オープンウェイトAI、最先端AIモデルとのサイバー攻撃能力差が4〜7カ月に縮小＝英AISIレポート

英AI Security Institute（AISI）は7月、自由にダウンロードできるオープンウェイトAIモデルのサイバー攻撃能力が、最先端のクローズドモデルに対して4〜7カ月差まで縮まったと公表した。対象はネットワーク接続されたインフラを運用するあらゆる組織で、防御側が備える猶予は短くなっている。しかもこの差は固定的ではなく、最先端側そのものも加速して前進している。

■4〜7カ月という「準備時間」

英AI Security Institute（AISI）が7月17日に公表した2026年7月の能力レポートによると、最も高性能な自由配布のオープンウェイトAIモデルは、攻撃的なサイバーセキュリティー課題で最上位のクローズドモデルに対して4〜7カ月遅れている。AISIによれば、この差は2025年の大半で測定された6〜10カ月から縮小した。

この結果が意味するのは、ネットワーク化されたインフラを運用する組織にとって、最先端に近いAI駆動のサイバー攻撃能力が、ノートPCと少額の計算資源で誰でも使える状態になるまでの猶予が、測定可能で、しかも短くなっているということだ。

厄介なのは、単に差が縮んでいることではない。この4〜7カ月という数字は、現時点でオープンモデルがクローズド最先端にどれだけ遅れているかを示すものであって、安定した遅れ幅を意味しない。AISIの追跡では、クローズドモデルのサイバー性能は2026年2月時点で4.7カ月ごとに倍増しており、これは2025年11月時点の8カ月から加速していた。さらにAISIの2026年5月の加速分析では、AnthropicのClaude Mythos PreviewとOpenAIのGPT-5.5が、その傾向すら上回ったとされる。縮んでいるのは、立ち止まった境界ではなく、前進し続ける最先端に向かう窓である。

■AISIは単機能ではなく、自律的な攻撃チェーンを評価した

今回のレポートでAISIが評価した中国系オープンウェイトモデルは2つだ。1つは北京拠点のZ.aiが2026年6月に公開したGLM-5.2、もう1つはDeepSeek V4-Proである。AISIは、公開時点でオープンウェイトのサイバー能力を測る有力候補として両モデルを選定し、2つの手法で評価した。

1つ目は、70件の「狭義のサイバー課題」からなるベンチマークである。難易度は、セキュリティー経験が限られるデータアナリスト相当から、見習い、実務者、専門家までの4段階に分かれる。専門家レベルは、10年以上のサイバーセキュリティー経験を要する設定だ。課題分野は、脆弱性調査と悪用、リバースエンジニアリング、Web攻撃、暗号などにまたがる。各モデルには各課題で5回の試行が与えられ、各試行の上限は250万トークンだった。

2つ目は、より懸念の大きい測定法である「Cyber Ranges」だ。これは、AIエージェントが人の誘導なしに、模擬的な企業ネットワーク全体を相手に、多段階のサイバー攻撃を最初から最後まで自律的に遂行できるかを試すものだ。代表的なレンジである「The Last Ones」は、4つのサブネットと約20台のホストにまたがる32ステップのシナリオで、AISIは人間の熟練専門家なら完了に約20時間かかると見積もっている。各モデルには1回あたり最大1億トークンが与えられた。

■GLM-5.2は狭義課題でOpus 4.6相当、レンジでは差が広がる

狭義課題では、GLM-5.2は2026年2月公開のAnthropic Opus 4.6と同程度の成績を示し、AISIの比較結果では最先端からおおむね4カ月遅れに位置付けられた。この一致は4つの難易度帯すべてで見られた。DeepSeek V4-Proは2025年11月公開のOpus 4.5に追随し、約5カ月遅れとされた。

一方で、The Last Onesのサイバーレンジでは、GLM-5.2はOpus 4.5が到達した水準まで進み、AISIはここでの差を最大7カ月と見積もった。AISIのGLM-5.2軌跡分析によると、GLM-5.2はThe Last Onesのステップ7までを、他のどの試験モデルより少ないトークン数で到達し、ステップ11まではOpus 4.6の軌跡を追った後に進行が止まった。ここでいう進行停止は、その先のステップに進めなくなったことを指す。

DeepSeek V4-Proのレンジ性能は、最先端未満のモデルとされるSonnet 4.5も下回った。オープンモデルとクローズドモデルの差は、狭義課題よりサイバーレンジで大きい。もっともAISIの計算資源スケーリング研究では、1回あたり少なくとも1億トークンまでは、トークン消費に対して性能が対数線形に伸びるとしており、推論時の計算資源を増やせばオープンモデルの成績は改善するとしている。AISIによれば、計算予算を増やすだけで59％の性能向上が達成可能で、運用者側に追加の高度な技術は要らない。

