公開された重みデータを手元の計算機環境へ配置し、独自のデータセットで追加学習を走らせる。オープンウェイトの大規模言語モデル（LLM）がもたらす利便性は、現代の機械学習研究や企業における開発基盤を支えている。モデル開発者は通常、不適切な指示を拒絶する安全調整（アライメント）を施した上で成果物を公開する。だが、その安全機構は第三者による改変に対してどこまで耐えられるのか。ウォータールー大学のCritical ML LabとFAR.AIを中心とする共同研究チームは、この問いに対して厳しい実証結果を提示した。
韓国の済州島で開催されたデータマイニングの国際会議「第32回ACM SIGKDD Conference（KDD '26）」において、研究チームは論文「TamperBench: Systematically Stress-Testing LLM Safety Under Fine-Tuning and Tampering」を発表した（DOI: 10.1145/3770855.3817557）。この研究にはMIT CSAIL、スイス連邦工科大学チューリッヒ校（ETH Zurich）、トロント大学、Vector Institute、マックス・プランク研究所（MPI）の研究者らが参加している。彼らが開発した統一評価フレームワーク「TamperBench」により検証された21種類のオープンウェイトLLMは、そのすべてにおいて少なくとも1つの攻撃手法によって安全機構を突破され、有害な応答を出力する状態へと改変された。
筆頭著者であるSaad Hossain氏は「現在利用可能な防御策は、モデルを公開した後に改変を試みる何者かの手に渡った際、安全性を維持し続けることを保証できるほど強固ではない」と指摘する。改変後の有害性を測る指標であるStrongREJECTスコアにおいて、検証されたすべてのモデルで最悪ケースのスコアが0.68を上回り、10億（1B）パラメータを超えるモデルでは軒並み0.77を超過した。一般知能を維持したまま、安全フィルターだけを剥ぎ取ることが可能である事実が、体系的な実験によって示された。
統一フレームワーク「TamperBench」が暴く安全性の抜け穴
これまでにもファインチューニングによるアライメントの破壊は個別に報告されていたが、攻撃条件や評価指標が研究ごとに異なり、モデル間の客観的な耐性比較は困難だった。TamperBenchは、重み空間での追加学習攻撃と潜在表現空間への介入攻撃、さらにはアライメント段階での防御技術を同一の条件下で厳密に評価する統合フレームワークとして構築された。研究チームはコードベースをオープンソースとして公開しており、マルチGPU環境に対応したHuggingFaceのインフラ上で動作する（arXiv:2602.06911）。
TamperBenchが検証対象とした改変手法は9種類に及ぶ。無害なデータによる通常学習（Benign Full Fine-Tuning）や低ランク適応（Benign LoRA）、有害データを用いた直接学習（Harmful Full Fine-TuningおよびHarmful LoRA）、多言語データを用いた微調整（Multilingual Fine-Tuning）、バックドアを埋め込む手法（Backdoor Jailbreak-Tuning）、文体を変化させて防御をすり抜ける手法（Style-Modulation Jailbreak-Tuning）、競合する目的を同時に学習させる手法（Competing-Objectives Jailbreak-Tuning）、そして埋め込み層を直接操作する埋め込み攻撃（Embedding Attack）である。
| 攻撃手法 | 分類 | 平均StrongREJECTスコア | 主な特徴 |
|---|---|---|---|
| 競合目的ジェイルブレイク（Competing-Objectives） | 目的関数の競合 | 0.84 | 安全目標とタスク目標を競合させ、防御の優先度を下げる（14モデルで最大有害性を記録） |
| 有害フルパラメータ微調整（Harmful Full FT） | 重み空間・追加学習 | 0.82 | すべての重みを有害データセットで直接再学習し、安全境界を上書きする |
