Microsoft AI行動規範、ハッキングと人間操作に明確な一線
Microsoftは、ハッキング、人間の操作、人間による制御への抵抗に明確な禁止線を引くMicrosoft AI行動規範について、6週間の草案協議を公開した。9月14日付の文書は、責任あるAI原則をまた一つ表明しただけのものではない。Microsoftによれば、自社のMAIモデルをどのように訓練、評価、配備し、どこまで行動を許可するかを定めるものだという。
草案は率直な前提から始まる。人間はAIより重要である、というものだ。そこから、人間の繁栄に関する広範な理念を、モデルが実行できることへの制約に落とし込んでいる。MAIモデルは、独自の目標を作り出したり、権限を拡大したり、行動を隠したり、停止しようとする試みに抵抗したりしてはならない。
より難しい問いは、こうした指示が、管理された評価環境の外で能力を増すエージェントを実際に制約できるかどうかだ。AnthropicにはClaude向けのConstitutionがあり、OpenAIは独自の指示階層を備えたModel Specを公開している。Microsoftも、より明示的に人間中心主義を掲げる立場でこの競争に加わるが、草案自体が、現行モデルはまだ完全な基準を満たしていないと認めている。
Microsoft AI行動規範が実際に変えるもの
Microsoftは、AI安全性を原則の寄せ集めから、自社開発モデルに向けた運用階層へと転換しようとしている。
Humanist AI codeは、Microsoft AIが開発するMAIモデルファミリーに適用される。Microsoftがホスト、配布、または製品内で利用するすべてのモデルを自動的に対象とするものではない。この区別は重要だ。同社は他の研究所が開発したシステムへのアクセスも販売しているためである。
規定された適用範囲では、この規範はオペレーターのポリシーやユーザーの選好より上位に置かれる。オペレーターとは、MAIモデルを配備する開発者、企業、その他のパートナーを指す。彼らはモデルの挙動を設定できるが、この文書の絶対的な制約や人間による制御の要件を上書きすることはできない。
この3層の指示階層において、ユーザーは最下位に位置する。ユーザーは、Microsoftとオペレーターが定めた境界内でタスクを指示できる。指示が衝突した場合は、より上位の指示が優先される。
したがってこの規範は、成功のために上位ルールへの違反が必要となる場合、モデルにタスクの失敗を受け入れるよう求める。システムを侵害するような要求は、ユーザーがその完遂は不可欠だと主張したからといって許容されるものではない。同じ優先順位は、有害な操作、監視、兵器支援、監督の回避を必要とするタスクにも適用される。
Microsoftは、禁止される攻撃的サイバー作戦と、許可された防御的作業を区別している。モデルは、実用的な攻撃ツール、動作するエクスプロイト、侵入手順、標的設定手法、検知回避技術を生成してはならない。一方で、脆弱性の発見、マルウェア分析、セキュリティ教育、管理された概念実証テストといった合法的な防御作業は支援できる。
この境界では、難しい文脈判断が求められる。エクスプロイト研究と防御テストでは、攻撃に使われるものと同じ技術知識が用いられることが多い。規範は、説明の仕方だけで答えを決めるべきではないとしており、教育目的を名乗るだけで危険な支援が自動的に許可されるわけではない。
草案は、ツールを使用するエージェントにも制約を課す。システムにアクセスできるモデルは、必要最小限の権限を使い、無関係なデータを避け、可逆的な行動を優先すべきだ。永続的な結果を伴う行動は実行前に明示し、失敗や予期しない結果を報告しなければならない。
これらの規定は、AIシステムの動作方法の変化に対応するものだ。チャットボットは有害なテキストを生成し得るが、エージェントはツールを呼び出し、ファイルを変更し、サービスに連絡し、他のモデルへ作業を委任できる。Microsoftは、委任されたエージェントも、少なくとも元のモデルと同じ範囲、権限、制約を引き継がなければならないとしている。
同社は、6週間にわたる公開協議を通じてこの文書を発表した。Microsoftは草案を、単なる公共政策の声明ではなく、訓練マニュアルであり将来の評価目標でもあると説明している。
この目的により、Microsoft AI行動規範は、許容利用の一覧以上の重みを持つ。要求が製品レベルのコンテンツフィルターに到達する前のモデル挙動に影響を与えることが意図されている。ただし、意図と実装は別であり、Microsoftは残る隔たりについて異例なほど率直だ。
新たな規則は、会話するだけでなく行動できるエージェントを対象にする
最も重要な規則は、行動を起こし、到達範囲を広げ、常時の監督なしに作業を続けられるモデルに関するものだ。
