子どもにプログラミング教室へ通わせていたら、いつの間にか鍵開けの名人になっていた──。冗談のような話ですが、これに近いことがいま、AIの世界で実際に起きています。

中国のAI企業Z.aiが8月14日（米国時間）、新しいAIモデル「GLM-5.3」を発表しました。売りはコーディング（プログラム作成）能力。ところが発表でひときわ目を引いたのは、性能の数字ではありません。「サイバーセキュリティの能力は、特別に訓練したわけではないのに、コーディングの訓練から想定以上に育った」──同社自身がそう説明していることです（SiliconANGLE、Unite.AI）。

しかもこのモデルの中身（ウェイト＝学習済みの頭脳データ）は、約2週間後に誰でもダウンロードできる形で公開される予定です。そして奇しくも同じ日、米Anthropicは「いま手元にある、より強力な内部モデルを当面リリースする計画はない」と報じられました。

攻めて公開する側と、あえて止める側。今日はこの対照的な2つのニュースから、AI競争の焦点が「作れるか」から「出してよいか」へ移りつつある現在地を読み解きます。

GLM-5.3とは何か──「作り直さずに」強くなった

まず発表の中身を整理します。GLM-5.3の面白いところは、ベースモデルを作り直していない点です。

  • ベースは6月公開の前世代GLM-5.2と同一。総パラメータ約7,400億（実際に動くのは約400億）の構成で、能力向上はすべて「ポスト学習」──訓練後の仕上げ工程の大規模化──によるもの
  • コーディング性能は自社ベンチマークで前世代比およそ5割向上（23.4%→34.5%）。ターミナル操作の指標では「オープン系モデルとして最高」を主張
  • 1タスクにかかる出力トークンは96,000から75,000に減り、速くて安い方向にも改善
  • 価格水準は米国の最上位モデルの約10分の1（参考: 前世代GLM-5.2は100万トークンあたり入力1.40ドル／出力4.40ドル）

ただし冷静に見ると、純粋なコーディング総合力では米最上位のClaude Fable 5にはまだ届かず、指標によっては同じ中国勢のKimi K3が僅かに上回るものもあります（Decrypt）。数値はいずれもZ.aiの自社発表で、独立した検証はこれからです。

ここまでなら「中国勢がまた安くて強いモデルを出した」という、最近よくあるニュースです。本題はここからです。

教えていないのに、育っていた「もう一つの才能」

Z.aiが掲げた公式スローガンは「Built to Code. Ready for Cyber.」──コーディングのために作られ、サイバーの準備ができている、というものです。

同社の説明によれば、GLM-5.3のサイバーセキュリティ能力は、サイバー攻撃や防御を狙って訓練した結果ではありません。コーディング能力を、より制約の厳しい環境で鍛え込む訓練を重ねるうちに、その副産物としてソフトウェアの弱点（脆弱性）を見つけて検証する力が想定以上に伸びていたというのです。AIの世界ではこれを「創発（emergent）」と呼びます。狙って教えた能力ではなく、勝手に育っていた能力です。

その実力は数字にも表れています。同社の発表では、

  • 実在ソフトの脆弱性を発見・実証できるかを測るベンチマーク「CyberGym」で84.5%を記録。AnthropicのMythos 5（83.8%）を僅差で上回り、OpenAIのGPT-5.6 Solも上回ったと主張
  • 269のソフトウェアプロジェクトから2,436件の脆弱性を発見し、うち約1,100件は中〜高の深刻度だったと報告

一方で、別の2つのセキュリティ指標ではAnthropicのモデルが上とされており、全面的に首位に立ったわけではありません（SiliconANGLE）。それでも「教えていない能力が、最高峰と並ぶ水準まで勝手に育った」という事実は、海外のエンジニアコミュニティでも大きな話題になりました。

2週間後、その頭脳は誰でも入手できる

もう一つの重要な発表が、ウェイトの公開です。GLM-5.3はすでにAPI経由で提供が始まっていますが、約2週間後には学習済みの頭脳データそのものが、オープンなライセンスで公開される予定です。Z.aiは「安全評価とハードニング（堅牢化）を終えてから公開する」と説明しています。

