ホワイトハウスの方針転換を受け、英国のAIモデル試験がリリース前に復活

英国のAIモデル試験は、英国の評価機関を米国の承認手続きの下に置こうとした最近の試みにもかかわらず、リリース前の重要な位置を取り戻した。

英国のAI Security Instituteは再び、OpenAI、Anthropic、Google DeepMindの高度なモデルを、ユーザーに提供される前に評価できるようになった。この変更により、英国は米国のAIシステムに対する外部テスターとして、異例の影響力を持っていた従来の枠組みを取り戻す。

この方針転換の重要性は、大西洋をまたぐ一つの対立にとどまらない。ワシントンは、未公開モデルへのアクセスが国家政策の手段になり得ることを一時的に示した。その後ロンドンは、少なくとも現時点では、同盟国からの圧力によってそのアクセスを再開できることを示した。

当初の方針転換に関する報道によると、英国による働きかけがこの制限の撤回に寄与した。従来の方針では、有力な研究所がモデルを英国当局と共有する前に、米国の承認が必要とされていた。

結果は英国にとっての勝利のように見える。しかし同時に、外部の評価機関が研究所とその本国政府による自主的な協力にどれほど依存しているかも浮き彫りにする。

英国のAIモデル試験がリリース前アクセスを回復

目先の変更は単純だ。英国の研究者は再び、一般公開前の一部のフロンティアモデルを調査できる。

フロンティアモデルとは、特定の時点で利用可能な、最も高性能な汎用AIシステムを指す。これらは複雑なコーディング、研究、説得、自律的なコンピューター操作を実行できる。

リリース前のアクセスにより、評価者は、開発者が安全策や展開計画をなお調整できる段階で、こうした能力を検証できる。公開後の試験でも問題を特定できるが、その時点ではユーザーがすでに影響を受けている可能性がある。

10月12日、英国政府は、同国のAI Security Instituteが最新の高度モデルについて厳格な評価を実施していることを確認した。同政府の発表は、この取り組みをサイバー脅威と自律型AIエージェントに対する新たな安全策の幅広い施策の一部に位置付けた。

政府は、すべてのアクセス条件を公表したわけでも、検証対象となるすべてのモデルを特定したわけでもない。この点は重要だ。リリース前の協力には、機密システム、セキュリティ手法、未公表の調査結果が関わることが多いためである。

Bloombergは、復活した枠組みがOpenAI、Anthropic、Google DeepMindのモデルを対象とすると報じた。これらの企業は、新たな性能・安全性の基準を打ち立てる可能性が最も高いシステムを複数開発している。

今回の決定は、トランプ政権に関連付けられていた制限を覆すものだ。そのアプローチでは、米国企業が外国政府の評価機関とモデルを共有する前に、米当局がモデルを審査することになっていた。

報じられた制限は、試験日程上の二つの予定を入れ替えるだけのものではなかった。これは、民間研究所と同盟国の安全機関の間に米国政府を介在させるものだった。

この枠組みは、英国の研究所が持つ中核的な優位性を脅かした。英国は主要なクローズドモデルを開発する企業の大半を擁していないため、その影響力は早期アクセスに大きく依存している。

この中断は、異例なほど緊密な協力が続いた時期の後に起きた。OpenAI、Anthropic、Google DeepMindは以前、英国の評価者にシステムまたは研究アクセスを提供していた。

AISIは、サイバー能力、生物学的リスク、安全策、アライメント不全の兆候についてモデルを試験してきた。アライメント不全とは、AIシステムが意図された目標や運用上の制約に反して行動することを意味する。

したがって、アクセスの回復は既存の評価プログラムを再接続するものだ。米国企業に対する強制的な権限を持つ新たな規制機関を設立するものではない。

この違いは、読者が今回の発表を解釈する際の前提となるべきだ。英国が取り戻したのはモデルを試験する機会であり、そのリリースを遅らせたり阻止したりする法的権利ではない。

