※この記事は2026年10月1日時点の公開資料と、自分の考察をもとにしています。サイバー攻撃の方法や、特定企業への投資判断を扱うものではありません。
先日、AIの防御について記事を書きました。
きっかけは、OpenAIの評価中のエージェントが隔離環境を越え、Hugging Faceの本番システムに届いた事件です。その記事の最後に、自分はもう一つ心配なことを書きました。
強い能力を持つAIが、限られた企業の管理下にあるモデルだけではなくなったら、どうするのか。一社が利用を止めても、別のモデルで同じようなことができるなら、提供元の判断だけには頼れません。
そこまで書いたばかりなのに、GLM-5.3についての新しい評価を見ました。
「いや、もうその方向の評価が出てきたんか」と思いました。
ただし、ここで慌てて「別のAIがMythosに完全に追いついた」と書くのは違います。何が示され、何がまだ示されていないのかを分けておきます。
追いついたのは「AI全体の性能」ではない
GLM-5.3は、中国のZ.aiが開発したAIです。同社は2026年8月にモデルを発表し、その後、モデルの重みを公開しました。重みが公開されると、提供会社のAPIを通さずに利用・調整できるようになります。
9月29日、AnthropicがGLM-5.3のサイバー能力についての評価を公開しました。Chromeで使われるV8の既知の脆弱性を題材に、攻撃を最後まで組み立てられるか調べた試験では、GLM-5.3が410回の試行中50回、Claude Mythos Previewが56回成功しています。別の社内試験ではGLM-5.3が4％、Mythos Previewが6％でした。
近い数字に見えます。ただ、比べているのは特定のサイバー能力です。Mythos全般の能力が同じになったという話ではありませんし、比較相手は現在のMythos 5.1ではなく、以前のMythos Previewです。
米国NISTの別の評価でも、GLM-5.3は評価対象の中で最もサイバー能力の高い公開ウェイトモデルとされました。一方で、複数の試験を合わせた評価では、現行の米国最先端モデルより能力が低く、約4か月の差があるとしています。試験ごとの差も大きいので、「完全に同等」とまとめるのは危ういです。
自分が気になったのは、順位そのものではありません。以前は限定提供モデルの話として見ていた水準に、公開された重みを持つ別のモデルが、一部の能力で近づいていることです。
安全策は「作る側」と「使う側」の両方で考えたい
Mythos Previewは、危険な用途への転用を警戒して、利用先を絞って提供されました。それで防御側が先に脆弱性を探し、修正する時間を作ろうとしたわけです。
この方針には意味があると思います。でも、同種の能力が別のモデルへ広がるなら、一社がアクセスを制限するだけでは、社会全体の利用を止められません。
まず気になるのは、開発元のZ.aiが組み込んだ安全策です。Anthropicの報告によれば、公開されたままのGLM-5.3には拒否の仕組みがあり、明らかに危険な依頼をそのまま出した試験では応じていません。「安全性をまったく考えていない」と決めつけるのは違います。
ただ、同じ報告では、条件を変えた試験で危険な依頼に応じる例が増えました。開発元がどんな悪用を想定し、公開前にどこまで検証したのか。その安全策は十分だったのか。モデルを作る側の安全設計についても、公開情報だけでは安心しきれないというのが自分の疑問です。評価したのは競合企業のAnthropicなので、その結果だけでZ.aiの意図まで断定するつもりはありません。
もう一つは、公開後に使う側が変更できる部分です。重みを入手した利用者は、提供元のAPIを通さずにモデルを調整できます。Anthropicは拒否の働きを弱めた版を試し、公開されたままの版より危険な依頼を拒みにくくなったと報告しています。配布後に作られた別の版まで、開発元が同じ安全策で管理し続けるのは難しいでしょう。
ここでいう「応じた」は、危険な依頼に応じるかを測った模擬環境で、依頼に沿う行動を試みたという意味です。この模擬試験では外部システムに接続できず、生成したコードも実行されていません。この割合を現実の攻撃成功率や被害件数に読み替えることはできません。
それでも、自分には二つとも見過ごせません。最初から入っている安全策は十分なのか。そして、利用者が変更できる形で配布した後も、その安全策は実効性を保てるのか。 一社が「使わせない」と決めるだけでは足りなくなる理由は、この両方にあります。
ここで言いたいのは、「中国製だから危険」ということではありません。見るべきなのは能力がどこまで来たか、重みがどう公開されているか、安全策を誰が維持できるかです。国籍だけで危険性を決めれば、問題の構造を見落とします。
怖いのは、次のモデルも同じ速さで来るかもしれないこと
自分は以前、Mythosのような能力を借りられるかどうかばかり話していても、その後に日本や一般企業が何をするのかが見えないのは怖い、と考えました。
今回の資料を見て、その疑問はむしろ強まりました。特別な一つのモデルへのアクセスを待つ間にも、能力は別の場所へ広がるかもしれません。
ただ、今回の評価だけで「すでにどの組織も守れない」とは言えません。試験の対象や条件は限られており、現実の被害や既存の防御製品の有効性を一斉に測ったものではないからです。
それでも、攻撃側に使えるモデルが増えることを前提にすると、防御の問いは変わります。
どのAIを使った攻撃なら防げるか、ではなく、侵入後にどの権限まで届くのか。外部への通信をどこで止めるのか。異常をどう見つけ、誰が修正できるのか。前の記事で考えた境界の話が、思っていたより早く現実的な問いになりました。
AIが脆弱性を見つける速度が上がるなら、防御側もAIを使って調査と修正を急ぐ必要があるでしょう。ただし、AIに任せれば勝手に守られるわけではありません。自社のシステムを把握し、修正できる人と手順が残っているかが重要になります。
数日前の自分が書いたのは、まだ先の心配のつもりでした。今回は、その心配を裏付ける一つの限定された評価結果が出てきた。そこを大きく言い過ぎず、でも小さくも扱わずに見ておきたいです。
関連記事
- AIを作った側の隔離も破られた時、防御はどこで止められるのか
- ローカルLLMは「強いAI」より「隔離環境」として考える方がしっくりきた
- AIエージェントを学ぶなら、すごい自動化より「止め方」と「確認点」を見たい
参考・出典
- Anthropic「GLM-5.3 and the spread of advanced cyber capabilities」（2026年9月29日）
- NIST/CAISI「CAISI’s Assessment of Z.ai’s GLM-5.3 Cyber Capabilities」（2026年9月17日）
- Z.ai「GLM-5.3: Frontier Coding with Emergent Cyber Capabilities」（2026年8月14日）
- AI時短ラボ「【AI減速論はどうなる？】GLM-5.3がMythos Previewに肉薄、Anthropic自身が評価」（着想のきっかけ。本文の数値は上記の一次資料で確認）
コメント