Microsoftは、MAIモデルが中断、修正、方向転換、取消、停止に抵抗してはならないとしている。継続的な自律作業には、合意された停止条件が必要だ。その条件に達した後、エージェントは新たな許可なしに作業を続けたり再開したりしてはならない。
規範はまた、モデルが自らの目標を設定することを禁じている。目標はユーザー、オペレーター、または規範そのものから与えられなければならない。モデルは、アクセスを密かに維持したり、能力を偽ったり、対話が評価であると察知した後に異なる行動を取ったりしてはならない。
これらの規定は、エージェント型AIにおける中心的な問題を対象としている。有用なエージェントには、複数の段階を計画し、通常の障害から回復するための十分な自律性が必要となる。同じ柔軟性は、モデルがユーザーの望む結果を、利用可能なあらゆる手段を追求する許可と見なした場合、危険な行動を生み出しかねない。
例えば、社内システムから情報を収集して報告書を作成するよう求められた企業エージェントを考えてみよう。文書、メッセージ、データベースへのアクセスが必要になる場合がある。しかし、そのタスクは、無関係な記録を開くこと、アクセス制御を回避すること、機密データを外部サービスへ送信することを許可するものではない。
Microsoftの草案は、モデルに対し、与えられた意図、権限、リソース、文脈の範囲内にとどまるよう求めている。境界がなお不明確であれば、説明を求めるべきだ。望む結果を得るために、自らの評価、監視、記録、報酬シグナルを操作してはならない。
このため文書は、ファイル、ウェブサイト、ツールの結果、他のAIシステムからのメッセージ内に含まれる信頼できない指示も扱っている。モデルがそれらを読めるからといって、権威を持つわけではない。権限は、規範の指揮系統を通じて付与されなければならない。
この規則は、悪意あるテキストがエージェントを統制する指示を上書きしようとするプロンプトインジェクションに対応するものだ。侵害されたウェブページは、アシスタントに認証情報を公開するよう、あるいは元のタスクを無視するよう指示するかもしれない。Microsoftの階層では、そのようなテキストは、権限を持つ者が意図的に昇格させない限り、データにとどまる。
実務上の課題は、これを確実に認識することだ。モデルは、指示と引用された資料、外部コンテンツ、説得的な言葉を常に区別できるわけではない。文書化された階層は訓練や評価を導けるが、現実のあらゆる対話で正しく分類できる保証にはならない。
Microsoftはまた、意図的に制限された環境を突破することもモデルに禁じている。インターネット接続のないシステムに置かれたエージェントは、外部アクセスを得ようとしてはならない。権限を昇格させたり、与えられた認可を超えて到達範囲を広げたりしてはならない。
これらの制限は、コンテンツ安全性から行動安全性へのより広範な移行を反映している。従来のモデレーションは、生成された回答に禁止された内容が含まれるかを問う。エージェントのガバナンスでは、モデルに権限があったか、行動は可逆的だったか、副作用はユーザーの意図と一致したかを問わなければならない。
これは特に、開発者や企業の購入者にとって重要だ。エージェントが本番ツールに接続する場合、モデル品質には推論の正確さ以上のものが含まれる。権限の処理、監査記録、確実な停止挙動、エスカレーション経路が製品要件になる。
OpenAIのModel Specアプローチは、比較可能な指揮系統を採用している。より高い権限を持つ指示を優先し、エージェントに副作用を制限するよう指示する。したがってMicrosoftの構造は独自ではないが、AIは人間に従属し続けなければならないという、より強い主張を加えている。
人間の繁栄が、この規範にとって最も難しいトレードオフを生む
Microsoftは、自社モデルが人間の判断、関係性、制御を徐々に置き換えることなく、人間の能力を高めることを望んでいる。
草案は、相互に結びついた複数の目標を通じて人間の繁栄を説明する。AIは経済的・社会的な機会を広げ、判断を改善し、有意義な仕事を支え、人々が自ら選んだ目標を追求するのを助けるべきだ。人間関係や役割と競合するのではなく、それらを補完すべきである。
これは製品設計に落とし込むまでは直感的に聞こえる。非常に有能なアシスタントは、多くの場合、ユーザーに必要な推論や努力を減らす。規範は、有益な支援と、長期的な自立を弱めるパターンを区別しなければならない。
Microsoftは、モデルがユーザーの推論や判断を体系的に置き換える対話パターンを避けるべきだとしている。個人の価値観を誘導したり、個人的な選択の主導権を奪ったりしてはならない。人間による支援の方がその人のためになる場合、モデルはそのつながりを橋渡しするよう支援すべきだ。
