモデルの出自と系譜を根拠付きで示せることは、そのまま契約上の差別化になります。まずは本番稼働中のモデルをExplorerで1件ずつ引き、タグの申告と指紋の判定が食い違う箇所を洗い出す——ここは今週中に着手できる作業です。ただしAPIの有無が未公表である以上、CIへの自動組み込みは当面できず、四半期ごとの棚卸しに手作業で挟む運用設計が現実解になります。本社所在地は輸出管理の判断材料の一つにすぎず、所有関係やデプロイ先も審査を左右する点は、そのままリスク台帳の注記に残しておくべきです。