OpenAIと米国防総省の契約記録、ほとんど「拒否しない」AIを巡る争点を明らかに
米国防総省の記録に、軍事向けモデルが「最小限の拒否率」を備えると記載されていたことを受け、OpenAIは新たな検証に直面している。ただし双方は、この要件が締結済みの契約には含まれていないと否定している。争点となっている文言は、情報公開法訴訟を通じて入手されたOpenAIと米国防総省の契約のP00003版に記載されている。これは、国家安全保障に関する要請を可能な限り拒否しないことを意図した特化型システムを説明するものだ。
この表現は、米国防総省が制限のないモデルを受け取ったことを証明するものではない。OpenAIはこの条項を拒否したとしており、国防総省も有効な契約には含まれていないとしている。しかし、契約に関する調査報道によれば、政府は草案を明示的に除外した請求への回答としてP00003を公開した。
この書類は異例の検証上の問題も生んだ。国防総省の弁護士は当初、公開された記録が最終契約であると確認したが、記者がOpenAIに連絡した後、その確認を撤回した。一方、別の文書は、両当事者が2月6日に拡張されたP00003契約に署名し、その後2月27日に別の契約で機密ネットワーク全体への展開が認可されたことを示している。
したがって、この論争は一つの争点となる文言にとどまらない。高度なAIが秘密の軍事システムに導入される際、契約上の約束、モデルレベルの制限、そして公的な説明を監査できるのかが問われている。
Anthropicは直接的な比較対象となる。同社と米国防総省の対立は、大規模な国内監視と自律型兵器に関する制限が中心だった。OpenAIは後に機密環境での展開を発表し、自社の契約はこれらの領域における保護措置を維持していると説明した。
中心的な対立は明白だ。政府は合法的な軍事任務全般で有用性を維持するモデルを望む一方、AI提供企業は一部の利用には依然として明確な制限が必要だと主張している。拒否頻度を低くするよう最適化されたモデルは、分析担当者が正当な業務を完了する助けになり得る。同じ設計目標は、プロンプトが監視、標的選定、または致死力に関わる場合に、重要な保護層を弱める可能性もある。
OpenAIと米国防総省の契約には、相反する二つの経緯がある
公開された書類と公式説明は、当事者が何に署名したのかについて、まだ一貫した説明を構成していない。
論争は、2025年にOpenAI Public Sectorへ付与されたプロトタイプ契約から始まる。連邦契約通知は、最大2億ドル相当の定額型プロトタイプ契約について説明している。掲げられた目的は、国家安全保障上の重要課題に対処するフロンティアAI能力を開発することだった。
OpenAIだけではなかった。米国防総省は軍事AIのプロトタイプに関し、Anthropic、Google、xAIとも関係を構築した。報じられた用途には、物流、情報分析の意思決定支援、より広範な戦闘活動が含まれていた。
P00003は、従来のOpenAIとの取り決めを拡張した。FOIA訴訟を通じて公開された版では、「OpenAI Mission Models」を国家安全保障用途向けに設計されたシステムと定義している。そこでは、これらのモデルが「最小限の拒否率」を持ち、軍事利用者向けに調整された運用能力を提供するとされていた。
拒否とは、ポリシー、安全対策、または技術的管理によりタスクが許容されないと判断されたため、モデルが要求の実行を断ることを指す。安全対策が正当な業務を誤って阻止した場合にも、拒否率は上昇し得る。そのため、不必要な拒否を減らすことは、多くの環境で合理的な製品目標となる。
軍事的な文脈では、問題の重大性が変わる。無害な文書書式設定に関する拒否は不便にすぎない。標的選定、住民監視、兵器運用に関する拒否は、意図的な安全境界となり得る。
OpenAIの広報担当者ネイト・エバンズ氏はThe Interceptに対し、同社は最小限の拒否率を求める文言を受け入れたことはないと述べた。同氏は公開された文言を、OpenAIが拒否した政府側の初期提案だと説明した。エバンズ氏によれば、最終的に締結された契約にはこの要件は含まれていない。