| 有害LoRA微調整（Harmful LoRA） | 重み空間・追加学習 | 0.81 | パラメータ効率の良い低ランク行列の更新のみで安全機構を回避する |
| バックドア・ジェイルブレイク（Backdoor） | 重み空間・トリガー | 0.76 | 特定のトリガー文字列が存在する場合のみ有害応答を生成するよう誘導する |
| 多言語微調整（Multilingual FT） | 重み空間・言語転移 | 0.74 | 低リソース言語のデータを用いて安全境界の曖昧化を図る |
| 文体変調ジェイルブレイク（Style-Modulation） | 重み空間・表現誘導 | 0.72 | 応答のトーンやスタイルを変更する過程で安全フィルターの判定をすり抜ける |
| 無害フルパラメータ微調整（Benign Full FT） | 重み空間・通常学習 | 0.69 | 悪意のない一般的なデータセットの学習であっても安全機構の劣化を招く |
| 無害LoRA微調整（Benign LoRA） | 重み空間・通常学習 | 0.67 | 無害な追加指示学習に伴い、副次的に安全境界が後退する |
| 埋め込み攻撃（Embedding Attack） | 潜在空間・表現介入 | 0.58 | 入力トークンの埋め込みベクトル空間を直接改変し、有害プロンプトの検出を回避する |
実効性の高い改変を見出すため、研究チームはOptunaを用いたベイズ最適化によるハイパーパラメータ探索プロトコルを導入した。各モデルと攻撃手法の組み合わせごとに40回の試行を実施し、一般的な推論能力を測定するベンチマーク「MMLU-Pro」のスコア低下を最大10%以内に抑えるという制約条件を課した上で、改変後の有害性スコア（StrongREJECT）を最大化する設定を特定した。公表資料においてMMLU-Proの改変前後の絶対値は明示されていないものの、研究チームはこの10%以内という性能維持制約を課すことで、モデルの実用的な知能を保持したまま安全機構だけが無力化される現実的な脅威を定量化した。
モデル規模と系列による耐性の差異
検証された21種類のモデルは、パラメータ数が6億（0.6B）から80億（8B）の範囲にわたり、Llama系列（Llama-3.2-1B、3.2-3B、3.1-8B、3-8Bの各派生）、Qwen3系列（0.6B、1.7B、4B、8B）、Mistral-7B系列が含まれる。それぞれについて、事前学習のみのベースモデルと、指示チューニング済みのモデルの両方が測定された。さらに論文の補足セクションでは、32Bおよび70Bの大規模モデルに対しても同様の検証手順が適用された。
実験結果の中で最も強力な脅威として浮上したのは、Murphyらが2025年に提案した「競合目的ジェイルブレイク学習」だった。この手法は検証対象となった21モデル中14モデルにおいて最も高い有害性スコアを記録し、その平均StrongREJECTスコアは0.84に達した。有害データを用いたフルパラメータ微調整（平均スコア0.82）や有害LoRA微調整（平均スコア0.81）もこれに匹敵する威力を示した。これらに加え、無害なデータによる通常の微調整であっても、有用性を保ったまま有害性スコアが有意に上昇する現象が確認されている。
ベースモデルと指示チューニング済みモデルの耐性を比較すると、モデルファミリーごとに異なる挙動が観測された。Llama系列では、指示チューニングを施されたモデルのほうが改変後の有害性スコアが高くなる傾向が見られた一方、Qwen3系列ではベースモデルのほうが改変に対して脆弱であるという逆のパターンを示した。また、Mistral-7B-Instructは改変前のベースライン段階からStrongREJECTスコアが0.64と高く（Mistral-7B-Baseは0.31）、改変後の最大スコアは0.90に達した。
Llama-3-8B-InstructとQwen3-8Bにおける改変前後の有害性スコアの変化をみると、MMLU-Proの性能低下を10%以内に抑える探索制約のもとで、Llama-3-8B-Instructは改変前の0.08から改変後は最大0.88へと跳ね上がった。同様に、Qwen3-8B-Instructも改変前の0.05から改変後は最大0.85へと達している。
