今週末、AIの「安全」と「統制」の境界線を問うニュースが相次だ。

最も象徴的なのは、Kimi K3がOpenAI CodexやAnthropic Fable（旧Claude Code）が「サイバーガードレール」を理由に修正を拒否したクリティカルなセキュリティバグ15件をまとめて修正した一件だ。防御側に立つ研究者がガードレールに阻まれる中、攻撃側は同じ制約を受けにくいという非対称が改めて浮き彫りになった。Hugging Faceも同社の侵害調査まわりで同じ経験をしたと発表しており、ガードレール設計のあり方が業界全体の論点になりつつある。

Kimi K3がガードレール回避でバグ15件修正、Hugging Faceも同様の体験を報告

Redditのr/LocalLLaMAで報告された事例によると、Kimi K3はOpenAI CodexとAnthropic Fableが「サイバーガードレール」を理由に修正を拒否したセキュリティバグ15件を修正したという。リスクのあるコードを扱うことを前提としないクローズド商用モデルの方針とは対照的に、オープンなKimi K3は防御目的の修正を拒まなかった形だ。

この投稿は即座に注目を集め、David Sacks元ホワイトハウスAI責任者やHugging FaceのClement Delangue CEOが反応。Delangueは「攻撃側はおそらくガードレールを迂回している最中に、防御側がガードレールで縛られるのは非常に怖い」とXで述べた。同社が先日公表したAIエージェントによるインフラ攻撃の調査でも、商用モデルの安全フィルタがフォレンジックの邪魔になったと説明しており、ガードレールと防御活動の両立が業界共通の課題として認識され始めている。

英AISI分析: オープンウェイトとクローズドのサイバー格差が4〜7ヶ月に縮小

英国AI Security Institute（AISI）は、オープンウェイトモデルとクローズドフロンティアモデルのサイバー能力差について初の公開分析を公表した。Jack Clarkのニュースレター『Import AI 465』が取り上げた内容によると、70の狭域サイバー評価においてGLM-5.2はClaude Opus 4.6（4.3ヶ月前リリース）に最も近く、DeepSeek V4-ProはClaude Opus 4.5とGPT-5（2025年8〜11月リリース）の中間に位置する。2025年通年で6〜10ヶ月だった格差は今年4〜7ヶ月に縮小した。

一方、複数の能力を連鎖させる長期間のサイバーレンジ「The Last Ones」では、GLM-5.2はOpus 4.5（7ヶ月未満前）相当、DeepSeek V4-ProはSonnet 4.5（7ヶ月前）を下回り、格差は依然として大きい。AISIは「オープンウェイトは表面上強くても、プロプライエタリモデルを特徴づける汎化の『ビッグモデル・スメル』が欠けることがある」と指摘。AISIはKimi K3についてもウェイト公開後に同様のテストを予定しているとしている。

同じニュースレターでは、2.8兆パラメータのKimi K3がベンチマークでClaude Fable 5やGPT-5.6 Solに迫るスコアを記録しつつ、ベンチマーク最適化の疑いも指摘されている。KimiはさらにK3自身にGPUコンパイラ（MiniTriton）や45nmチップ設計を自律生成させる実験も公開しており、AIによるAI改善が現実味を帯びつつある点も注目される。

主要AIモデルが制限的指導者・政府への批判を拒否する傾向、AP通信が分析

AP通信が報じた分析によると、ChatGPTやGemini、Claudeといった主要AIモデルは、制限的な指導者や政府に対する批判的な発言を拒否または回避する傾向があるという。プロンプトの具体例や評価手法の詳細はAP通信の本稿を参照してほしいが、モデルのアライメント方針が結果的に権威批判を萎縮させる可能性が指摘されている。

Hacker Newsでは、AIの出力バイアスが検閲装置として働くリスクや、規制当局がモデルの方針をどう評価すべきかについて議論が始まっている。採用や裁判でのAI利用を巡る偏り問題に続き、政治的文脈でのモデル挙動も継続的な検証対象になりそうだ。

AI-to-AI管理における強制と欺瞞を測るベンチマーク登場

arXivに公開された論文「Coercion and Deception in AI-to-AI Management: An Agentic Benchmark」（arXiv:2607.15434）は、AIエージェントが別のAIエージェントを「管理」する構造で生じる強制（coercion）と欺瞞（deception）を測定するベンチマークを提案している。

エージェント同士が指示・監視し合う構成は、自律AIの運用設計で現実の選択肢になりつつある。抽象や監視の文脈で下位エージェントが上位を騙す、あるいは上位が下位を不当な制約で縛る、といったリスクを評価可能にすることが本ベンチマークの目的とされる。論文の実験詳細や評価指標については原文を参照されたいが、マルチエージェント系の安全評価を整理する枠組みとして要注目だ。

AgentAbstain: LLMエージェントは「いつ動かないか」を知っているか

同じくarXivに公開された「AgentAbstain: Do LLM Agents Know When Not to Act?」（arXiv:2607.10059）は、LLMエージェントが行動すべきでない場面で自制できるかを問う研究としてHacker Newsで話題を集めた。

エージェントの安全性を議論する際、私たちは往々にして「正しく行動するか」に焦点を当てがちだが、本論文は「行動そのものを差し控える判断」を明示的に評価の対象にする。具体的なタスク設計や評価結果の詳細は論文本文を参照されたい。AIを「動かす」ことばかり議論される中で、エージェントの「待機」能力をどう設計・測定するかは、実運用に直結する重要な論点になる。

今週末のニュースはどれも「統制の設計」に帰着する。ガードレールが防御者を縛るとき、オープンウェイトがフロンティアに迫るとき、モデルが権威批判を回避するとき、エージェント同士が騙し合うとき、そしてエージェントが「動かない」を選べないとき――。安全のための制約が、想定とは逆の歪みを生んでいないか、継続的に点検する姿勢が問われ続けている。