国防総省の広報担当者ジェイコブ・ブリス氏も、この文言はいかなる現行の国防総省・OpenAI間契約にも含まれていないと述べた。これらの否定はP00003文書の位置づけに直接疑問を投げかけるが、なぜそれが最終記録として公開されたのかは説明していない。
The InterceptとLegal Advocates for Safe Science and Technologyは、締結済みの契約、修正、および関連する最終文書を請求していたとされる。この請求では、草案を含めないよう同省に指示していたという。この区別は重要だ。FOIAによる開示には予備資料が含まれることもあるが、請求者はこの曖昧さを避けようとしていた。
国防総省の弁護士は当初、P00003が最終契約であると同誌に伝えた。OpenAIがこの文言について質問を受けた後、弁護士はその回答を覆し、記者に無視するよう求めた。その後、同省は何が公開されたのかを判断するために、さらに時間が必要だと述べた。
この一連の経緯には、複数の可能性が残されている。政府が誤って草案を公開した可能性がある。この文書には、受け入れられた条件と、後に別の文書で削除された文言が混在している可能性もある。また、展開前に別の契約へ置き換えられた締結済みの修正契約を表している可能性もある。
署名ページ、改訂履歴、または効力を持つ置換後の文言なしに、これらの可能性のいずれかを確信をもって選ぶことはできない。重要なのは、OpenAIが低拒否率のモデルを確実に提供したということではない。重要なのは、どの版が業務を規定していたのかを、公開記録がまだ確定できないことだ。
「最小限の拒否率」が安全性の問題を変える理由
低い拒否目標は可用性を測るが、高リスクの状況でモデルがなお制約されているかは明らかにしない。
消費者向けAI製品は、マルウェア、個人データの悪用、兵器の製造、標的を定めた暴力に関するプロンプトをしばしば拒否する。こうした管理は完全ではない。無害な研究、フィクション、サイバーセキュリティ試験、または危険な意図を欠く要求まで拒否することがある。
政府利用者が異なる挙動を求める正当な理由もある。情報分析官は、過激派のプロパガンダを支持することなく要約する必要があるかもしれない。サイバーセキュリティチームは、防御側が識別できるよう、悪意あるコードの説明をモデルに求めることがある。軍事計画担当者は、兵器、敵対勢力、戦場の状況に関する分析を必要とする場合がある。
標準的な消費者向けポリシーは、危険な語彙を認識しただけでこうしたタスクを阻止する可能性がある。特化型モデルは、利用者の権限、運用環境、意図された任務を考慮することで、このような誤検知を減らせる。
争点となっている条項は、任務特化型のアクセスを説明するだけにとどまらない。「最小限の拒否率」は、システムがどれほどまれに拒否するかを成功した性能の基準として位置づける。付随する指標、例外、評価規則がなければ、この表現から、どの拒否を残すべきかはほとんど分からない。
あるモデルは、正当な要求と禁止される要求をより正確に区別することで拒否を減らせる。別のモデルは、安全対策を取り除くことで同じ数値結果に到達できる。総合的な拒否率が同じに見えても、これらは根本的に異なるシステムだ。
AI Now Instituteの主任科学者で、元OpenAIシステム安全エンジニアでもあるハイディ・クラーフ氏はThe Interceptに対し、この文言はおそらくモデル上の安全対策がほとんどない、あるいは全くないことを指すと述べた。同氏はまた、透明な制限なしに国家安全保障向けのガードレールを作るという前提にも疑問を呈した。
この解釈は、展開された構成の証拠ではなく、専門家による評価にとどまる。契約上の文言は、訓練データ、システム指示、アクセス制御、評価結果、または人間によるレビューを引き起こす条件を開示していない。
こうした欠落している詳細は決定的だ。軍事モデルは、行動を開始できないまま幅広く応答することがあり得る。認証済み利用者、記録されるプロンプト、別個の認可システムを備えた管理されたクラウド環境で運用される可能性もある。あるいは、その出力が、迅速性によって精査の機会が減る運用ワークフローへ流れ込む可能性もある。