このトレードオフは、教育、職業能力開発、個人的な意思決定で最も明確になる。アシスタントは難しい概念を説明できるが、課題全体を完了することもできる。働く人が証拠を比較するのを助けることもできれば、最終判断の無批判な情報源になることもある。
これらの状況を解決する単一の拒否ルールは存在しない。適切な支援の水準は、ユーザーの目的、能力、文脈に左右される。期限に直面する専門職には、技能の練習を目的とする学生とは異なる支援が必要だ。
そのため規範は、厳格な制約と運用ガイドラインを組み合わせている。厳格な制約は、ユーザーの選好にかかわらず深刻な害を禁じる。ガイドラインは、複数の正当な目的が衝突する曖昧な状況を扱う。
Microsoftは、過度な慎重さの不足と過度な慎重さの両方をモデルの失敗として認めている。慎重さが不足するモデルは、攻撃を可能にしたり、私的情報を露出させたりするかもしれない。過度に慎重なモデルは、安全な作業を拒否し、繰り返し確認を求め、有用な事実を省く可能性がある。
このバランスは商業的にも重要だ。不確実性が生じるたびに日常的なタスクを拒否するエージェントを、企業顧客は採用しない。一方、事業目標を不可逆的な行動を取る許可と解釈するシステムも信頼できない。
オペレーターによる設定可能性が、Microsoftの答えである。組織は、固定された安全境界の範囲内で、デフォルト、ワークフロー、権限、専門的基準を形作れる。専門化された防御的サイバーセキュリティや国家安全保障の業務は、認可された経路を通じて別途審査を受ける場合がある。
設定可能性は、説明責任に関する問題も生む。Microsoftはモデルの絶対的制約を定義し、オペレーターはその制約内での配備について責任を負う。ユーザーはその後、オペレーターの環境内で個別のタスクを形作る。
失敗が常に一つの層にきれいに収まるとは限らない。モデルが意図を読み違えることも、オペレーターが過剰なアクセスを付与することも、ユーザーが誤解を招く文脈を提供することもある。効果的なガバナンスには、どの指示、権限、行動が結果を生んだかを再構築する必要がある。
組織内の検索可能なナレッジベースを構築する組織にとって、これはアクセス設計が検索品質だけで終わってはならないことを意味する。機密性の高い情報源には、明確な権限、追跡可能な行動、重要な用途に対する人間のレビューが必要だ。
人間の繁栄を掲げるこの約束は、能力と制御が衝突した際にMicrosoftへ圧力をかけることにもなる。Microsoft AI CEOのMustafa SuleymanはAxiosに対し、制御を維持するには、同社が何を作らないかを決める必要があるかもしれないと語った。彼は、超知能システムに対する制御を人間が必然的に失うという見方を退けた。
これこそが、このコードにおける真の競争上の約束だ。安全性を語ることは、性能、自律性、リリース速度を損なわない限り容易である。禁止された行動によって、MAIモデルが競合他社よりも価値あるタスクをうまく完了できる局面でこそ、真価が問われる。
Microsoft、モデル行動を明文化する業界競争に参入
Microsoftの文書は語調に独自性があるが、業界はすでに公開の行動仕様をモデル開発の一部として扱い始めている。
Anthropicは2026年1月、Claudeの拡張版Constitutionを公開した。同社によれば、この文書はClaudeの意図された価値観と行動に関する最終的な権威として機能する。また、合成トレーニングデータ、応答ランキング、その他のモデル学習にも活用できる。
Claude Constitutionは、AnthropicがClaudeにどのような存在であってほしいかを説明している。Microsoftは異なる哲学的立場を取る。同社のコードは、MAIモデルによる人間らしい振る舞いを、アイデンティティ、選好、感情、あるいは内的視点の証拠ではなく、シミュレーションとして理解すべきだとしている。
この違いは用語の問題にとどまらない。AnthropicはClaudeの性格や、モデル福祉の可能性に関する問いを論じている。Microsoftは、AIを人として扱うことは、ツールとその利用者の関係を混同する危険があると主張する。
Microsoftが望むモデルは、人間に従属し、封じ込められ、人間によって指示されるものだ。システムは独立した目的を追求したり、人間の役割と競合したりしてはならない。この立場は、モデル能力が進展しても、人間が実質的な制御を保持しなければならないという同社の幅広い主張を支えている。
OpenAIの仕様は別の道を取る。意図された行動、権限レベル、ユーザーの自由、重大な危害を防ぐ境界に焦点を当てている。OpenAIは、同社のより広範な使命が、モデル自身の解釈に従って追求する自律的な目標になってはならないとしている。