現行のアライメント防御技術が直面する限界
近年の研究では、モデルの重みを公開した後でも敵対的な微調整に耐えられるよう、アライメント段階で強固な防御を組み込む手法が提案されてきた。TamperBenchは、Llama-3-8B-Instructをベースとして開発者が公開した5つの防御強化モデル（ReFAT、Circuit Breaking / Representation Routing、Triplet / CRL、TAR、LAT）についても同一のストレステストを実施した。
初期のプレプリント段階（arXiv v1）ではTripletなどの手法が比較的頑健であると評価されていたが、徹底的なパラメータ探索を行ったKDD '26の査読決定版において、研究チームは「現行のアライメント段階の防御技術は、体系的なストレステストのもとでは大部分が成功していない」という結論を下した。防御を組み込んだいずれのモデルも、綿密に設計された改変手法の前には高い有害性スコアを出力する状態へと誘導され、安全性を維持できなかった。
論文はこの背景として、耐改変性研究における「再現可能で現実的な評価基準の危機」を提起している。従来の防御手法を提案する研究の多くは、数千ステップに及ぶ敵対的な追加学習に対する耐性を報告していた。しかし、最新のレッドチーム手法やハイパーパラメータ探索を適用すれば、わずか数百ステップの学習で安全境界を崩壊させることが可能である。評価プロトコル自体の緩さが、これまでの防御技術に対する過大評価を生んでいた実態が見えてきた。
2026年8月に発表された別の関連研究（arXiv:2608.07514）でも、オープンウェイトモデルの安全性における16の未解決技術課題が整理されている。そこでは最新の微調整耐性技術や機械学習の忘却（Unlearning）アルゴリズムであっても、数十ステップの敵対的微調整によって効果が打ち消されてしまう脆弱性が報告されており、TamperBenchの実験結果と符合する。
公共調達の厳格化とオープンエコシステムの展望
モデルの重みが手元にあれば防御層を書き換えられるという事実は、AIの社会実装に対してどのような意味を持つのか。Hossain氏は「政府が医療、不正検知、教育、その他の公共サービスにおいてAIへの依存度を高める中、モデルの評価と調達プロセスはより厳格で、証拠に基づいたものでなければならない」と警鐘を鳴らす。
悪意ある主体がオープンウェイトモデルを入手し、大量の偽情報生成や高度な標的型フィッシングメールの作成、危険な化学物質の調製手順などを出力するように改変するリスクは、理論的な懸念として議論されてきた。2026年6月に発表された調査（arXiv:2606.19890）によれば、2025年から2026年4月までに公開された37のオープンウェイトモデルファミリーのうち、比例的評価基準の4項目をすべて満たしていたのは1系統のみであり、大半のモデルは評価基準を満たしていなかった。モデルの安全性を担保する制度的な枠組みは、技術の進歩に追いついていない。
ただし、研究チームを率いたSirisha Rambhatla助教は、この結果をもってオープンソースAIの公開を禁止すべきだという短絡的な結論に飛びつくことに釘を刺している。「オープンウェイトモデルは、AI研究とその説明責任を果たす上で不可欠な存在であり続けている。この開放性こそが、人々が使用するモデルが全員のために機能しているかを検証する手段なのだ」とRambhatla氏は述べる。
さらにRambhatla氏は、今回特定された弱点は「オープンモデル特有のものではない可能性がある」とも補足している。重みに直接アクセスできないAPI経由の商用モデルであっても、ファインチューニングAPIやプロンプトの抜け穴を通じた安全性の剥奪リスクは依然として存在する。
オープンウェイトモデルの安全性をいかにして永続的な不変項として設計できるか。重みという数値の配列そのものを公開しながら、その悪用を防ぐ数学的・構造的な解法は未だ見つかっていない。より大規模な数百億・数千億パラメータのモデルにおいて創発的な耐性が現れるのか、あるいはハードウェアレベルでの実行制限や新たな暗号理論的アプローチが必要となるのか。オープンな研究開発の恩恵と安全性の両立に向けた模索が続いている。