研究所側は引き続き、どの程度のアクセスを提供するかを管理する。また、試験時間、インターフェース、技術情報、結果の開示を制限することもできる。

それでも英国当局にとって、実務上の成果は大きい。リリース前の試験は、変更がまだ容易な段階で、モデルの安全策に影響を与えられる可能性がある。

開発者にとって、アクセスの再開は展開前に専門家によるレビューを一つ追加することを意味する。同時に、機微な能力や国家安全保障に関わる判断に、別の政府が加わることにもなる。

この緊張関係が、より大きな論点につながる。この対立は、英国の研究者がベンチマークを実行できるかどうかだけをめぐるものではなかった。民間モデルと世界への広範な提供の間にある経路を、誰が管理するのかをめぐるものだった。

なぜ早期アクセスは追加のベンチマーク以上に重要なのか

リリース前評価に価値があるのは、タイミング、アクセスの深さ、試験条件が、外部研究者が実際に何を発見できるかを左右するためだ。

一般向けチャットボットが示すのは、基盤となるシステムのごく限定的な側面にすぎない。研究者には、専用インターフェース、詳細な安全策の情報、あるいは積極的な試験を実施する許可が必要になる場合がある。

英国の研究所は、その評価アプローチが、展開前に潜在的に有害な能力を検証するものだとしている。手法には、専門家が危険な挙動を探るエキスパート・レッドチーミングが含まれる。

こうした評価では、サイバー作戦、生物学的知識、自律的な行動、制御を回避する能力を対象にできる。また、より長時間のタスク全体で安全策が機能するかも検証できる。

この作業は通常の製品レビューとは異なる。評価者が問うのは、チャットボットがより優れたメールを書けるか、より洗練されたコードを生成できるかではない。

代わりに研究者は、モデルが脆弱性を発見できるか、有害な物質の設計を支援できるか、人を操作できるか、あるいは限られた監督下で危険な一連の行為を完了できるかを問う。

タイミングは、こうした発見の価値を変える。リリース前であれば、開発者はシステム指示を改訂し、監視を強化し、ツールを制限し、特定の能力の提供を延期できる。

リリース後には、同じ発見がインシデント対応の問題になる。顧客がすでにそのシステムをソフトウェア、研究、業務プロセスに組み込んでいる可能性がある。

早期アクセスによって、評価者はまだ一般公開向けに最適化されていないモデルを試験することもできる。これにより、後から加えられるインターフェース上の制限で隠される挙動が明らかになる場合がある。

ただし、アクセスだけで有効な評価が保証されるわけではない。試験者には十分な時間、適切なツール、現実的な環境が必要だ。

制約の多いプレビューを短時間だけ確認しても、長時間にわたるエージェント型タスクで現れるリスクを見逃す可能性がある。AIエージェントとは、限られた人間の指示のもとで、複数の手順にわたって計画し行動するシステムである。

評価はすぐに古くなることもある。開発者は、試験されたスナップショットと一般公開版の間でモデルを変更する可能性がある。

最終製品では、安全策、ツール権限、システム指示が異なる場合がある。こうした変更は安全性を高め得る一方、以前の結果の関連性を低下させることもある。

そのため、リリース前試験は継続的なプロセスの一部として機能する場合に最も効果的だ。研究者には、公開前のアクセス、展開直前の検証、そして公開後の監視が必要となる。

英国の立場が依然として特異なのは、AISIが政府内に大規模な専門チームを構築しているためだ。同機関は、技術的な知見を国家安全保障や公共政策と結び付けられる。

モデルの能力が従来の規制の境界を越える場合、この結び付きは重要になる。一つのシステムが、サイバーセキュリティ、科学研究、公共情報、重要インフラに影響を与え得る。

通常の分野別規制当局では、全体像を把握できない。中央集約型の技術研究所なら、複数のリスク分野にまたがるパターンを比較できる。

もっとも、AISIは認可機関のように活動しているわけではない。その取り組みは主に、提出を義務付ける要件ではなく、企業との合意に依存してきた。

英国と米国は2024年に共同試験協定を結んだ。両国は、それぞれの研究所の間で研究、モデルアクセス、専門知識を共有する計画だった。

この協力モデルは、同盟国間の試験が両国を強化することを前提としていた。最近の制限は、自動的な情報共有よりも国家統制を優先することで、その前提に異議を唱えた。

アクセスの回復はパートナーシップを再生させるが、その前例を消し去るものではない。ワシントンは、優先事項が変わればフロンティアモデルの流れを中断できることを示した。