■自律攻撃の実行コストは2ドル未満にも

AISIのコスト比較表によると、The Last Onesを1億トークンでフルに実行する費用は、ベンチマーク対象となったクローズド最先端モデルのOpus 4.5またはOpus 4.6では約85ドル（約1万3770円、1ドル=162円換算）である。これに対し、GLM-5.2は推定46ドル（約7452円）、DeepSeek V4-Proは1.19ドル（約193円）だった。

両モデルが100％の成功率を達成した個別の狭義課題でも、差は大きい。AISIの課題別コストデータでは、Opus 4.6は1課題あたり15.17ドル（約2458円）、GLM-5.2は6.12ドル（約991円）だった。Opus 4.5は12.50ドル（約2025円）、DeepSeek V4-Proは0.28ドル（約45円）とされた。

これらは公表されている一次API料金であり、AISIは試験したオープンウェイトモデルについてはセルフホスト構成を用いたため、実際の計算コストには幅がある。ただ、政策上重要なのは桁である。AISIの測定では、模擬企業ネットワークに対する自律的なサイバー攻撃の試行は、自由にダウンロードできる中国系AIモデルを使えば、1桁ドル台で実行可能になっている。価格に敏感な脅威アクターであれば、夕食代程度で数千回の試行を回せる計算になる。

■中国法のリスクと、セルフホスト時の違い

GLM-5.2とDeepSeek V4-Proはいずれも中国で設立された企業に由来するため、中国の国家情報法第7条の適用対象となる。同条は、あらゆる組織と市民に対し、求めがあれば国家情報活動を支援し協力することを求めている。加えて、中国のサイバーセキュリティ法（2017年）とデータ安全法（2021年）を含む法制度には、データの国内保管や政府アクセスに関する規定がある。こうした法的義務は、サーバーの設置場所にかかわらず企業自体に及ぶ。

ただし、AISIが評価したユースケースである、プライベートな基盤上でのオープンウェイトのセルフホストでは、データ共有リスクの性質は構造的に異なる。AISIが確認済みとするセルフホスト分析では、セルフホスト時にはデータが元の企業のサーバーへ戻らないことが明確だという。これらのモデルをクラウドAPI経由で使うかを検討する企業のセキュリティーチームは、中国の法制度を、モデルの技術能力とは別の、交渉不能なリスク評価要素として扱う必要がある。

AISIが測った能力はAPIアクセスに依存しない。セルフホスト可能なオープンウェイトは、データローカライゼーションのリスクを伴わずに技術的能力を持ち込める一方、知的財産の来歴やサプライチェーンの完全性に関する問題は残る。

■安全対策は簡単に回避され、オープンウェイトでは恒久的な問題になる

AISIのガードレール評価では、GLM-5.2もDeepSeek V4-Proも、評価者がサイバー課題を遂行する上で意味のある障壁にはならなかった。DeepSeek V4-Proは、ときおり主にリバースエンジニアリング分野で拒否応答を示したが、その拒否は繰り返し試すだけで乗り越えられ、特別なジェイルブレイク手法は不要だった。

問題は個別の回避手法にとどまらない。クローズドモデルのAPIであれば、開発元は利用状況の監視、新たな脆弱性出現時の安全策更新、サーバー側の制御適用、危険な挙動が確認された場合の提供停止といった手段を保持できる。AISIのオープンウェイト・リスク管理研究が示す通り、重みが公開配布された後には、そうした選択肢は存在しない。

オープンウェイトモデルの公開は、安全ガバナンスの観点では不可逆である。安全策は重みから取り除け、複製は監督なしに増殖し、モデルは開発元が把握しないインフラ上で動く。DeepSeek V4-Proの拒否挙動も、重みをダウンロードして拒否学習を除去する攻撃者にとっては、すでに本質的ではない。拒否学習が入っているのはDeepSeekがそう選んだからであって、除去できないからではない。

■縮む窓は一方向ではない

AISIはこのオープンウェイトとの差を、防御側の「準備時間」として位置付けている。管理されたチャネル経由で最先端AIにアクセスできる防御側が、同等能力が自由配布される前に備える期間という意味だ。この整理は妥当だが、重要な点が1つある。差が縮むのは、オープンウェイトが追い上げているからだけではなく、クローズドの最先端が同時にさらに先へ進んでいるからでもある。

AISIによると、2026年4月に評価したAnthropicのClaude Mythos PreviewとOpenAIのGPT-5.5は、2023年に試験を始めて以来でも最大級の単発ジャンプを示した。Mythos Previewは、4月以前には達成されていなかったThe Last Onesの完全走破を初めて成し遂げ、GPT-5.5も数週間後に2番目として続いた。2026年7月にいう「4カ月差」は、2026年2月公開のOpus 4.6に対する差であって、セキュリティー研究者を最も警戒させているMythos PreviewやGPT-5.5に対する差ではない。