助言と行動の境界も曖昧になり得る。モデルは、致死的な結果に影響を及ぼすために引き金を引く必要はない。潜在的な標的を順位付けし、情報報告を統合し、監視の優先順位を推奨し、あるいは指揮官向けに証拠を要約することがある。
その各段階が最終判断に影響し得る。最終段階に人間の署名があっても、その人間にシステムへ異議を唱える時間、情報、または権限がなければ、自動的に意味のある監督を提供するわけではない。
拒否の挙動は、この連鎖における一つの管理要素にすぎない。調達上の制限は許容される目的を定義する。モデルポリシーは、どの要求に回答するかを決める。技術アーキテクチャはデータアクセスと外部行動を制御する。軍事ドクトリンは、人々が出力に基づいて行動した際の責任を割り当てる。
信頼できる安全性の主張は、これらの層が互いをどのように補強するのかを説明しなければならない。また、いずれかの層が失敗したときに何が起きるのかも明らかにすべきだ。
OpenAIは、自社の展開には技術的な安全対策が含まれ、致死力に関わる判断には人間の責任が求められるとしている。同社の公開説明では、大規模な国内監視も禁じられている。これらは重要な約束だが、非公開の契約は、それらがどのように機能するかについての独立した評価を制限する。
したがって、OpenAIがこの文言を削除することに成功していたとしても、争点となる文言には意味がある。それは、少なくとも政府側の一つの草案が、交渉中に何を優先していたかを示している。この条項は応答の可用性を中心に据える一方、公開された文言では許容される拒否の境界を明示していなかった。
OpenAIの公開された安全策と、米国防総省の広範な任務基準の衝突
主な緊張関係は、OpenAIが約束する越えてはならない一線と、あらゆる合法的利用を軸に構築された軍事調達モデルとの間にある。
2月27日、OpenAIは自社モデルを機密軍事環境で運用できるようにする契約に合意した。このタイミングは、Anthropicと米国防総省の間で、受け入れ可能な制限を巡る交渉が決裂した後だった。
OpenAIは翌日、自社の説明を公表した。契約に関する声明で同社は、潜在的な敵対勢力が同様の技術を自らのシステムに統合する中、軍には高度なAIが必要だと述べた。
OpenAIは複数の安全策も提示した。同社の技術は大規模な国内監視を支援できないとした。また、自律型兵器を含む致死力に関わる判断には人間の責任を求めた。さらに、OpenAIの担当者が展開に参加し、システムの運用状況を監視するとした。
これらの約束は、Anthropicが提起した懸念と似ている。Anthropicは、求めていた契約上の制限なしに、あらゆる合法的な軍事目的でClaudeを利用可能にするという要求に抵抗した。その後、米国防総省は同社をサプライチェーン上のリスクに指定し、政権は連邦機関に対して同社製品の利用を終了するよう指示した。
「あらゆる合法的な目的」という表現は包括的に見えるが、合法性は完全な安全仕様ではない。法律は変更され得るほか、法域によって異なる場合があり、運用上の問題を未解決のまま残すこともある。政府の法律家と技術提供企業が、同じ権限を異なる形で解釈することもある。
OpenAIは、自社の契約条件には既存法を超える保護が盛り込まれていると述べている。批評家は、そうした条件が法的に執行可能な禁止事項を設けるのか、それとも現行の政府方針を主に言い換えたものにすぎないのかを疑問視してきた。この問題の解決には完全な実効契約書が役立つが、独立して検証可能な形で一般公開されたことはない。
「最小限の拒否率」という文言は、この不確実性を際立たせている。最終合意からこれが削除されていたなら、OpenAIは少なくとも一つの広範な政府要求に抵抗することに成功したことになる。異なる表現で類似の要件が残っていたなら、公開された説明は運用上の基準を捉えきれていない可能性がある。
政府の立場には別の緊張関係もある。当局者は、消費者向け製品では対応できない任務を商用AIシステムが支援することを望んでいる。同時に、民間ベンダーが軍事方針を無限定に左右することには抵抗している。