方針転換が示す国家統制をめぐる争い

中心的な対立は、同盟国間の安全協力と、高度な米国技術に対する米国の統制の間にある。

トランプ政権の従来の立場は、未公開のフロンティアモデルを戦略的資産として扱うものだった。この論理では、受け手が緊密な同盟国であっても、外国によるアクセスは米国の安全保障審査に従うべきことになる。

この立場には理解可能な国家安全保障上の根拠がある。高度なモデルはサイバー作戦を加速させ、機微な研究を支援し、機密の評価手法を露出させる可能性がある。

ある政府とモデルを共有すると、技術面・制度面でのアクセス地点が増える。各アクセス地点は、情報漏えい、スパイ行為、不正利用に関するリスクをもたらす。

しかし、厳格な国家ゲートにはコストもある。独立した試験を遅らせ、一つの政府に権限を集中させる可能性がある。

また、米国が以前から構築を支援してきた国際的な評価ネットワークを弱体化させる可能性もある。共同試験により、異なるチームが手法を比較し、盲点を特定できる。

英国は、米国のレビュー担当者には再現できない能力をもたらす可能性がある。同国の研究所は、専門チームと複数の有力研究所との関係を築いてきた。

英国の研究者は、異なる前提で試験に臨むこともある。同じ優先順位やインセンティブを再現しない場合、独立した機関は有用になる。

ホワイトハウスの方針は一時的に、OpenAIとAnthropicを難しい立場に置いた。両社は米国で事業を展開し、米政府の判断に大きく左右される。

連邦政府の要請に従わなければ、契約、規制当局との関係、将来の政府プログラムへのアクセスが脅かされる可能性がある。従えば、外国の評価機関に対して行った約束を損なう可能性がある。

2026年初頭、両社はモデル配布への異例な政府関与を受け入れた。OpenAIとAnthropicは、米当局が高度なサイバーセキュリティ能力を審査する間、限定的なリリースを発表した。

OpenAIは当時、そのような政府アクセスが長期的な標準となるべきではないと述べた。この発言は、研究所側が抱えるジレンマをよく示している。

企業は、政府に自社の最も高性能なシステムを信頼してほしいと考える。一方で、当局がそれらのシステムを誰が受け取るかを管理する恒久的なプロセスには抵抗する。

したがって、この対立にはロンドンとワシントンの間の不一致以上のものが含まれている。フロンティアAIが主として商用製品であり続けるのか、それとも統制された戦略技術になるのかを試すものだ。

戦略モデルが優勢になれば、同盟国のアクセスは外交上の許可に左右される可能性がある。試験協定は、政権交代や安全保障上の出来事によって脆弱なままとなる。

協力モデルが優勢になれば、信頼できる外国の評価機関は、共通の安全策のもとで早期アクセスを受けることになる。各国政府は、より幅広い専門知識と引き換えに、一定の統制を手放すことになる。

新たな決定は協力を支持しているが、それは暫定的なものにすぎない。英国によるすべての重要モデルへのアクセスを保証する、公に説明された条約は存在しない。

報じられた方針転換は、拘束力のある制度上の規則ではなく、政治的な働きかけによるものとみられる。つまり、将来の対立によって同じ問題が再燃する可能性がある。

英国も厄介な依存関係に直面している。世界のAI安全性を主導したい一方で、最先端システムの大半は外国企業の管理下にある。

Google DeepMindは英国に深いルーツを持つが、米国拠点のAlphabetに属している。OpenAIとAnthropicもまた、米国の政治的圧力を受ける米国企業だ。

英国は、評価対象となる技術を支配せずとも評価の専門性を築くことはできる。この不均衡は、科学的権威が規制上の権限に転化できる範囲を制約する。

復活した取り決めにより、ロンドンはアクセスと専門知識を通じた影響力を得る。一方でワシントンは、企業管轄権と国家安全保障政策を通じ、より大きな影響力を維持している。

