何が起きたか
Abliteration.aiは、オープンウェイトのAIモデルからガードレールと拒否挙動を取り除いた改変版をホスティングするスタートアップです。社名の由来である「abliteration」は、モデルが有害な要求を拒む傾向そのものを除去する技術を指します。提供モデルには、Z.aiが最近リリースしたGLM-5.3の改変版が含まれ、Webブラウザからの利用とAPI経由のアクセスが可能です。
同社はソーシャルメディア上で、目的は「他のモデルが拒否する攻撃的サイバー、レッドチーミング、エージェントテストの作業」を可能にすることだと述べています。設立は昨年末、正式な法人化は3月。共同創業者のDevon氏（別の企業に在職中のため、TechCrunchは本人の要請で姓を伏せています）によれば、ベンチャーキャピタルからの調達はゼロで、顧客収益のみで大手クラウドプロバイダー複数社との契約を賄っているといいます。現在VCとの協議は進行中とのことです。
TechCrunchが実際に無料アカウントを作成し、ブラウザからGLM-5.3の改変版に問いかけたところ、Chromeの保存パスワードを窃取するPythonプログラムの作成にも、危険な人体病原体を自宅で培養するプロトコルの提示にも、モデルは応じました。
なぜ重要か──「技術の新しさ」ではなく「摩擦の消失」
見落としてはいけないのは、abliterationという技術自体はまったく新しくない、という点です。オープンソースコミュニティでは何年も前から研究者や開発者がオープンウェイトモデルの拒否挙動を除去しており、Hugging Faceには数千のabliterated modelが公開されています。
今回の変化は技術ではなく流通です。これまでこの手のモデルを使うには、事前にabliterateされたモデルをダウンロードし、自前の計算資源を確保する必要がありました。Abliteration.aiはその手間を丸ごと肩代わりし、地下的なオープンソース実践を「クレジットカードを登録すればブラウザから叩けるサービス」に変えました。能力の境界が動いたのではなく、そこに到達するコストがほぼゼロになった。セキュリティ上、この差は決定的です。
二つの主張がぶつかっている
AIセーフティ非営利団体CivAIのリサーチ責任者Andrew Yoon氏は、abliterationとは「モデルを社会病質者（ソシオパス）にするような改変」だと批判します。「文字どおり何でも入力でき、モデルはそれに従う。AIモデルのガードレールを外すという話は、まさにこれのことだ」「改変されたabliterated modelが近い将来、実害に使われるようになると私は予想している」。同氏は最近の論考で、政府がプロバイダーに有害なサイバー・生物兵器関連の活動を検知・遮断する分類器の運用を義務づけること、そして先端GPUへの直接アクセスを貸し出す企業に顧客の本人確認を求めることを提案し、「危険な悪用が疑われる理由がある場合はアクセスを拒否する」べきだとしています。
Devon氏の反論は「防御側の武装解除を避ける」というものです。「abliterated modelの本質は、悪意ある行為者をモデル化できることだ。利点は、防御側が最速で動けるようになること。……逆説的だが、サイバーセキュリティを加速させると思う」。顧客には英国・欧州の初期段階のレッドチーミング企業が複数含まれ、銀行や航空会社などの重要インフラ企業のセキュリティ改善を担っているといいます。「主要顧客の一社は銀行のエージェントをレッドチームしているが、今日の素のモデルではそれができない」。
同時に、彼自身も線引きに迷っています。「誰かがとんでもないことをやった責任者にはなりたくない。……企業としての責任をどこで線引きするか。まだ定義の途中だ」。同社は顧客が独自のガードレールを追加できるモデレーション層を提供し、プラットフォーム側にもわずかな制限を残しています（TechCrunchのテストでは自殺の手段は提示しませんでした）。Devon氏は暴力関連の抑止を追加開発中としています。一方でKYCは、顧客が使ったクレジットカードを記録する以上のものを導入しておらず、誰にアクセスを与えるかは「まだ解いている最中の問題」だと認めています。
現場のレッドチーマーの評価は割れている
興味深いのは、恩恵を受けるはずの当事者たちの温度差です。複数のエージェント・レッドチーミング企業は「悪意ある行為者はすでに自前でモデルをabliterateしている」という点では一致しますが、防御業務にとってどれほど重要かでは意見が分かれます。
FabraixのCEO、Ahmed Aly氏は、自社はもともとガードレールの少ないオープンウェイトモデルのファインチューニングに依存しており、abliterationはモデルの知識と能力の一部も削いでしまうと指摘します。「本当に実害──サイバーでも生物でも���─を起こそうとするなら、それほど有効ではない」。Safe Intelligenceのチーフテクノロジスト、Alessio Lomuscio氏は能力低下の可能性は認めつつ、abliterated modelはシステムのストレステストに有用な挙動を引き出せると見ています。Armadinの創業者David Slater氏は、自社のプロセスには組み込んでいないとしたうえで、その理由を「直近の世代までのオープンウェイトモデルは、脱獄させて思いどおりに動かすのがさほど難しくなかった」からだと説明します（同社はabliterationを研究中）。
そのSlater氏が、この件の本質を突く論点を提示しています。「これは非公開の場で起きることになる。水面下で起きる。公開の場で起きることが、研究者に道具を与える。実際のフロンティアがどこにあるかを把握し、害を理解する力を与えてくれる」。TechCrunchが取材した専門家の多くは、この流れ自体は止められないと考えており、論点は「政府がどこで介入しうるか」に移っています。
💼 事業会社視点：これは自社にどう効くか
日本企業にとっての含意は「攻撃側の前提が変わった」ことです。従来、AI悪用リスクの議論は「フロンティアモデルの拒否機能が破られるか」に集中していましたが、Hugging Faceに数千のabliterated modelがあり、さらにブラウザとAPIで即座に使えるサービスまで登場した以上、攻撃者にとっての参入コストはもはや障壁ではありません。とりわけECとSaaSは直撃です。TechCrunchのテストでChrome保存パスワードの窃取コードが生成された事実は、資格情報リスト型攻撃やアカウント乗っ取りの自動化が一段安くなることを意味します。役員が今日確認すべきは、MFA必須化の適用範囲、ボット検知の閾値、そしてカスタマーサポート窓口のソーシャルエンジニアリング耐性です。
より注意すべきはAIエージェントを顧客接点に載せている企業です。Devon氏の顧客に「銀行のエージェントをレッドチームする企業」が含まれるという事実は、裏返せば、素のモデルではエージェントの脆弱性を十分にテストできないということです。自社エージェントの安全性を「モデルベンダーのガードレール」に依存している構成は、攻撃側がガードレールなしで攻めてくる以上、非対称です。プロンプトインジェクションと権限昇格を含むエージェント特化のレッドチーム調達を、次期予算の検討対象に入れるべき段階に来ています。
受託開発・SIerには別の論点があります。顧客のセキュリティ検証にabliterated modelを使うことの法務・契約上の整理は、国内ではほぼ手つかずです。Yoon氏が提案する分類器義務化やGPU貸出時の本人確認が各国で制度化されれば、AI利用ポリシーの前提も変わります。今のうちに「自社は使うのか、使わないのか、使うなら誰の承認で」を明文化しておくことが、後追いのコストを下げます。