米国で、中国製オープンウェイトAIをまとめて締め出す政策への反対が、閉鎖モデルを提供するAnthropicと、GPU大手NVIDIAの双方から出た。NVIDIAのサイトで7月24日に公開された業界書簡にはOpenAI、Google、Metaなどの企業とオープンソース団体が署名し、AnthropicのDario Amodei CEOも27日、同社は一律禁止を求めていないと明言した。
意外なのは、両者が同じ安全論に達したことではない。NVIDIA側は公開された重みが競争とサイバー防御を強くすると訴えるが、Amodeiは危険な能力を持つモデルでは攻撃側が有利になり得ると反論する。一致したのは、モデルの国籍や公開方式を危険性の代理にして、まとめて禁じる政策は粗すぎるという一点だ。
この違いは、米国が何を管理するのかを変える。対象を「中国製オープンウェイト」から、危険な能力、計算資源の入手、不正な能力抽出へ分ければ、競争を残しながら安全保障上の手当てを設計できる。ただし、評価の閾値と法的手段が曖昧なままなら、一律禁止を別名で再現する危険も残る。
一律禁止を退けた二つの文書
議論の発端は、正式に決まった禁止措置ではない。Axiosは7月20日、米商務省が2025年に複数の中国AIラボをEntity Listへ加える案を検討したほか、政府機関による安全上の勧告、ホスティング事業者に安全保証と責任を求める大統領令案、供給網を守る権限を使った規則案も政権内で回ったと報じた。いずれも当時は規制に慎重な当局者が止め、ホワイトハウスと商務省はAxiosの取材に回答しなかった。
この動きは、2025年7月にホワイトハウスが公表した「America's AI Action Plan」と緊張する。同計画はオープンソース／オープンウェイトモデルについて、スタートアップが閉鎖モデル企業に依存せず、企業や政府が機密データを外へ送らずに運用できると評価した。公開か非公開かは開発者が決め、連邦政府はオープンモデルを支える環境を整えるべきだとも記している。
7月24日の公開書簡は、この公式方針を産業側から押し戻す文書である。書簡は、オープンウェイトがモデル企業間の競争に加え、クラウドと半導体からアプリやサービスまでの競争を広げると主張する。NVIDIAにとっても、モデルが各社のクラウドや自社設備へ広がり、用途ごとに計算需要を生む市場は自社の事業と整合する。この利害を踏まえれば、書簡は理念の表明に加え、結果としてAI市場が少数のAPIへ集約するのを抑える政策効果を持つ。
open sourceではなくopen weight
一連の報道と政策文書は「open source」と「open weight」を混用しているが、規制対象を決めるなら両者は分けなければならない。オープンウェイトとは、学習済みパラメータを入手し、自前の計算基盤で実行・調整できる状態を指す。学習データの詳細や、データ処理から学習までを再現するコードが公開されているとは限らない。
Open Source Initiativeの「Open Source AI Definition 1.0」は、利用と研究、改変と共有の自由に加え、訓練データに関する情報と訓練・推論コード、モデルパラメータを求める。重みをダウンロードできるだけでは、この定義がいうオープンソースAIを満たさない。政策が重みの公開を問題にしているのに「オープンソース禁止」と呼べば、研究コードと推論基盤からモデルライセンスまで、巻き込む範囲が読めなくなる。
重みの公開には、閉鎖APIと異なる不可逆性がある。配布後のコピーは回収できず、開発元が監視用分類器を更新したり、利用者を停止したりしても、手元で動く複製には届かない。拒否するよう訓練されたモデルも、重みへアクセスできれば再調整されやすい。一方で、利用者は機密データを外へ渡さず、監査し、特定用途へ適合させ、提供企業の都合による価格改定や停止から距離を置ける。同じ技術的性質が便益と危険の双方を生む。
4〜7カ月差で分かれる安全論
NVIDIA側とAnthropicの対立が最も鮮明になるのはサイバー分野だ。公開書簡は、攻撃者が高度なAIを使うなら、防御側にも同等の能力を持つモデルが必要だと説く。広い研究者層がモデルを調べ、脆弱性を見つけて修正できるため、開放性は安全性を高めるという見立てである。
Amodeiは、この攻守対称性を前提にしない。サイバーでは防御側が恩恵を受ける場合があっても、生物分野では、攻撃に必要な知識の提供が速く、防御策の開発と配備には最善の場合でも数年を要するとみている。そのため、公開方式から安全性を決めず、十分に高能力なモデルを公開前に試験し、実測した危険に応じて判断すべきだとする。