開発者や企業の購入担当者にとって、この違いは抽象的なものではない。政府の規制は、特定の地域、パートナー、研究チームにどのモデルが提供されるかを左右し得る。

モデルは技術的には準備が整っていても、政治的理由から利用できない場合がある。したがって製品ロードマップは、顧客が予測できない外交上の決定に左右される可能性がある。

安全性テストには依然として厳しい限界がある

アクセスの回復は監督を改善するが、いかなるモデルの安全性も、開発者がすべての発見に対応することも証明しない。

評価では、選定された条件下で特定の挙動を検証する。あらゆる環境、ユーザーの目的、ソフトウェア接続、攻撃手法を再現することはできない。

モデルは構造化されたテストでは安全に動作しても、メール、コードリポジトリ、クラウドシステム、決済ツールとの統合後には異なる挙動を示す可能性がある。

エージェント型システムは、この問題をさらに難しくする。リスクは単一の応答ではなく、長い一連の行動を通じて現れることが多い。

モデルは、一見無害なステップをいくつか踏んだ後に危険な結果へ到達するかもしれない。短いベンチマークでは、その進展を見落とす可能性がある。

研究者は能力と現実世界のリスクも区別しなければならない。実験室でサイバータスクを完了するモデルが、ただちに広範な脅威を生み出すわけではない。

実際の被害は、アクセス、ユーザーの意図、導入設計、安全対策、ほかのツールの利用可能性に左右される。防御側も同じ能力を使って脆弱性を見つけられる。

英国政府によると、フロンティアAIはすでに、1,000件を超える脆弱性の特定と対処を支援する防御プロジェクトで活用されている。これは、この技術の二面性を示す具体例となる。

同じモデル分類は、公共システムの保護にも、攻撃者による弱点探索の支援にも使われ得る。評価では能力と運用環境の両方を検討する必要がある。

透明性も未解決の問題を生む。詳細な結果が脆弱性や危険な手法を明らかにする可能性があるため、政府はすべてのテストを公開できない。

企業もモデルに関する情報を知的財産として保護している。こうした制約により、テストがリリースを変えたかどうかを一般市民が判断できない場合がある。

AISIはモデルを検査したと説明できても、最も重要な発見を公開せずに済む。その後、開発者は何がその対策の契機となったかを明かさずに安全策を発表できる。

こうした秘匿性は必要かもしれないが、説明責任を制限する。外部研究者は常に作業を再現できるわけでも、問題が修正されたことを確認できるわけでもない。

また、英国による否定的な評価がリリースを止めるという公的保証もない。AISIは証拠と助言を提供できるが、企業は依然として大きな導入権限を保持している。

同研究所自身の歴史は、この緊張関係を示している。同研究所は重要なシステムをテストし、評価される技術手法を開発してきた。

それでも、特定の発見と特定の製品変更を結びつける完全な記録を一般市民が目にすることはほとんどない。秘匿性はその一部の空白を説明するが、政策上の帰結までは説明しない。

より深い制約は任意性に関わる。研究所が提供するスナップショットを選ぶなら、評価者は最も重要なバージョンを受け取れない可能性がある。

広範なテストを行うには遅すぎる段階でアクセスを受けることもあり得る。競合他社が対抗製品を準備している場合、とりわけリリース予定は急速に進む。

商業的圧力は、レビューに割ける時間を狭め得る。外部プロセスによって期限のない不利益を被ることを望む企業はない。

政府からの圧力も、別の方向で同じ効果をもたらし得る。政府当局者は、広範な技術的精査よりも国家安全保障上の制約を優先する可能性がある。

以前の米国のゲートは、こうした力がどう組み合わさり得るかを示した。企業は競争市場向けに製品を準備する一方で、政府の指示にも直面していた。

英国によるAIモデルテストの復活は、差し当たり一つの制約を取り除く。しかし、評価が十分かどうかを誰が判断するのかという問題は解決していない。

したがって読者は、二つの誇張された結論を避けるべきだ。第一は、独立テストがあらゆる危険なリリースを阻止するという見方である。

第二は、安全を保証できない以上、テストにはほとんど価値がないという見方だ。どちらも、評価が達成できることを誤解している。

優れたテストは能力を特定し、安全策の失敗を明らかにし、より良い導入判断を支える。不確実性を減らすことはできても、完全になくすことはできない。

最も強固な制度は、早期アクセス、独立した手法、リリース後の監視、明確なインシデント報告を組み合わせるものだ。また、評価者が重大な問題を発見した場合に何が起きるかも明示する必要がある。