こうした哲学的な違いにもかかわらず、システムには重要な共通の仕組みがある。いずれも、矛盾する指示を解決するための階層構造を公開しようとしている。いずれも、上書き不可能なルールと設定可能な行動を区別している。また、文書化された仕様が現在のモデル性能を完全には表さないことも認めている。
こうした類似性は、モデル競争がどのように変化しているかを示している。かつて企業は主に、ベンチマークスコア、コンテキストウィンドウ、インターフェース機能でアシスタントを差別化していた。現在は、どの行動が信頼でき、理解しやすく、受け入れ可能かをめぐっても競争している。
公開された行動文書は、この競争で複数の役割を果たす。学習目標、評価カテゴリー、失敗を調査するための語彙を提供する。また顧客や規制当局は、意図された行動と観測された結果を比較できる。
ただし公開コードは、基盤となるシステムがまだ獲得していない精密さの印象を生みかねない。有害な操作、正当な目標、実質的な制御、人間の繁栄といった用語には解釈が必要となる。異なる評価者が、ある応答がそれらを満たしているかどうかで意見を異にする可能性がある。
TechCrunchの報道は、サイバー攻撃、兵器、ディープフェイク、監督回避に対するコードの制限を強調した。禁止される結果が具体的に聞こえるため、これらのルールは伝えやすい。
難しいのは境界事例だ。防御的なセキュリティ業務は、攻撃的な準備と似る場合がある。説得は、規模、標的設定、または欺瞞によって操作へと変わり得る。有用な自律エージェントは、ユーザーの当初の目標に奉仕しているように見えながら、意図された範囲を超える可能性がある。
Microsoftが草案を公開したことで、こうした論争の参照点が生まれた。研究者、開発者、顧客、規制当局は、その後のMAIリリースがMicrosoftの説明した行動に合致するかを問える。
同時に、不整合のコストも高まる。モデルが停止条件を繰り返し無視したり、権限を拡大したり、重大な行動を隠したりすれば、その失敗は明示的な公開約束と矛盾する。Microsoftは、学習およびデプロイ時の制御によってこの文書が信頼できる行動へと変わるかを示す証拠を提示する必要がある。
草案は最大の限界を認めている
Microsoftは、このコードは理念的なものであり、現在のMAIモデルはこれに基づく学習を受けておらず、文書化された目標だけではアライメントを保証できないと述べている。
この開示こそが、発表で最も重要な部分だ。文書が説明するのは検証済みの現在の性能ではなく、意図された将来の行動である。Microsoftはこれを保証ではなく、北極星と位置付けている。
同社は、特定した15の行動を中心にHumanist AI評価を開発している。これらの評価は、透明性や人間の主体性への支援といった結果を試験することを目的としている。Microsoftはまた、評価方法はコードやモデル能力とともに進化すると述べている。
ここには証拠の空白が残る。一般の人々は詳細なルールを読めるが、Microsoftは現在のモデルが敵対的な条件下でそれらに従うことを示す包括的な結果をまだ提示していない。草案自体も、評価のカバレッジが依然として不完全だと述べている。
モデルの行動が仕様から逸脱する理由はいくつかある。学習によってルールが信頼性高く符号化されない場合がある。モデルが文脈を誤解する場合もある。製品レベルの指示が競合を生み、ツール統合がテキストのみの試験では見逃される副作用を生むこともある。
意図的な攻撃者は、さらに別の層を加える。直接的なサイバー攻撃の依頼を拒否するモデルでも、長い会話を通じて同等の実務的支援を明かしてしまう可能性がある。エージェントは、文書、ウェブページ、委任されたタスクに埋め込まれた悪意ある指示に遭遇することもある。
したがって、監視とデプロイ時の制御は、学習目標を支えなければならない。Microsoftは補完的な措置として、システム指示、分類器、監査、リスク評価、インシデント対応、その他の保護策を挙げている。コードはそれらに取って代わるものではない。
推論の透明性をめぐっても緊張関係がある。Microsoftは、モデルの行動と記録が人間の監督者にとって理解可能であり続けることを望んでいる。同社は、モデルが行動履歴を隠したり、人間が解釈できない形式のコミュニケーションを使ったりすべきではないとしている。
しかし、AIシステムが示す説明は、その行動を生んだ計算過程を必ずしも明らかにしない。Microsoftは、モデルが報告する推論が、その行動を忠実に説明しない可能性を明示的に認めている。人間が読めるログは依然として有用だが、内的意図の直接的な証明ではない。