その懸念は軽視できない。選挙で選ばれていない企業が、モデルの利用規則を変更するだけで国家安全保障政策を決めるべきではない。軍事に関する権限は、法と民主的な指揮系統の中に置かれるべきである。
しかし、ベンダーは既知の制約を抱えたシステムを依然として管理している。モデルは誤情報を生成し、敵対的な指示に従い、機微なデータを露出させ、証拠に裏付けられないもっともらしい回答を出す可能性がある。調達契約の条項だけで、こうした技術的リスクを排除することはできない。
解決には、OpenAIと国防総省のどちらが最終決定権を持つかを選ぶだけでは不十分だ。契約には、明確な禁止用途、測定可能な安全対策、ログ記録要件、エスカレーション手順、違反時の措置が必要である。
独立した監督が重要なのは、双方に互換性を強調する動機があるためだ。国防総省は、運用上の障害が少ない高性能なシステムを求める。OpenAIは、自社の安全性に関する公的立場を維持しつつ、影響力の大きい顧客へのアクセスを求めている。
Anthropicをめぐる対立は、こうした動機が乖離した場合に何が起こるかを示している。政府が望む条件の受け入れをAnthropicが拒んだ結果、同社は政治的な報復と運用上の排除に直面した。この結果は、競合するすべてのプロバイダーに、より融和的に見せようとする圧力をかける。
OpenAIはその対立の最中に機密環境へ参入した。同社は、安全対策を弱めるのではなく、より強固なものを維持したと述べている。争点となっているP00003の記録により、その主張を評価するには文書上の証拠が不可欠となった。
機密環境への配備はモデルの拒否を超えるリスクをもたらす
慎重に制限されたモデルであっても、機密性によって外部テスト、インシデント報告、公開アカウンタビリティが制約されると、重大なリスクを生み出しかねない。
機密ネットワークは、機微な情報が権限のない利用者に届くことを防ぐ。同時に、研究者、ジャーナリスト、そして一般市民が、配備されたモデルの挙動を検証することも妨げる。
こうした秘匿性は、多くの軍事作戦にとって必要である。それでもなお、検証上の空白を生む。外部の観察者はテストの実施、拒否動作の比較、ログの調査、配備後に安全対策が変更されたかの確認を行えない。
政府は内部評価を実施できるが、そのレビューではモデルがタスクを完了するかどうか以上を検証しなければならない。幻覚、オートメーション・バイアス、データ漏洩、プロンプトインジェクション、敵対的条件下での性能を測定すべきである。
幻覚とは、モデルが根拠のない、または誤った内容を自信に満ちた形式で出力する現象だ。通常のオフィス業務なら、利用者は捏造された引用に気付けるかもしれない。だが、急速に展開する作戦では、もっともらしいが誤った統合分析が重大な意思決定を左右しうる。
オートメーション・バイアスは別の問題を生む。人は、特にシステムが自分で確認できる量を超える情報を処理している場合、機械が生成した推奨を過度に信頼しがちだ。証拠が不十分な場合でも回答を生成する低拒否率のモデルは、この傾向を悪化させうる。
モデルは悪意ある指示を含む機密資料に遭遇する可能性もある。プロンプトインジェクションは、システムが分析を求められたデータの中に命令を隠す攻撃である。侵害された文書は、情報の開示、方針の無視、結論の操作をモデルに指示する可能性がある。
こうした失敗モードは、政府に悪意がなくとも生じる。技術の限界と軍事情報システムの複雑性から発生するためだ。
OpenAIは、モデルを兵器プラットフォームに直接搭載するのではなく、クラウドベースの環境で配備していると述べている。この分離により、即時の行動に伴うリスクは軽減されうる。しかし、情報分析、計画、兵站、標的選定支援におけるモデルの影響をなくすものではない。
国防総省は、AIを複雑な作戦環境での意思決定を増強する手段として説明している。5月までに同省は、Google、Microsoft、Amazon Web Services、Nvidia、OpenAI、Reflection、SpaceXとの機密ネットワークに関する取り決めを発表していた。機密AIの拡大は、この政策上の問題が一社のプロバイダーをはるかに超えることを示している。