英国の新たなサイバー提案は、より広範なインシデント準備へ向かう姿勢を示している。欠けているのは、技術的な発見と強制力あるリリース判断を結ぶ持続的な仕組みだ。

OpenAI、Anthropic、Googleは競合する要求に直面する

フロンティア研究所は、機密性の高いシステムの制御を失わずに、商業顧客、各国政府、外部評価者を満たさなければならない。

OpenAI、Anthropic、Google DeepMindには、独立テストを支援する理由がある。外部評価は、社内チームが見落とす問題を特定できる。

また、企業顧客により大きな信頼を与えることもできる。組織は、高能力モデルが重要な業務フローに入る前に精査を受けた証拠を求めている。

政府との協力は、防衛、情報、規制産業における研究所の信頼性を高め得る。こうした関係は、専門的なテストの知見へのアクセスももたらす可能性がある。

しかし、評価者が増えるたびに調整コストも上がる。企業は安全なアクセスを準備し、技術的な質問に答え、報告された不具合を調査しなければならない。

遅延や情報漏洩のリスクもある。未公開モデルには、商業上機微な手法や国家安全保障上の意味を持つ能力が含まれる場合がある。

このため、アクセスの設計はアクセスそのものと同じくらい重要だ。研究所は、モデルの重みや内部コードを共有せずにインターフェースを提供できる。

ツールを制限し、セッションを監視し、評価環境を隔離することもできる。各保護策はセキュリティリスクを下げ得る一方で、評価者が観察できる範囲を制限する可能性もある。

3社が直面するインセンティブは同一ではない。Anthropicは先進モデルで積極的に競争しながら、安全性を公的アイデンティティの中核に据えてきた。

OpenAIは消費者向け製品、企業向けサービス、開発者プラットフォーム、政府との関係のバランスを取っている。一つの主要リリースの遅延は、広範な顧客ネットワークに影響し得る。

Google DeepMindは、世界的なクラウド、生産性向上、モバイル、広告プラットフォームを管理する企業の中で事業を行っている。その導入環境は独立系研究所のものとは異なる。

こうした違いは重要だ。単一の評価合意がすべてのモデルに適合するわけではない。サイバーセキュリティシステムには、汎用アシスタントとは異なる管理が必要になる場合がある。

