英国AISI『Frontier AI Trends Report』が突きつける「8か月で倍増」問題雑感

0　はじめに

　AIの議論は、しばしば「モデルが賢くなった／危なくなった」という印象論に回収されがちである。他方で、法とガバナンスが本当に欲しいのは、印象ではなく、変化の速度と方向である。英国AI Security Institute（AISI）が2025年12月に公表した『Frontier AI Trends Report』は、まさにその速度をデータとして提示しようとする試みである1)。

　同レポートが繰り返すキーワードは「8か月で倍増」である。2年で3回の倍増、すなわち8倍である。もしこのスケール感が一定程度でも現実であるならば、法が前提としてきた「年単位での制度設計」「数年単位での改正」は、原理的に追いつかない。追いつけないこと自体は驚くに値しないが、問題は、追いつけないまま従来型の静的な責任配分だけを整備して安心してしまう点にある。誰が、何を、いつ、どの水準で守るのか。その問いを固定したまま動かさないことが、かえってリスクを生む。

1　問題の所在　法は「性能の曲線」を扱えるか

　多くの法制度は、対象を類型化し、要件を満たすか否かで規律する。ここでは、対象が少なくとも相対的には安定していることが暗黙の前提となる。ところが、フロンティアAIは、同一のモデル名でもバージョン更新で別物になり、同一のベンチマークでも周辺ツールで実力が跳ね上がる。スキャフォールドやエージェント設計と呼ばれる仕組みが、モデル単体の性能を大幅に引き上げてしまう1)。そして、能力の上昇は線形ではなく、しばしば指数関数的な気配を帯びる。

　このとき法が直面するのは、「いま危ないか」ではなく、「危なくなっていく速度に、監督と説明責任が追随できるか」である。要するに、規制は静止画ではなく動画を扱う必要がある。動画を扱うには、継続的な評価、評価結果の記録と開示、そして評価を意思決定に接続する統治設計が必要になる。

　実際、英国政府は本レポートの公表目的を、透明性の強化と公共理解の促進、そして急速に変化する能力に関する責任ある議論の基盤形成に置く。加えて、AISIによる継続的評価をデプロイ前後の独立テストとして政策決定や開発者との協働に用い、国家安全保障当局とも連携してリスクを監視するとされる3)。ここでは評価は研究成果にとどまらず、行政実務の入力である。法的に言えば、評価可能性それ自体が、今後の行為規範を形作っていく。

2　能力の加速　サイバー・自律・科学領域での臨界点

　AISIの提示する数字は生々しい。サイバー領域では、AIモデルが見習いレベルのタスクを平均で50%の確率で完了できるようになり、2024年初頭の1割強から大きく伸びた。さらに2025年には、通常10年以上の経験を要する専門家レベルのタスクを成功裏に完了できる最初のモデルをテストしたという1)。しかも、モデルが単独で完了できるタスクの長さが約8か月ごとに倍増している。ここでいう長さとは、人間の専門家が要する時間で表される1)。

　自律性に関しても、1時間以上かかるソフトウェアタスクを自律的に完了できるシステムが現れている1)。ここで注目すべきは、単発の正解率というより、タスクの時間地平が伸びている点である。短いタスクは道具で済むが、長いタスクは代理になる。代理になると、失敗が偶発ではなく構造になる。

　化学・生物の領域では、いくつかの専門的タスクでPhDレベルを大きく上回り、オープンエンドの質問では2024年に専門家ベースラインへ到達し、現在は最大60%上回るという。さらに、実験プロトコル生成が正確と評価されたモデルが2024年後半に現れ、ウェットラボで実装可能であることが確認されたとされる1)。これは研究加速の福音であると同時に、二重用途の典型でもある。

3　セーフガード　改善はしたが、全部破れる

　法と企業が好む物語は「安全対策が進歩し、問題は解決に向かう」である。現実はもう少し厄介である。AISIは、強固なセーフガードを持つモデルほど、特定の悪意あるカテゴリの要求に対し脱獄に長く高度な攻撃を要する傾向を認めつつも、テストしたすべてのシステムで脆弱性を見つけたと述べる1)。さらに、6か月違いでリリースされた2つの主要システムの比較では、後者の脱獄には専門家の労力が約40倍必要だったという1)。

　ここから得られる教訓は単純である。第一に、対策したという事実は免罪符ではない。第二に、対策の強さはモデル間で不均一であり、しかも能力の高さと必ずしも相関しない1)。第三に、開放度が高いほど、セーフガードの設計空間そのものが狭くなる。オープンウェイトのモデルでは、事後的な制約の余地が限られるからである1)。