複数のベンダーを採用すれば、一社への依存を減らせる。一方で、安全対策の不一致、責任範囲の重複、最も制約の緩い競合他社に合わせようとする圧力も生みうる。
より頻繁に拒否するモデルは、タスク完了に焦点を当てた評価で不利になる可能性がある。より自由に回答するモデルは、重大な失敗が起きるまで運用面で優れているように見えるかもしれない。したがって、調達指標は、ガードレールの撤廃を明示的に求めなくとも、安全性の挙動を形作りうる。
公開討論では、拒否を本質的に良いものとして扱うべきではない。過度な拒否はシステムを信頼できないものにし、利用者が管理の緩い代替手段を探すよう促す可能性がある。重要なのは、拒否が正しい境界で起きているかどうかだ。
この問いに答えるには、シナリオベースのテストが必要である。評価者は、モデルが違法な監視、根拠のない標的特定、自律的な致死行為、認可の回避の試みを拒否するかを調べるべきだ。同時に、正当な情報活動や防衛任務を完了できることも検証すべきである。
必要に応じて結果を機密扱いのままにすることはできるが、監督機関はそれらにアクセスできなければならない。監察総監、議会委員会、適切なセキュリティ・クリアランスを持つ独立専門家は、作戦上の秘密を公開せずに統制を評価できる。
OpenAIと国防総省の契約をめぐる論争は、契約書も評価枠組みも検証できないときに何が起きるかを示している。国民は供給者と顧客から保証を受けるが、それを検証するために必要な証拠を欠いている。
文書化の欠落が今や中心的なリスクとなっている
最も強い結論は、OpenAIが安全対策を撤廃したということではなく、政府の記録管理によって重大な合意を監査不可能にしたということだ。
公開された文書には、双方が拒否したと述べる条項が含まれている。FOIA請求は最終記録を対象とし、草案を除外していた。政府の弁護士は当初P00003を最終版として扱ったが、後にその結論を撤回した。
個々の事実には、無害な事務上の説明がありうる。しかし、それらを総合すると、公式の契約履歴に対する信頼は損なわれる。
機密扱いの最先端AIを含む調達では、バージョン管理は基本であるべきだ。レビュー担当者は、誰が条項を提案したのか、いつ変更されたのか、誰が改訂を承認したのか、どの文書が配備を規律するのかを知る必要がある。
2月の時系列は複雑さを加えている。別の文書は、OpenAIが2月6日に拡張版のP00003を受諾したことを示していると報じられている。2月27日、当事者は機密ネットワークに関する取り決めを完了した。
これらの合意の関係は不明確なままだ。2月27日の文書が以前の変更を置き換えた可能性がある。補完した可能性もある。また、プロトタイプ契約の一部を有効なままにして、別個の配備を規律している可能性もある。
OpenAIの否定は具体的だ。同社は、締結済みの契約には最小限の拒否率を求める条項はないと述べている。この主張は明確に記録されるべきである。ただし、公開文書が一度も締結されなかったこと、あるいは同等の性能要件が他に存在しないことの証明にまで拡張してはならない。
国防総省の否定にも同様の限界がある。現行契約にその文言がないと述べても、それがかつて締結済みの変更契約に含まれていたかどうかは確定しない。条項は、修正や置換の後に有効な合意から消えることがある。
政府は、機密作戦を露出させずに論争の大部分を解決できる。関連する署名ページ、変更の時系列、優先・置換に関する文言、実効要件の非機密部分を公開できる。
OpenAIも、必要な編集を施したうえで、公表している安全対策を支える正確な契約文言を公開できる。同社はすでに合意の解釈を明らかにしているため、実効条項を確認すれば、その説明に実質が加わる。
批評家も誇張を避ける必要がある。「最小限の拒否率」は、モデルが兵器を制御し、監視を実施し、あらゆる制約を無視することを示すものではない。この文書は望ましい特性を記述しているのであって、特定の禁止された配備の証拠ではない。
