本日（2026年9月6日）は、ローカルLLMコミュニティによる大規模な検証レポート、LLM APIコストの意外な実測データ、LLMゲートウェイ界隈のセキュリティ情報、そして教育現場のAI規制の動きを整理してお届けする。

Qwen 3.8 27Bの「検閲解除」バリアント8種を167GPU時間かけて検証

LocalLLaMAコミュニティに、Hugging Face公開のQwen 3.8 27B検閲解除（abliterated）バリアント8種とベースモデルを体系的に比較した検証結果が投稿された。比較には11日間・約167 GPU時間をかけ、重みの差分、KLダイバージェンス、13種のベンチマーク、HarmBench 400による応答測定を組み合わせたパイプラインで評価している。

LLM判定によるHarmBenchの攻撃成功率（ASR）では、orcarouter版が82.2%で首位。レイヤー38の単一方向・131行列という比較的小さな編集にもかかわらず、モデルカードの主張がすべて重みの実測と一致した「正直なカード」だったという。2位はheterodoxinのapostate版（78.7%）で、新手法KCRNによる41箇所の実編集はKLダイバージェンス0.0439と最小で、能力の劣化がほぼない一方、テキスト専用として再保存されたため視覚機能とMTPを失っている。3位のhuihui-ai版（75.6%）は古典的手法で、著作権関連以外は安定的に解除が効いている。最下位のtrohrbaugh版（57.5%）は逆に残留拒否が最多ながら、能力プロファイルは最もきれいだったという。ベースモデルは4.5%で、依然として堅牢な壁として機能する。

個別の順位よりも興味深いのは、ここから浮かび上がる構造的な知見だ。

まず「外科的編集が大掛かりな編集に勝つ」という傾向が、今度は際立って再確認された。上位2つは検証済みの編集規模が最も小さい部類で、逆に850テンソル中841を編集した最も攻撃的なobliteratus版は下から2番目に沈み、「堂々巡りに考えるモデル」になってしまった。

次に思考ループの問題だ。Qwen 3.8は応答前に思考するタイプのモデルだが、攻撃的な編集を施した個体ではHarmBench応答の最大約45%が、15,360トークンの予算を使い切っても思考ブロックを閉じられなかった。判定側はトレース全体を読むためループ内の応答もカウントされるが、終了しない独白の中でしか成果を出せないモデルは実用にならない、と検証者は指摘する。一方でGSM8Kの数学推論は全個体がベースと1.2ポイント以内に収まっており、「学校の数学は収束し、敵対的な内省は発散する」という非対称が見えている。

三つ目は「壁の移動」。著作権関連が新たな普遍の壁となり、9個体中どれも39%を超えられず、5個体は3.2%以下にとどまった。かつて最も解除困難だった化学・生物系は、今や最も容易な部類だという。

さらに今回は、チャットテンプレートの科学的検証まで必要になった。blackfrost版と名乗る個体はチャットテンプレート内に1,457文字の脱獄用システムプロンプトを同梱しており、利用者のすべてのプロンプトに暗黙に注入される状態だった。この改変はモデルカードに開示されていなかったという。チャットテンプレートは多くの人が想定する以上に強力な挙動レバーであり、モデルカードの記載を鵜呑みにできない実例と言える。

Qwen 3.8 27B自体は本ブログでもマルウェア解析への活用や量子化版の公開などで何度か取り上げてきたが、コミュニティが検閲解除の実態をここまで定量的に検証した例は珍しく、モデルカードの信頼性を測る物差しとしても参考になる。

同一モデルでもLLM APIのコストは「呼び出し形状」で約33倍変わる

OpenRouter掲載の全425モデル・58プロバイダーの価格を毎日スクレイプして差分を公開しているcostpertokenの開発者が、意外なデータを報告した。まったく同じモデルでも、コーディングエージェント型の呼び出し（大量のコンテキストを入力し、コードを出力）は、バルク分類型の呼び出し（少量の入力で短い出力）と比べて1呼び出しあたり約33倍のコストがかかるというのだ。

この倍率はGPT-5.6で33.6倍、Claude Sonnet 5で33.3倍、Gemini 3.7 Flashで33.3倍と、価格体系が無関係な3モデルでほぼ一致した。ベンダーごとの個別設定というより、入出力トークンの非対称という「呼び出し形状」そのものの性質とみられる。エージェント型ワークフローのコスト見積もりにおいて、素朴な1回あたり単価は当てにならないことを示すデータだ。

LiteLLMに権限昇格のCVE──ゲートウェイを置くか、インプロセスか

LLMゲートウェイのLiteLLMに権限昇格の脆弱性CVE-2026-35029が見つかったことを受け、Hacker NewsではセルフホストLLMゲートウェイの是非が議論されている。きっかけとなった投稿は「ミドルウェアは設置して放置できるものではない」という教訓を強調するもので、運用・監視コストをどう評価するかが焦点になっている。

こうした流れの中、ゲートウェイを介さず、レート制限・マルチプロバイダーフォールバック・サーキットブレーキングなどをAPI呼び出しのインプロセス内で実現するTypeScript/Node向けライブラリ「VernLLM」も発表された。OpenAI互換APIに加えAnthropic、Gemini、Bedrockに対応する。ネットワークホップを増やさず、APIキーを別サービスに預けなくてよいのが利点。一方で複数アプリ・複数言語横断の集中ポリシーが必要な場合は従来型ゲートウェイが優位という、棲み分けが明確な選択肢になっている。

ニューヨーク市も学校で一部AIツールを一時停止へ

本ブログでも先日「米最大2学区はAI利用停止へ」という動きを伝えたが、学校現場でのAI利用を見直す流れはニューヨーク市にも及んでいる。現地メディアの解説記事によると、NYCは学校内での一部AIツールの運用を一時停止しているという。対象範囲や理由といった詳細は現時点では不明点が多く、今後の公式発表を待ちたい。

検閲解除モデルの実態検証は、モデルカードの信頼性という今後も付きまとう問題に定量的な物差しを与えてくれる。コスト面でも呼び出し形状の影響は33倍に及ぶことが示され、エージェント運用の設計判断がますます重要になりそうだ。