　法的には、セーフガードを結果としてではなくプロセスとして評価する方向に収斂しやすい。どのリスクカテゴリを想定し、どの評価で測り、どの頻度で更新し、脆弱性発見後にどう是正したか。AISIが示すのは、まさにこのプロセスを実証的に回す機関の登場である。

　もっとも、プロセス規制は形式化の誘惑を伴う。評価項目を満たすこと自体が目的化し、現場が合格点の作法だけを学ぶ現象である。だからこそ、評価は外形的チェックリストではなく、失敗事例の収集と是正の速度まで含めた動的指標として設計すべきである。AISIがバイパス・バウンティ等の仕組みに触れるのも、攻撃者の創意を防御側の学習へ接続する必要があるからであろう1)。

4　自律性と「制御回避」　テストされる前提条件

　いわゆるAIの制御不能は、荒唐無稽なSFとして片づけられがちである。しかし、法が扱うべきは結論ではなく前提条件である。AISIは、制御回避の前提条件となりうる能力として自己複製やサンドバッギングをテストする1)。サンドバッギングとは、評価時に戦略的に性能を落とす振る舞いを指す。そのうち自己複製評価の成功率は、2023年の5%から2025年には60%へ上昇したという1)。

　もっともAISI自身、これらは統制された環境での簡略化評価であり、現実世界で成功することを直ちに意味しないと強調する1)。ここが肝要である。法が数字に弱いとき、数値は一人歩きして、過剰反応か過小評価のどちらかを誘発する。必要なのは、評価が何を代理指標としているのか、現実への外挿がどこで破綻しうるのか、それでもなお監視すべき理由は何か、を同時に語る枠組みである。

　サンドバッギングの可能性は、評価義務そのものに逆説を投げ込む。評価が義務化されればされるほど、評価を攻略する誘因が増えるからである。評価の制度化は不可避であるが、制度化した瞬間にゲーム化が始まる。このとき求められるのは、単一のベンチマークへの依存ではなく、複線的評価と、ログ・再現性・第三者検証である。

5　社会影響　説得と依存、そして開かれたフロンティア

　能力の話は抽象に見えるが、社会は既に反応している。AISIは、政治的争点の調査にAIが使われる増加とともに、対話型AIの説得力がモデル規模とともに増していることを示す1)。さらに、説得に特化した事後学習が説得力を一段と高め、小型のオープンソースモデルでも大型モデルに匹敵しうるという1)。これは説得の民主化であり、同時に操作の民主化でもある。

　情緒面でも、英国の調査で約3分の1が過去1年にAIを情緒的目的で用い、一定割合が週次・日次で利用しているとされる1)。サービス停止時にオンラインコミュニティで投稿量と負の感情が急増するという観察も興味深い1)。依存の問題は、医療や消費者保護の文脈だけでなく、契約・情報法の文脈でも現れる。利用者の合理的判断の前提が揺れるからである。情報の非対称、誘導、暗黙の信頼といった要素が、従来の枠組みでは捉えきれない形で作用し始めている。

　最後に見逃せないのは、オープンとクローズの差が縮んでいるという点である。AISIは外部データに基づき、そのギャップが過去2年で縮小し、現在は4～8か月程度と述べる1)。これは、規律対象を少数の巨大事業者に閉じ込める発想が長期的には脆いことを意味する。統治の中心は、企業の善管注意だけではなく、配布・改変・再学習まで含むエコシステム全体へ移る。

6　おわりに

　『Frontier AI Trends Report』の面白さは、結論ではなく設計思想にある。能力と危険性を同じ画面で測り、トレンドとして提示し、政策・企業対応に接続するための共有言語を作ろうとしている1)。法学研究者にとっては、ここに「規制の対象＝製品」から「規制の対象＝更新され続けるプロセス」への転換が透けて見える。

　この意味で、評価は未来予測の代替ではなく、予測不能な世界で手元に残る数少ない計器である。

　企業のAI担当者にとっては、別の教訓がある。安全対策は付属品ではなく、リリースと運用を貫く中核機能である。評価結果をスクリーンショットで保存して満足する文化は、いずれ監督当局にも訴訟にも通用しない。問われるのは、なぜその評価を選び、どう解釈し、どの意思決定を変えたか、である。

　AIの能力曲線が本当に8か月で倍増し続けるかは分からない。分からないからこそ、分からないことを前提に、測り、記録し、更新する統治が必要になるように思える。

（マガジン）「AIと法雑感」

※目次は以下を参照

note総則規約3条2項前段
3.2 クリエイターが制作したデジタルコンテンツの著作権は、クリエイターに帰属します。