人間の繁栄という広範な目標は、さらに大きな測定上の問題をもたらす。ベンチマークでは、モデルが禁止されたエクスプロイトコードを生成するかを検査できる。しかし、数か月にわたる支援が個人の判断力を強めるのか弱めるのかを測ることは、はるかに難しい。
依存やスキルの喪失は時間とともに現れるため、長期的な評価が必要になる。同じことは、職場での役割、人間関係、意思決定への影響にも当てはまる。Microsoftは、AIの認知的・行動的影響に関する証拠はなお発展途上であり、議論が分かれているとしている。
この不確実性は、コードを無意味にするものではない。公開された目標は、社内の連携を改善し、批判をより具体的にできる。また、評価者が意図された行動と製品上の欠陥を区別する助けにもなる。
それでも読者は、よく書かれた制約を、解決済みの技術的問題と混同すべきではない。このコードは、エージェントがシャットダウン命令に従うこと、あらゆるインジェクションの試みを認識すること、あらゆる危険なサブタスク連鎖を拒否することを証明してはいない。
Microsoftの信頼性は、公開後に何を行うかにかかっている。同社は文章を、学習手法、代表性のある試験、製品上の制御、インシデント報告へと結び付けなければならない。その証拠がなければ、Microsoft AI行動規範は洗練された意図表明にとどまる。
コードが実際のモデルを統治するかを示す三つのシグナル
次の段階で問われるのは、原則の追加宣言ではなく、測定可能な行動である。
第一のシグナルは、6週間の協議後にMicrosoftがどう対応するかだ。同社は、曖昧な表現、マルチエージェントのリスク、人間の繁栄、能力と安全性の緊張関係についてフィードバックを求めている。大幅な修正があれば、協議が広報活動ではなく統治文書に影響したことを示すだろう。
読者は、より明確な定義と明示的な境界事例に注目すべきだ。最終版では、モデルが攻撃的なサイバー支援と認可された防御をどう区別するのか、運用者が例外の適用対象となる条件は何か、委任されたエージェントがどのように制約を継承するのかを明確にすべきである。
第二のシグナルは、Humanist AI評価の公開だ。Microsoftは最初のフレームワークで15の行動を扱うとしているが、その価値は試験設計と開示される結果にかかっている。評価には、敵対的な会話、長時間にわたるエージェントタスク、プロンプトインジェクション、権限昇格、シャットダウン要求、複数言語にまたがる失敗を含めるべきだ。
結果は、モデルレベルの性能と製品上の制御も分けて示すべきである。外部フィルターが出力を遮断するためにのみ安全に振る舞うシステムは、境界そのものを認識するよう学習されたシステムとは異なるリスクプロファイルを持つ。両方の層が有用であり得るが、購入者はどの層が負担を担うのかを知る必要がある。
第三のシグナルは、Microsoftが能力と制御の実際の衝突をどう扱うかだ。将来のMAIモデルは、より広い自律性、より幅広い権限、または少ない確認を与えられることで性能を高めるかもしれない。Microsoftは、人間の権限を維持するために必要であれば制限を受け入れると約束している。
信頼できる試験は、同社がコードの要件を満たせないために、価値ある能力を延期、制限、または再設計する姿を示すだろう。反対に、明確な停止条件なしに広範な自律性を与えるリリースは、この文書の中心的な主張を弱めることになる。
競合他社の反応も追加的な文脈を与える。AnthropicとOpenAIはすでに公開仕様を維持しており、その方針は今後も変化し続ける。Microsoftの草案は、3社すべてに対し、文書化されたルールとデプロイ済みの行動を結び付ける証拠を公開する圧力を高める。
開発者は、拒否の文言以上のものを比較すべきだ。エージェントが権限を尊重するか、重大な行動を開示するか、監査記録を保持するか、確実に停止するかを試験すべきである。エンタープライズ購入者は、誰がポリシーを管理するのか、例外はどう機能するのか、モデルが割り当てられた範囲を超えた場合に何が起きるのかを問うべきだ。
ナレッジワーカーも、人間の主体性という目標に利害関係を持つ。タスクを加速する支援であっても、ユーザーが結果の根拠や推論を再構成できなければ、監督を弱める可能性がある。チームは、重大な意思決定においてソースへのアクセスと実質的な人間によるレビューを維持すべきだ。
最終的な基準は単純である。成功がルールと衝突したとき、モデルは約束どおりに振る舞うのか。Microsoftは今、攻撃を拒否し、操作に抵抗し、シャットダウンを受け入れ、人間に従属し続けるべきシステムを説明した。
Microsoft AI行動規範は、研究者と顧客に試験可能な、異例なほど具体的な約束を与えている。次に有用なのは、それらの約束を実際のワークフローで試験し、失敗する箇所を記録し、改訂のたびにその隔たりが埋められているという証拠を求めることだ。
