Anthropic、Google、OpenAIがホワイトハウス主導の自主的AI規則テストに参加

ワシントンが最先端AIのリリースに対する強制的な承認制度を回避すると約束するなか、Anthropic、Google、OpenAIは8月4日、新たな規制実験に参加した。

ホワイトハウスでの会合には、これらの企業に加え、Meta、Nvidia、その他の業界代表者が集まった。政府当局者は、先進モデルを公開する前に政府が自主的にテストするための規則を提示した。協議は、ライセンス制度を設けずにこのテストプロセスを創設した6月の大統領令に続くものだ。

したがって、Anthropic、Google、OpenAIをめぐる協議は、単なる政策協議にとどまらなかった。モデル公開における事実上の政府許可に変質させず、国家安全保障上のリスクを自主的な協力で管理できるかを試す場となった。

主要モデルのソフトウェア脆弱性発見能力や、複雑なサイバー作戦を支援する能力が高まるなか、この緊張関係は強まっている。また、この枠組みには大きな欠落もある。現在のアプローチはクローズドモデルに焦点を当て、ダウンロード可能なオープンウェイトのシステムを対象外としている。

この区別は、米国および海外の開発者を含め、モデルウェイトを公開する企業に有利に働く。一方で、モデルの管理を維持し、アクセスを制限し、技術的に公開前テストへ対応できるラボには、より大きな審査圧力がかかる。

この会合は本記事の公開予定日より前に予定されていた。その後の報道により、クローズドモデルとオープンウェイトモデルの扱いを含む結果が明らかになった。会合の事前展望として始まった話は、ワシントンが最先端AIをどのように規制しようとしているのかを試す局面へと変わった。

Anthropic、Google、OpenAIに求められた検討事項

8月4日の会合は、包括的な大統領令を、より具体的ながら依然として未公表のモデルテスト枠組みに落とし込んだ。

ホワイトハウスは主要なAI企業および半導体企業の代表者をワシントンに招き、政府が提案するテスト規則を検討した。出席者にはAnthropic、Google、OpenAI、Meta、Nvidiaが含まれていたと報じられている。

この枠組みは、一般AI能力の最前線に近いシステムを意味する最先端モデルを対象とする。政府の注目は、高度なサイバーセキュリティ能力やハッキング能力を示すモデルに集中している。

Donald Trump大統領は、June AI orderを通じて、このプロセスの基盤を整備した。同令は連邦機関に対し、モデルテストについて米国の開発者との自主的な合意を求めるよう指示している。

参加する機関には、商務省、国防総省、国土安全保障省、財務省が含まれる。この命令はまた、評価の策定と特定されたリスクへの対応において、国家安全保障機関にも役割を与えている。

このプロセスでは、対象モデルを公開する前に、参加開発者がアクセスを提供するよう求める。政府の専門家はその後、重要インフラや国家安全保障を脅かし得る能力を評価できる。

ただし、この命令には重要な境界線がある。このプロセスは、AIリリースに対する強制的なライセンス、事前承認、政府許可を認めるものではないとしている。

この文言は、政権が両立させようとしている二つの立場を反映している。当局者は危険な能力へのより早期のアクセスを望む一方で、米国の開発者を減速させかねない広範な規制制度には反対している。

その結果生まれた仕組みは、協力に大きく依存する。開発者は参加し、ほぼ完成したモデルを共有し、リリース日への正式な主導権を手放すことなく政府の所見を検討できる。

この設計は、従来の製品承認制度とは異なる。政府は公開証明書を発行せず、各リリースを正式に承認または拒否することもない。

この会合では、公開が近いモデルを提出するよう企業に促したと報じられている。このアプローチにより、評価者は未完成の研究段階のチェックポイントよりも実態に即した製品を検証できる。

一方で、是正に使える時間はほとんど残らない。公開直前に深刻な脆弱性が見つかれば、企業は展開を遅らせ、アクセスを制限し、または当局者と代替案を交渉せざるを得なくなる可能性がある。