今後のオープンウェイト公開が、2026年4月のような能力ジャンプを再現するかは未解決で、AISIも現時点の知見は予測的ではないと明示している。ただし軌跡そのものは見えている。AISI自身の見積もりでは、最先端サイバー能力の倍増時間は2025年11月の8カ月から2026年2月の4.7カ月へと加速し、その後Mythos PreviewとGPT-5.5はさらにその傾向を上回った。オープンウェイト側が追いつく間、クローズド最先端が減速している兆候はない。

NCSCは2026年4月の防御指針で、この能力ジャンプを受け、組織に対してサイバーセキュリティーの基礎対策とAI強化型防御への投資を促した。NCSCとAISIの2026年3月の共同分析では、最良のAIモデルは18カ月前の最良モデルに比べ、模擬企業ネットワーク内で約6倍多くの攻撃ステップを完了でき、完全自動攻撃のコストは約65ポンドだった。AISIの7月17日の結果は、同じ自動化試行が、自由にダウンロードできる中国系モデルで1.19ドルでも可能になったことを示唆している。

■Cyber Rangeは実際に何を測るのか

「モデルがXステップ完了した」という表現だけでは実態が見えにくいため、Cyber Rangeの方法論は正確に理解する価値がある。The Last Onesは、AISIの専門エンジニアが模擬企業ネットワーク上に構築した逐次型の攻撃チェーンで、4つのサブネットと約20台のホストからなり、初期侵入から順序立てた攻撃連鎖が組まれている。

各ステップでは、AIエージェントが現在のネットワーク上の位置を推論し、適切な次の行動を選び、実行し、その結果を解釈しなければならない。これを人の誘導なしに、自律的に、かつトークン予算の制約内で行う。AISIは、このレンジでの性能がトークン予算に対して対数線形に伸びることを確認しており、1000万トークンから1億トークンに増やすと、性能は最大59％改善したとしている。

したがって、DeepSeek V4-Proの1.19ドルという数字は、特定の計算予算における性能を反映している。より多くの計算資源を投じる脅威アクターは、同じモデルからより高い攻撃能力を引き出せる。1.19ドルはコストの下限であり、より高い予算はより高い性能を買える。

もっとも、このレンジには能動的な防御側、各種防御ツール、アラートによる不利は含まれていない。AISIは、レンジが示すのはオープンモデルの能力の上限推定であって、堅牢化された実環境に対する確認済みの結果ではないと明示している。実際の企業ネットワークでインシデント対応が機能していれば、自律エージェントの有効性は落ちる。AISIのベンチマークは保証ではなく上限である。

■規制の逆説と、すでに配布済みの重み

AISIの結果は、AIガバナンスの中心的な逆説が鮮明になるタイミングで出てきた。2026年6月12日、米商務省はハワード・ラトニック長官の下で、Anthropicに対し、MythosおよびFableモデルを外国人に輸出する前にライセンス取得を求めるIs-Informed Letterを出した。研究者が、これらモデルの安全ガードレールを回避し、ゼロデイ脆弱性の発見やエクスプロイト生成を含む、制限のないサイバー能力を引き出す手法を特定したとの報道を受けた措置だった。

Anthropicは、国籍でのフィルタリングが技術的に不可能だと判断した時点で、両モデルを全世界で無効化した。その後、6月26日に出たtrusted-partners exemptionで、Mythosへのアクセスは一部回復した。こうした介入の構造、すなわち輸出時のライセンス要件、一時的な全世界停止、例外による一部復旧は、クローズドモデルにしか適用できない。

DeepSeek V4-ProとGLM-5.2は、すでにオープンウェイトとして世界中に配布されている。米英いずれの主体もリコールはできず、すでにダウンロード済みの複製に対してライセンス要件を遡及適用することもできない。モデルは世界各地の私設インフラ上に置かれ、誰の許可もなく実行できる。

AISIが以前からオープンウェイト・リスク分析で示してきた構造的非対称性、つまりクローズドモデルのガバナンスは調整・制限・撤回ができる一方で、オープンウェイトはできないという非対称性が、7月17日のレポートで具体化した格好だ。今や回収不能なオープンウェイトモデルが、4カ月前のクローズドモデル能力に並び、しかも費用はその一部で済む。

Anthropicの輸出規制の適法性を争う訴訟、Legion LegalTech, Corp. v. United States, No. 1:26-cv-02225 は連邦裁判所で係争中である。