企業はリリース時期でも競争している。ある研究所が長い外部レビューを受け入れれば、競合は先にリリースすることで注目と顧客を得られる。

信頼できる評価制度は、安全性への協力が競争上の不利益にならないようにしなければならない。共通の期待は役立ち得るが、主要開発者が一貫して従う場合に限られる。

それが政府間の調整が重要な理由の一つだ。共通のプロセスは、一社だけが競合他社より厳しい義務を負う可能性を減らす。

しかし米国のアプローチは別の非対称性を導入した。米国のレビューが先行し、英国のアクセスは条件付きとなった。

今回の方針転換は、当面その順序を取り除く。英国と米国のチームがモデルを同時に、独立して、あるいは共同演習を通じてテストするのかは依然として不明だ。

この違いは速度と独立性の両方に影響する。共同レビューは重複を減らせるが、共通の盲点を助長する可能性がある。

個別のレビューはより多様な発見を生み得るが、追加のアクセスと時間を要する。また、リスクをめぐる見解の相違も生み得る。

開発者は単一の協調プロセスを好むかもしれない。公共の利益を重視する研究者は、複数の独立した評価を重視する可能性がある。

これが外交的な言葉の背後にある実務上のトレードオフだ。効率的な監督と独立した監督は、常に同じものではない。

研究所は行動を通じて自らの選好を明らかにする。次の主要リリースは、アクセスがいつ始まり、評価者がどれほど詳細な情報を受け取るかを示すだろう。

公開文書も別のシグナルとなる。モデルレポートでは外部テストを認め、その発見が安全策や導入制限を変えたかどうかを説明できる。

沈黙も情報を伝える。企業が評価者の名前を挙げながら、その影響を説明しない場合、その取り決めは説明責任よりも保証として機能している可能性がある。

方針転換が続くかを示す三つのシグナル

次の試金石は、政府による別の発表ではない。回復したアクセスが、次の機微なモデルのリリースを越えて維持されるかどうかだ。

第一のシグナルは、次の主要なOpenAI、Anthropic、またはGoogle DeepMindのシステムに対するリリース前アクセスだ。公開されるモデル文書には、導入前のAISIの関与が示されるべきである。

その証拠は、方針転換が実務を変えたことを示すだろう。将来的な協力に関する曖昧な約束では、はるかに弱い確認にとどまる。

参加と同じくらいタイミングも重要だ。リリース数日前に受け取るアクセスでは、深いテストや意味のある是正措置を支えられない可能性がある。

第二のシグナルは、英国と米国のレビューの関係だ。先行報道では、米国の枠組みの下で特定の先進的なクローズドモデルに対する30日間のレビューが説明されていた。

英国の研究者がその期間中に作業するなら、両政府は並行協力に戻ったことになる。終了後まで待たなければならないなら、当初の序列は部分的に維持されている。

当局者は、米国の承認が廃止されたのか、それとも単に迅速化されたのかを明確にすべきだ。現在の報道は方針転換を支持しているが、公的な手続きの詳細は依然として限られている。

第三のシグナルは、評価が導入を変える証拠だ。能力の延期、より強力な安全策、より限定的なアクセス、公開された是正概要に注目すべきである。

発見が重要であるために、リリース全体を止める必要はない。開発者はツールを制限し、監視を調整し、リスクの高い機能を提供しないことができる。

目に見える変更がないことは、テストが失敗したことを証明しない。一部の改善は機密にとどまり、ほかのモデルは大きな介入なしに通過する可能性もある。

それでも、観察可能な結果をまったく生まない制度は、信頼性を問われることになる。政策立案者とユーザーには、早期アクセスがなぜ結果を変えるのかを示す例が必要だ。

リリース後は、インシデント報告も同じくらい重要になる。一部のリスクは、モデルが実際のユーザー、組織、ソフトウェア環境と相互作用して初めて現れる。

英国が計画する重大なAIインシデントに関する取り組みは、リリース前の評価を補完できる。研究所でのテストと実運用の間にフィードバックを生み出すべきだ。

企業の購入担当者にとって実務的な対応は、より良い質問をすることだ。外部評価者がテストしたのはどのモデルバージョンで、それは導入されるサービスとどれほど一致しているのか。

購入者はまた、評価者がどのようなアクセスを受けたのか、どのリスク領域を検討したのか、その後に提供者が何か変更したのかも確認すべきである。

これらのシステム上で開発を行う開発者は、モデルカード、政府の調査結果、ツール権限の変更を追跡すべきだ。より安全なベースモデルであっても、管理が不十分なアプリケーション内ではリスクを伴う可能性がある。

ナレッジワーカーも注意が必要だ。アクセス方針は、製品の提供状況や挙動に影響し得る。政府による審査によって、機能の提供が遅れたり、承認済みの利用者に限定されたりする場合がある。

英国におけるAIモデルのテストはリリース前に再び実施されたが、この出来事は長く残る警告を残した。最先端モデルへのアクセスは、もはや研究者と研究所の間だけの技術的な取り決めではない。

それは、政府、同盟関係、競争によって形作られる戦略的な決定だ。次の主要モデルは、英国が安定した立場を取り戻したのか、それとも一時的な例外措置を確保したにすぎないのかを示すことになる。

そのモデルを採用する前に、リリース前にどのような独立テストが行われ、その結果として何が変わったのかを確認してほしい。そうした答えは、また一つの安全性に関する約束よりも多くを明らかにする。