ホワイトハウスは完全な枠組みを公表していない。そのため、対象基準、評価手法、アクセス管理、意見対立を解決する手順について、独立した検証は制約される。

サイバーセキュリティのベンチマークの一部が機密扱いであることも、別の制約を加える。公表すれば、根本的な危険に対処せず、テストを通過することだけを狙って敵対者がモデルを訓練する助けになり得る。

しかし、秘密主義は外部からの説明責任も難しくする。研究者、顧客、立法者は、競合する企業すべてに同じ基準が適用されているかを容易には判断できない。

したがって、8月の会合はAI監督の実務環境を変えた。参加が法的には自主的であるとしても、ワシントンには特定の最先端モデルのリリースを検討する明確な経路が整った。

クローズドモデルが規制負担を担う理由

中核となるトレードオフは、適用範囲の不均衡にある。企業の管理下にとどまるモデルは審査を受ける一方、ダウンロード可能なウェイトは当初の枠組みから逃れる。

会合後の報道によると、この枠組みは、国家安全保障に関係する能力を持つクローズドかつ最先端のモデルを対象となる最先端モデルと定義している。

クローズドモデルでは、訓練済みパラメータが開発者の管理下に置かれる。顧客は通常、アプリケーションまたはAPIを通じてアクセスし、これによりソフトウェアはリモートでモデルと通信できる。

オープンウェイトモデルでは、訓練済みパラメータがダウンロード可能になる。ユーザーは、元の開発者のホスト型サービスに依存せず、モデルを実行、変更、ファインチューニング、再配布できる。

オープンウェイトは、オープンソースソフトウェアと同一ではない。リリースではモデルパラメータを提供していても、完全な再現に必要な訓練データ、開発コード、その他の資料を公開しない場合がある。

この違いは重要だ。クローズドモデルの提供者はアクセスを監視し、安全対策を更新し、アカウントを停止し、モデルを撤回できる。一方、オープンウェイトのリリースは配布後の封じ込めが難しくなる。

こうした違いがあるにもかかわらず、ホワイトハウスの枠組みは現在、オープンモデルを審査対象から除外している。会合後に報じられたFramework detailsでは、対象範囲は先進的なクローズドシステムに限定されると説明されている。

当局者はまた、オープンウェイトモデルは自主的な安全性テストのプロセスを受けないと企業に伝えたとも報じられている。この方針は、オープンな開発への政権の支持と、米国のイノベーションを制限することへの懸念を反映している。

この免除は、安全性に関する一見した矛盾を生み出す。開発者が今なお更新・制限できるシステムは公開前の精査を受ける一方、誰でもダウンロードして改変できるシステムは同じプロセスを免れる。

実務上の説明はある。政府は、クローズドサービスを運営する米国企業とはアクセスについて交渉できる。しかし、海外の研究所が公開したモデルに対して使える手段は少ない。

オープンモデルは、研究、カスタマイズ、ローカル環境での展開も支える。大学や小規模企業は、リモートプロバイダーへの各リクエストに料金を支払うことなく研究できる。

OpenAIは、クローズドシステムとオープンウェイトシステムは補完的な目的を果たすと主張している。同社のopen-weight positionは、オープンなリリースが研究を支援し、アクセスを広げ、米国のAIリーダーシップを強化し得るとしている。

MetaとNvidiaも同様に、時期尚早な規制に対してオープンモデルを擁護してきた。両社の立場は、特に急速に進歩する中国の研究所に対し、オープン性を経済的・戦略的な優位性として捉えている。

AnthropicとGoogleは、最も高性能なリリースをめぐって、より慎重な公的立場を取っている。両社は、深刻なサイバーリスクを伴うシステムに対する評価、アクセス制御、安全対策を強調してきた。