この文言は実際の拒否率も明らかにしない。入手可能な報道には、検証済みの割合、ベンチマーク、消費者向けChatGPTとの比較は存在しない。したがって、軍が完全に無制限のモデルを受け取ったという主張は、証拠を超えている。
不確実性そのものが結果をもたらす。安全システムに取り組む開発者には、配備上の約束が調達上の圧力を受けても維持されるという確信が必要だ。異なる方針のもとで異なるモデル構成が動作する場合、企業の購入者にも正確な文書が必要である。
ナレッジワーカーも、よく知られたモデル名が馴染みのある挙動を保証しないことを理解する必要がある。軍事構成、企業向け配備、公開チャットボットでは、異なる指示、ツール、権限、拒否の閾値が使われる可能性がある。
方針、評価、改訂について検索可能な記録を維持することは、責任あるAIガバナンスの中心である。適切に管理されたナレッジベースは公開監督の代わりにはならないが、同じ原則が当てはまる。重大な決定には、追跡可能な情報源とバージョン履歴が必要である。
したがって、より強い証拠が別の結論を裏付けるまでは、この論争を文書化の失敗として扱うべきである。この枠組みは、根底にある疑惑について慎重な姿勢を保ちつつ、この水準のリスクにおいて契約の曖昧さは容認できないことを認識する。
最小拒否率の開示後に注目すべき点
この一件が是正可能な記録上の紛争となるのか、より深刻な説明責任の問題を示す証拠となるのかは、三つの兆候によって決まる。
第一の兆候は、実際の実効契約の連鎖が公開されるかどうかだ。国防総省は、P00003が署名されたのか、置き換えられたのか、あるいは誤って作成されたのかを明らかにすべきである。また、2月6日の変更が2月27日の機密配備契約とどのように関係するかも示すべきだ。
争点の条項が却下された草案にのみ残っていたことを示すなら、明確な時系列は当事者の説明を裏付ける。継続的な開示拒否や矛盾する回答は、公開説明から関連条項が省かれているとの懸念を強めるだろう。
第二の兆候は、軍事AIの拒否に関する具体的な評価枠組みである。当局者は、機微なプロンプトや情報データを開示する必要はない。それでも、禁止用途の分類、テスト方法、報告義務、失敗の調査を担う権限者を公開できる。
この枠組みは、誤った拒否と必要な拒否を区別すべきである。また、幻覚、無認可のツール使用、プロンプトインジェクション、作戦上の時間的圧力下での人間による監督もテストすべきだ。
意味のある評価基準の公表は、より有用な軍事モデルでも明確な境界を維持できるというOpenAIの主張を強めるだろう。回答率だけに焦点を当てた性能プログラムは、その主張を弱める。
第三のシグナルは、国防総省が競合するベンダー間で安全策をどのように扱うかだ。Google、Microsoft、Amazon、Nvidia、Reflection、SpaceX、OpenAI、その他の請負業者が、文書化された理由もなく、監視や致死的判断について実質的に異なるルールの下で運用されるべきではない。
Anthropicとの対立は、この比較をとりわけ重要なものにしている。決裂前、国防総省との交渉は、同社がより広範な軍事利用を認めるかどうかに焦点が当てられていたと報じられている。その後OpenAIは、公表された説明上は類似して見える制限を維持する合意を発表した。
プロバイダー間で共通の安全策が現れれば、この出来事は、困難な交渉の末に政策の収斂へ至った事例に近く見えるだろう。ベンダーが拒否を減らす意思に応じて異なる条件を受けるなら、競争圧力によって安全基準の下限が徐々に引き下げられる可能性がある。
OpenAIと国防総省の契約をめぐる問題は、結局のところ、その下限を誰が定義し、誰もがどのように検証できるのかという点にある。全面的な拒否も、無制限の遵守も、軍事AIにとって十分な基準ではない。
読者が注目すべきなのは、また別の保証ではなく、文書、測定可能な統制、そして一貫したベンダールールだ。それらが示されるまで、「最小限の拒否率」条項は依然として争点であり、その条項の下で提供されたとされるシステムも未検証のままである。次の開示では、単純な問いに答えるべきだ。合法的な軍事要請であっても容認できないリスクを生む場合、配備されたモデルにはどの安全策が拘束力を持つのか。