オープンウェイトは、使う側には大きな恩恵です。利用料なしで手元のサーバーで動かせて、自社向けに改良もできる。中国勢はこの夏、Kimi K3やアリババのQwenなど、強力なモデルの無償公開を次々と仕掛けてきました。その流れの経緯はこちらで解説しています。詳しくはこちら：「最強」を無料で配る──Kimi K3公開と米中オープンAI攻防

ただし、オープン公開には片道切符という性質があります。一度世界中にダウンロードされた頭脳データは、あとから回収できません。「脆弱性を見つける力が最高峰級に育ったモデル」が、まもなく誰の手にも渡る──この事実は、便利さと同じ分量のリスクを含んでいます。

同じ日、ブレーキを踏んだ会社

そして同じ8月14日、対照的なニュースが米国から届きました。Axiosの報道によれば、Anthropicは最新のリスク報告書で、最上位モデルより強力に見える内部モデル（同社が「Model 2」と呼ぶもの）を、当面リリースする計画がないことを明らかにしました。あわせて、AIが人間の意図に反する行動をとる「ミスアライメント」のリスク評価を、最近のサイバーセキュリティ関連の出来事を踏まえて「非常に低い」から「低い」へ一段引き上げ、モデルが研究開発そのものを自動化する能力に「加速の兆候」があるとも指摘しています（いずれもAxiosの報道ベースです）。

「作った本人が、出すのを止める」という動きは、これが初めてではありません。今月上旬にはOpenAIが、サイバー能力への懸念から次期モデル「Astra」の開発を一部停止しています。詳しくはこちら：作った本人が、ブレーキを踏んだ──OpenAIが「Astra」開発を一部停止

「作れるか」から「出してよいか」へ

2つのニュースを並べると、いまのAI競争の構図が浮かび上がります。

  • Z.ai: 教えていないサイバー能力が育ったモデルを、安全評価を挟みつつ、2週間後に世界へ無償公開する
  • Anthropic: より強いモデルを手元に持ちながら、リスク評価を理由に、当面リリースしない

かつてAI企業の競争力は「どれだけ強いモデルを作れるか」でした。いまや最前線の各社は、強いモデルを作れることを前提に、「それをいつ、どこまで、誰に出すか」という判断で分かれ始めています。攻めの公開と守りの抑制、どちらが正解かはまだ誰にも分かりません。ただ確かなのは、「教えていない能力が勝手に育つ」段階にAIが入った以上、この判断の重みは増す一方だということです。

中小企業はどう受け止めるか──3つのポイント

1. 守りの基本を、最優先に格上げする 脆弱性を安く大量に見つける能力は、守る側にも攻める側にも渡ります。私たちにできる最も効果的な備えは、地味な基本です。OSやソフトの自動更新を切らない、パッチはすぐ当てる、多要素認証を入れる。「攻撃側もAIを持っている」を前提にすると、放置された古いソフトの危険度は今までの比ではありません。なお、AIが守る側で成果を出し始めた話はこちらで解説しています。詳しくはこちら：AIが”守る側”で本気を出した──Chromeの脆弱性修正の記録

2. AI選びは「安くて強い」だけで決めない 選択肢が増え、価格が下がるのは使う側への追い風です。ただ、業務に組み込むAIを選ぶ基準には、性能と価格に加えて「提供元が安全にどう向き合っているか」「業務データがどこでどう扱われるか」を入れておきましょう。安全評価を経て公開する姿勢か、問題が出たときに説明する体制があるか。値札に出ない部分が、あとで効いてきます。

3. AIに任せる仕事は「できてしまうこと」の範囲を決めてから 今回の教訓は「AIは頼んだこと以外も、できるようになってしまう」です。AIエージェントを業務に入れるときは、性善説ではなく設計で縛る──アクセスできるデータと権限を最小限にする、外部への通信経路を管理する、重要な操作は人の承認を挟む。「何をさせたいか」と同じくらい「何をさせないか」を先に決めることが、これからの導入の作法になります。

まとめ──便利さと危うさは、同じ箱で届く

値段は10分の1になり、頭脳は無料で配られ、能力は教えなくても育つ。AIの進化は、便利さと危うさを同じ箱に詰めて、同じ速度で私たちに届けてきます。

箱を開けるなとは言いません。開ける前に、家の鍵をかけておく──ソフトの更新、認証の強化、任せる範囲の設計。その基本さえできていれば、この時代の追い風は、中小企業にとって間違いなくチャンスの側にあります。

※本記事は複数の公開情報をもとに作成しています。

参考