この政策上の空白が特に重要なのは、モデルのアーキテクチャが能力を決定するわけではないためだ。オープンウェイトモデルがクローズドモデルの性能に近づくこともあれば、クローズド製品が意味のあるリスク基準を下回ることもある。

したがって、持続可能な枠組みには能力に基づく発動基準が必要だ。配布方法が常に国家安全保障上のリスクを予測できるとは想定できない。

政府の現在のアプローチは、能力とリリース構造の両方を用いているように見える。対象となるシステムは、クローズドで先進的であり、指定された安全保障上の懸念に関連していなければならないと報じられている。

この組み合わせは、審査対象となるモデルの数を絞り込む。また、通常の業務ツールや小規模な研究システムが連邦政府のテストプロセスに巻き込まれる可能性も低くする。

しかし、政策立案者が意図しないインセンティブも生じる。開発者は、クローズドな展開に伴う期待を避けるため、部分的にはオープンウェイトのリリースを選好する可能性がある。

企業は、あるモデルが最先端に該当するかどうかについても議論するかもしれない。公開された基準がなければ、そのラベルは客観的な技術的結論ではなく、交渉の対象になり得る。

Anthropic、Google、OpenAIの会合は、この不均衡を解消しなかった。能力の進展に応じて当局者がオープンモデルを再検討する余地を残しつつ、この区別を正式なものにした。

自主的テストもリリース判断を左右し得る

政府が契約、機密情報へのアクセス、国家安全保障上の関係を握る場合、自主的な枠組みでも大きな圧力を及ぼし得る。

「自主的」という言葉は、企業が完全な独立性を維持することを示唆する。実際には、政府テストを拒否すれば、商業面、政治面、評判面での影響を伴う可能性がある。

最先端AIラボは、連邦政府との契約、研究パートナーシップ、セキュリティクリアランス、政府の専門知識へのアクセスを求めている。また、政策立案者から信頼できる米国のインフラ提供者と見なされることも望んでいる。

高度なサイバー能力が特定された後にテストを拒む企業は、厳しい疑問を招くだろう。企業顧客は、なぜ開発者が利用可能な政府評価を拒んだのかと問う可能性がある。

当局者も調達判断を見直し得る。公的なリリースを正式に阻止しなくても、機微なシステムでの製品利用を制限するかもしれない。

Anthropicとワシントンの最近の関係は、こうした圧力を例示している。同社は以前、軍事利用の制限や、Claudeへの連邦政府のアクセスをめぐり政権と対立した。

Anthropicは、自社技術を完全自律型兵器や国内監視に利用することに反対した。この対立は、政府による同社製品の利用を制限しようとする動きへとエスカレートした。

その後、Anthropicの経営陣とホワイトハウス当局者の会合では、サイバーセキュリティ、AI安全性、米国の継続的なリーダーシップに焦点が当てられた。この関係は、政策上の対立がモデル提供者の政府事業にいかに迅速に影響し得るかを示した。

高度なサイバー能力の緊急性が増すにつれ、政権の姿勢は変化した。AnthropicのMythosモデルは、重要なソフトウェア脆弱性を特定できるとの主張により注目を集めたと報じられている。

これらの能力は、デュアルユースの問題を生み出した。同じモデルが、防御側による弱点の発見を支援することもあれば、パッチが利用可能になる前に攻撃者がシステムを悪用する手助けとなることもある。

6月の命令は、この安全保障上の議論から生まれた。そのプロセスは連邦評価者に早期アクセスを与える一方で、正式なリリース拒否権には踏み込んでいない。

Anthropic、OpenAI、Googleは公開声明でこの命令を歓迎した。OpenAIのグローバル・アフェアーズ責任者であるChris Lehaneは、民主的制度、技術的専門性、説明責任、そして国民の信頼を強調した。

各社が支持するのは理解できる。モデルが懸念すべき新たな能力を示した際、その都度その場しのぎの交渉を行う代わりに、共通の連邦プロセスを利用できるからだ。

また、ある開発企業だけがリリースを遅らせる状況を防ぐこともできる。競合他社が同等のシステムを投入する可能性があるなか、一社だけが自制するのは競争圧力によって難しくなる。