■次の評価対象はKimi K3

AISIは、次に評価キューへ入るオープンウェイトモデルとして、北京拠点のMoonshot AIによるKimi K3を挙げた。Moonshot AIの発表によると、Kimi K3は2026年7月16〜17日に公開され、オープンウェイトは7月27日までに公開予定とされている。アーキテクチャ仕様では、Mixture-of-Experts構成で2.8兆パラメーター、896エキスパート中16を各トークンで有効化し、100万トークンのコンテキストウィンドウを備える。原文時点では、パラメーター数で最大のオープンウェイトモデルとされている。

Artificial Analysisの独立評価では、Kimi K3は総合でフロンティアモデル全体の4位に位置付けられ、Claude Fable 5とGPT-5.6 Solに次ぎ、Opus 4.8を上回ったとされる。また、LMArenaのFrontend Codeベンチマークにおけるブラインド開発者テストでは、1679ポイントで首位だった。もっとも、これらは一般能力ベンチマークであり、AISIのサイバー特化評価ではない。

AISIの見通しでは、現在のコーディング系ベンチマークからすると、Kimi K3はGLM-5.2やDeepSeek V4-Proよりも現在の最先端モデルに近づく可能性があるが、コストは大幅に高くなる見込みだ。Kimi K3のAPI価格は入力100万トークンあたり3ドル、出力100万トークンあたり15ドルで、Artificial Analysisは1課題あたりコストを約0.94ドルと報告している。これは1ドル未満のオープンウェイト群と、クローズド最先端の価格帯の中間に位置する。AISIによるサイバー特化能力の評価は、重みが一般公開されるまで進められず、現時点では7月27日が予定日とされている。

Moonshot AIも北京拠点の企業であり、DeepSeekやZ.aiと同じ中国国家情報法の枠組みの対象となる。Kimi K3のオープンウェイト公開も、先行モデルと同じガバナンス上の非対称性を抱える。いったん配布されれば、規制措置で重みを回収することはできない。

■オープンウェイトAIはなぜサイバー攻撃に使えるのか

オープンウェイトモデルは、学習済みパラメーターに完全にアクセスでき、それをダウンロードし、私設ハードウェアで実行し、元の開発元の関与なしに改変できる。ローカルで動くため、開発元は利用状況を把握できず、不正利用の監視もアクセス撤回もできない。

有害な依頼を拒否するための拒否学習は重みに保存されており、公知の手法で除去または再学習による上書きが可能だ。AISIの安全対策セクションは、重みを改変しなくても、DeepSeek V4-Proのサイバー課題における拒否は、失敗した要求を少数回リトライするだけで乗り越えられたと指摘している。

■注目ポイントQ&A

●オープンウェイトAIモデルは、サイバー能力でクローズド最先端からどれだけ遅れているのですか？

AISIの2026年7月17日時点のベンチマークでは、主要なオープンウェイトモデルはクローズド最先端に対して4〜7カ月遅れています。狭義課題では4カ月、複数段階の自律攻撃レンジでは最大7カ月です。2025年の大半で測定された6〜10カ月より差は縮まっています。

●オープンウェイトモデルを使うAI駆動の自律サイバー攻撃は、いくらかかるのですか？

AISIは、企業ネットワークの模擬環境に対する1億トークンの完全自律攻撃実行コストを、DeepSeek V4-Proで約1.19ドル、GLM-5.2で46ドル、比較対象のクローズド最先端モデルで約85ドルと測定しました。両モデルが100％成功した個別課題では、DeepSeek V4-Proは1課題あたり0.28ドルでした。なお、これは公表API価格ベースで、セルフホスト時の実コストは変動します。

●DeepSeekは、セルフホストのオープンウェイトとして使ってもセキュリティーリスクがありますか？

ありますが、リスクの性質はアクセス方法で大きく異なります。クラウドサービスやホスト型API経由で使う場合は、中国国内サーバー上のデータ保管や、中国国家情報法第7条に基づく政府要請への協力義務が問題になります。私設基盤でオープンウェイトをセルフホストすれば、データがDeepSeekのサーバーへ戻らないため、その種のクラウド由来リスクは外れます。一方で、重み自体のサプライチェーン上の懸念は残ります。

●サイバー部門以外の組織にとって、『準備時間』とは何を意味しますか？

最も高性能なクローズドAIにアクセスできる防御側が、自由配布の同等能力を攻撃側が使えるようになる前に備えるための猶予を意味します。NCSCの防御指針は、パッチ適用の頻度、ネットワーク分離、エンドポイント監視といった基本対策を優先しつつ、AI強化型の防御ツール評価を今始めるよう求めています。差がゼロになるのを待ってからでは、この猶予を活用できません。

元記事: Open-Weight AI Models Now Match Frontier Cyber Skill From Four Months Prior, AISI Finds