何が起きたか
SaferAIは、Z.aiの公開API経由でGLM-5.2を評価しました。結果は、能力面ではGPT-5.5やClaude Opus 4.7の数カ月後方につけている一方、攻撃的サイバーやデュアルユース生物学のタスクに対する拒否がゼロ。対照的にClaude Opus 4.7は拒否が一貫しすぎて、サイバーセキュリティ能力を測るCyberGymを最後まで実行できなかったと報告されています。同じベンチマークは、先月のHugging Face侵害事案に先立つOpenAIの評価でも使われていました。
「能力の最先端」と「リスクの最先端」は同じではない
SaferAI代表のHenry Papadatos氏は「能力のフロンティアはリスクのフロンティアではない。リスクを正しく評価するには緩和策の状態も勘定に入れる必要がある」と述べています。ここが今回の報告の核心です。モデルの強さをベンチマーク順位だけで比べる見方は、実世界の危険度を測る指標としては機能しない、という指摘です。
重みが配られた瞬間、統制は効かなくなる
Z.aiは自社ホスティングのAPIに安全対策を入れることはできます。しかし重みが手元のハードウェアに落ちた瞬間、その保護は強制力を失います。ガードレールの除去、ファインチューニング、システムプロンプトの書き換え——どれも実行側の自由です。オープンウェイトを巡る論争は「性能で競えるか」から「公開後のリスクを社会がどう管理するか」へ移りました。
クローズドモデルも安全ではない
OpenAIやAnthropicは分類器、拒否訓練、APIレベルの制御に頼りますが、脱獄は日常的に成立しています。Far.aiは、xAIのGrok 4.5やGoogle DeepMindのGemini 3.1 Proを含むフロンティアモデルで、ほとんどの有害要求に通用する「ユニバーサル脱獄」を数百件発見しました。ロールプレイ、権威者のなりすまし、偽の会話履歴、追撃プロンプトを組み合わせると防御の弱点が増幅されるという構図です。
有効な打ち手は限られる
Papadatos氏が挙げるのは、学習データから攻撃的サイバー情報を除いて訓練する「事前学習データのフィルタリング」。ただし生物分野では性能を損なわず危険知識を減らせるという研究がある一方、サイバーでは実用性が大きく落ちます。コーディングに強い汎用モデルを、ハッキングに弱いまま作るのは難しく、しかもコーディングはAIの最大の収益源です。そのため各社は用途を絞る方向に動いており、AnthropicのOpus 5はシステムカード上、未コンパイルのソースコードの脆弱性は探せてもコンパイル済みソフトウェアは対象外としています。
もう一段上の緩和策は、公開前の厳密な安全性評価、リスク評価の公表、危険と判断した場合の重み非公開です。SaferAIによれば、Z.aiはGLM-5.2について安全性フレームワークも事前テストの約束もリスク評価も公表しておらず、TechCrunchの問い合わせにも回答はありませんでした。
中国側の論理
先月のWorld AI Conferenceで習近平国家主席はオープンウェイトの重要性を強調しつつ、AIを人間の厳格な統制下に置く必要性にも言及しました。スタンフォードCyber Policy CenterのGraham Webster氏は、中国のAI規制は堅固だが、歴史的に政治的に敏感なコンテンツや偽情報、社会の安定に焦点があり、攻撃的サイバー能力や生物学的悪用といった破滅的リスクには向いてこなかったと指摘します。中国では実名でオンラインに接続するため企業もユーザーも責任を追及できる、という統制への自信もある。政治的話題を拒否させている仕組みを、サイバー攻撃や有害な生物工学の拒否に転用できる余地はある、というのがWebster氏の見立てです。
「防御に役立つ」論への反論
Hugging FaceのClem Delangue CEOは今週、オープンウェイトが防御に効くと投稿し、実際にHugging FaceはGLM-5.2を使って自社を守ったとされます。これに対しPapadatos氏は、攻撃者は既定で防御側より速く新ツールを採用すると反論します。「ランサムウェアグループは1週間で手口を変えられる。病院にはできない」。
💼 事業会社視点：これは自社にどう効くか
受託開発・SIerは、モデル選定が調達要件の穴になります。 オープンウェイトのGLM-5.2はコストとオンプレ要件で魅力的ですが、安全性フレームワーク・事前テスト・リスク評価のいずれも未公表です。金融や医療の顧客がベンダー監査でシステムカードやリスク評価の提出を求め始めれば、「性能は近いのに提出書類が出せない」モデルは提案から落ちます。今のうちに、採用候補モデルの安全文書の有無を選定基準に明文化しておくべきです。
SaaS・EC事業者にとっては、攻撃側の底上げが先に来ます。 フロンティア級の脆弱性発見能力が数カ月遅れで、拒否のかからない形で誰の手元でも動く——これは自社の既知脆弱性の「放置可能期間」が短くなることを意味します。Papadatos氏の言う通り、攻撃者は1週間で手口を変え、守る側の組織はそうはいきません。四半期に一度のペネトレーションテストと月次パッチ運用は、前提が崩れつつあります。
経営者が今週決めるべきは三つです。 ①モデル調達基準に安全性文書の有無を追加する、②社内でのオープンウェイト運用を隔離環境＋全プロンプトのログ保全に限定する、③脆弱性対応SLAを日次〜週次まで縮める予算をセキュリティ部門に付ける。いずれも技術判断ではなく、経営判断です。