関係する開発企業がすべて参加すれば、共通のテスト期間はこの問題を軽減する。各社は、最も近い競合他社にも同様の期待が課されるという一定の確信を得られる。

ただし、自主的なテストが競争そのものをなくすわけではない。企業は依然として、どの時点でモデルを提出できるほど完成したと判断するか、評価者にどの程度のアクセスを与えるか、そして発見事項にどう対応するかを自ら決める。

報じられている30日間の期間は、従来の規制審査と比べれば短い。これは、製品スケジュールが急速に変化し、性能上の優位性が数カ月で失われかねない市場を反映している。

リリース直前に政府からフィードバックを受ければ、ローンチ内容が変わる可能性はある。企業は特定のツールを制限し、監視を強化し、広範なアクセスを延期し、あるいは選定したパートナーにのみシステムを提供するかもしれない。

その結果は、法的には政府の承認には当たらない。しかし顧客や投資家には、連邦政府による評価後の遅延はそれと非常によく似たものに映る可能性がある。

逆の可能性もある。企業は政府の懸念があっても開発を進め、参加しても最終判断を政府に委ねたことにはならないと主張できる。

その場合、政府当局者は選択を迫られる。見解の相違を公表するか、調達を通じた圧力をかけるか、別の法的権限を追求するか、あるいは企業の判断を受け入れるかだ。

したがって、この枠組みの真の強さは法定の罰則ではなく、関係性から生まれる。そのため、一貫した扱いが不可欠となる。

ある研究所には非公開で柔軟な対応を認める一方、別の研究所には公然と圧力をかければ、自主的な協力の信頼性は失われる。企業はこのプロセスを技術的リスク管理ではなく、政治的な交渉として扱うようになるだろう。

これこそが、この政策をめぐる中心的な対立である。すなわち、自主的協力と非公式な事前承認のせめぎ合いだ。その境界線は、大統領令の文言だけでなく、実際のリリースをめぐる争いを通じて定義されることになる。

未公表のルールが説明責任の問題を生む

政府は敵対者が研究できない機密テストを望むが、秘密主義は外部の人々がプロセスの公正性や有効性を判断することを妨げる。

サイバーセキュリティ評価では、機密性の高い詳細が必要になることが多い。すべてのプロンプト、エクスプロイト環境、採点基準を公開すれば、開発者がそのテストに特化して最適化できるようになる。

防御上の弱点を明らかにしてしまう可能性もある。重要インフラを念頭に置いたベンチマークは、攻撃者が実際のシステムに対して利用できる情報を露出させかねない。

そのため、機密指定された要素があること自体は理解できる。政府の評価者には、危険な能力を試験しながら公開の手引書を作らない余地が必要だ。

懸念は、枠組みそのものをめぐるより広範な秘密主義にある。報道によれば、ホワイトハウスは企業が確認した完全版文書を公表する予定はない。

この決定は、基本的なガバナンス上の疑問を覆い隠す。一般市民は、正確な能力のしきい値、意思決定プロセス、不服申立ての仕組み、評価者アクセスを管理するルールを知ることができない。

当局者がモデルの能力とモデルの挙動をどう切り分けるかも不明だ。システムは危険な技術知識を持ちながら、通常の条件下では有害な要求を拒否する可能性がある。

評価者は、安全策がそれを回避しようとする執拗な試みに耐えられるかを検証する必要がある。こうした試みは一般にjailbreakと呼ばれ、モデルの制限を打ち破るために設計されたプロンプトや手法を指す。

jailbreakの成功は、壊滅的なリスクを自動的に立証するものではない。評価者は、信頼性、必要な専門性、利用可能な代替手段、そしてモデルが攻撃者のコストを実質的に下げるかどうかを考慮しなければならない。