英国AI Security Instituteの評価は、この対立に時間軸を与える。2026年6月のオープンウェイトモデルGLM-5.2は、限定的なサイバー課題で4カ月前、長時間の攻撃演習で7カ月前に出た閉鎖モデルと同程度だった。2025年に6〜10カ月あった差は、4〜7カ月へ縮んだ。今日の閉鎖モデルが持つ攻撃能力が、監視や利用停止を適用しにくい公開重みへ移るまで、防御側に残された準備期間が短くなっている。
費用差も無視できない。同研究所の1億トークン規模の演習では、Opus 4.5と4.6が約85ドル、GLM-5.2が約46ドル、DeepSeek V4-Proが1.19ドルだった。これは特定のサイバー評価と当時の提供価格に限られ、生物リスクや一般能力へは広げられない。それでも、高い能力が安く、停止しにくい状態で普及する速度を政策が測る必要は明らかだ。
禁止の代わりに何を規制するか
Anthropicが示した代案は三つに分かれる。第一は高性能チップと製造装置の対中輸出、密輸、迂回利用を抑えること。第二は閉鎖モデルから大量の応答を引き出して競合モデルを鍛える、産業規模の不正蒸留を止めること。第三は公開か非公開かを問わず、十分に高能力なモデルへ義務的安全評価を課すことである。
この分解は、政策手段の違いもはっきりさせる。米商務省のEntity Listは、掲載先が取引に関わる場合、指定された米輸出管理規則の対象品を輸出、再輸出、国内移転する側へ許可を求める制度だ。中国企業のモデルを米国企業がダウンロードして使う行為を、それだけで全面的に禁じる制度とは限らない。米国人と指定対象の取引を広く止めるなら、財務省がSDN指定などのOFAC制裁を使う方がより直接的に作用する。政府調達から外す規則や、クラウドでのホスティング条件も効果は別である。
したがって「禁止」の一語では、誰の何を止めるのかが決まらない。モデル開発会社への計算資源供給を止めるのか、米企業の採用を止めるのか、政府利用に限るのか、重みの配布を止めるのか。それぞれ必要な根拠と副作用が異なる。2025年のAI Action Planは中国製モデルの評価と評価技術への投資を掲げたが、Amodeiが求める全高能力モデルへの義務的な公開前評価までは定めていない。
蒸留対策にも同じ切り分けが要る。Anthropicは2月、三つのAIラボによる大規模アクセスを発表した。対象としてDeepSeek、Moonshot、MiniMaxを挙げ、約24,000件の不正アカウントがClaudeと1,600万件を超えるやりとりをしたと説明している。これは同社の利用記録に基づく調査結果であり、不正取得への対処を考える材料になる。しかし、蒸留は自社モデルの小型化にも使われる一般的な学習手法だ。違法性や契約違反、アクセス偽装と、技法そのものを同じ箱に入れれば、正当な研究と競争まで止めてしまう。
2.8兆パラメータのKimi K3が急がせた判断
議論を再燃させたMoonshot AIのKimi K3は、同社資料によると総2.8兆パラメータのMixture-of-Expertsモデルで、1回の推論では1,040億パラメータを動かし、100万トークンのコンテキストを扱う。重みは公開され、自社設備や対応する推論サービスで動かせる。ベンチマーク値はMoonshot自身の測定を含むため独立評価と分ける必要があるが、公開重みの規模と用途が前線へ近づいたこと自体は確認できる。
米政府側はKimi K3の開発にAnthropicのFable 5が蒸留されたと主張したものの、根拠を公表していない。TechCrunchが取材した研究者は、Fable 5の公開からKimi K3までが短すぎることや、前線モデルに近づくほど教師モデルの応答だけでは能力を移しにくくなることを挙げ、Kimi K3固有の主張に疑問を呈した。Anthropicが確認した過去の大規模アクセスと、Kimi K3の学習経路は別の命題である。
米政府は2024年、NTIAの報告で公開重みを直ちに制限する証拠は足りないと判断し、能力差や限界リスクを監視して将来の措置に備える道を選んだ。その後、サイバー能力差は4〜7カ月まで縮み、巨大な中国製モデルが公開された。監視を政策へ変える条件は近づいている。
ただし、その条件は国籍でも「open」というラベルでもない。公開前評価でどの能力がどの水準を超えたら配布条件を変えるのか、不正蒸留をどの証拠で認定するのか、Entity List・OFAC制裁・調達規則のどれを誰に適用するのか。米政権がこの三点を具体化できるかどうかで、一律禁止を避けた能力基準の規制になるのか、名前を変えた市場排除になるのかが決まる。