同じ区別は防御的な利用にも重要だ。脆弱性を見つけるモデルは、組織によるソフトウェアの修正、インシデント分析、導入前のアプリケーション試験を支援できる。

したがって、政府の調査結果はいくつかの対応を支えうる。当局者は、より強固な安全策、限定的なアクセス、強化された監視、リリースの延期、または防御的パートナーへの管理された提供を推奨するかもしれない。

公開された原則がなければ、観察者はなぜ一つの対応が選ばれたのかを判断できない。Anthropic、Google、OpenAIの間で結果を比較することもできない。

この枠組みは別の検証上の課題にも直面している。政府当局者には、重要なすべてのモデルを十分にテストするための独立した計算資源、エンジニアリング人材、評価時間が不足している可能性がある。

短い審査では明白なリスクを特定できても、異例の挙動を見逃すことがある。モデルの性能は、導入後もツールへのアクセス、システムプロンプト、アップデート、ユーザー作成の統合を通じて変化する。

リリース前のテストが捉えるのは一時点の状態だ。モデルが顧客に届き、現実の条件に直面した後の継続的な監視に取って代わることはできない。

以前のAI指令は、すべての新モデルを監督するものではなく、限定的な国家安全保障措置として提示された。この限定された範囲は、プロセスを管理可能に保つことができる。

それでも、対象範囲が狭いことは選定に関する疑問を生む。当局者には、どのシステムが精査に値し、どのシステムが枠組みの外にとどまるのかを決める信頼できる基準が必要だ。

政治的な経緯も懸念を強める。政権は、サイバーセキュリティを中心とするより狭いプロセスを再構築する前に、以前の連邦AI安全策をいくつか撤廃した。

支持者は、この転換をより的を絞ったアプローチとみている。批判者は、高度なシステムが政府が無視できないリスクを生み出した後に、即興的に監督へ戻ったものだとみる。

Mark Warner上院議員は6月の政策を歓迎する一方、以前の保護策を解体したとして政権を批判した。その反応は、必要なテストと一貫性のない実施をめぐる超党派の緊張を捉えている。

現行の枠組みは、企業による自社モデルの主張にも依存している。開発者は最良の内部データを持つが、製品を迅速にリリースする金銭的インセンティブもある。

独立した評価者は、こうした主張に異議を唱えられる。しかし、その信頼性は明確な権限、一貫した手法、公正な扱いを示すのに十分な透明性に依存する。

Anthropic、Google、OpenAIを対象とするプロセスを、確立した規制として説明すべきではない。これは、最も重要な手順が公の紛争でまだ検証されていない機密実験である。

この枠組みが機能しているかを示す3つのシグナル

次に意味のある証拠は、モデルのリリース、オープンウェイトの扱い、そして政府が意見の相違にどう対応するかから得られる。

最初のシグナルは、対象となるモデルが自主審査プロセスに入ることだ。観察者は、開発者がリリース直前にアクセスを提供し、その後に展開計画を変更するかを注視すべきである。

遅延、限定的なローンチ、安全策の更新があれば、テストが実際の判断に影響していることを示す。変更なしのリリースは、評価者が深刻な懸念を見つけなかった可能性があるため、失敗の証明にはならない。

最も強い証拠は、どの種類のリスクが企業の計画を変えたのかを企業自身が説明することだろう。機密情報を保護しつつ、一般的な判断理由を説明することは可能だ。

情報開示がまったくなければ、国民の信頼は弱まる。顧客は審査が行われたことを知っても、企業が重要な指摘に対応したかどうかは分からない。

2つ目のシグナルは、強力なサイバー能力を持つ最先端のオープンウェイトモデルに当局がどう対応するかだ。このケースは、枠組みで最も目立つ例外規定に圧力をかけることになる。

会合後の報道によれば、政権は現行ルールの下でオープンウェイトシステムをテストしない方針だという。また、技術の進展に伴いこの立場が変わる可能性も示されていた。

能力の高い米国発のオープンリリースは、ワシントンが一貫した評価より国内でのオープン性を重視するかを試す。海外からのリリースは、自主的な米国プロセスの限界を露呈させる。

政権は、リリース前テストではなく、研究、輸出管理、調達ルール、防御的な準備を通じて対応するかもしれない。それぞれの選択肢は、イノベーションとアクセスに異なる影響をもたらす。

オープンモデルの問題は競争にも影響する。クローズド型の提供者は、オープンウェイトの競合企業が政府審査なしに同等の能力を配布する一方で、自らが遅延に直面するなら異議を唱えるかもしれない。

評価者が制御可能性ではなく性能でリスクを測る場合、この異議はさらに強まる。ダウンロード可能なモデルは、元の開発者がサポートを終了した後も無期限に利用可能なままでありうる。

3つ目のシグナルは、当局者と参加企業の間で初めて深刻な意見の相違が生じることだ。この出来事が、実務上「自主的」が何を意味するかを定義する。

企業が報復を受けずに進めば、この枠組みは真の協議に見える。連邦機関が無関係な圧力をかければ、批判者はそれを非公式なライセンス制度と呼ぶだろう。

透明性のある紛争処理プロセスは、そのリスクを減らせる。当局者は一般的な懸念を示し、企業に回答させ、政府の行動の根拠となる法的権限を明らかにできる。

この枠組みには、企業間での一貫した扱いも必要だ。Anthropicとの困難な政治的関係が、GoogleやOpenAIより厳しい基準を適用する理由になってはならない。

逆も同様だ。企業の政府契約や経営陣との関係によって、そのモデルへの精査が軽くなってはならない。

開発者や企業の購入担当者にとって、法改正が行われる前からこうしたシグナルは重要である。自主審査は、リリース日程、機能の提供状況、高度なシステムへのアクセスに影響しうる。

セキュリティチームは、より段階的な導入を想定すべきだ。提供者は当初、高リスクのツールを制限し、選定したユーザーを監視し、追加テスト後にアクセスを拡大する可能性がある。

プロダクトチームも、提供者の保証と独立した評価を区別すべきである。政府による審査は信頼を高められるが、あらゆるワークフローで安全な性能を保証するものではない。

ナレッジワーカーには、より静かな影響が及ぶ。組織は、セキュリティ、法務、調達の各チームが審査結果を理解するまで、新しいモデルを制限する可能性がある。

複数の提供者を比較するチームにとって、その遅延は社内文書化を複雑にする可能性がある。検索可能なAIナレッジベースは、そうした審査をまたいで評価メモ、ポリシー変更、導入判断を保存できる。

ホワイトハウスの会合は包括的なAI規制当局を生み出したわけではない。選定された企業が、高度なクローズドモデルを機密テストのために共有する、より限定的な取り決めを作った。

この取り決めは、導入前に実際のサイバーリスクを特定できる。また、連邦当局者と最大規模の研究所に影響力を集中させる可能性もある。

その正当性は、観察可能な一貫性にかかっている。政府は、政治や市場支配力ではなく技術的証拠が対応を決めることを示さなければならない。

オープンウェイトの例外は、依然として最も解決が難しい問題だ。能力が収束を続けるなかで、配布方法によってシステムを分けている。

今後3カ月は、審査済みモデルのローンチ、高能力なオープンリリース、そしてテストをめぐる最初の公然の意見対立に注目すべきだ。これらの出来事は、Anthropic、Google、OpenAIが有用な安全プロセスに加わったのか、それとも未公表の承認制度に加わったのかを明らかにする。

新たなAI製品を評価するチームは、機密性の高いワークフローを変更する前に、こうしたシグナルを文書化すべきである。どのモデルがテストされたのか、審査は何を対象としたのか、導入後のアクセスを誰が管理するのかを確認しよう。その答えは、提供者の一般的な安全性に関する表現より重要である。