審査制で開く二重用途モデルと無人機消耗戦の適応

追加学習なしで動く拒否の境界

補遺は「GPT-Rosalind-6はGPT-6 Astraと同じ重みを使う」と明記し、「このリリースのために学習データの追加や追加の事後学習は行っていない」と述べる。したがって両モデルの差は、二重用途の生物学的な問いに対してどこまで答えるかという運用上の境界と、誰に提供するかという配布の条件に置かれており、重みそのものは共通である。正規の高度な生物学研究で有用になるよう設計する一方、「深刻な生物兵器化を実質的に可能にする」要求は引き続き拒否するとしている。

この構成は、同一の能力を持つモデルを、一般向けには保守的な拒否設定で、審査済みの研究者には緩い設定で配る二層の提供を意味する。モデルの能力評価と提供先の審査を切り分ける発想は、輸出管理におけるエンドユーザー審査に近い。能力は固定し、アクセスの設計で危険を管理するという判断が、フロンティアAIの二重用途の扱いの一つの型として示された。

High判定の根拠と未達のCritical指標

能力評価では、拒否を補正した後に4つのHigh水準の評価のうち3つで目安の閾値を超えた。トラブルシューティング評価は832問中491問の正答で、目安の36.4%を大きく上回る。生物リスク知識の評価は78.3%で目安の80%を下回るが、拒否補正後は85.0%に達する。前世代のGPT-Rosalind-5.5との比較では、MedChemBench v7が28.9%から49.6%、GeneBench Pro v13が16.7%から37.7%、LifeSciBench Goldが44.0%から61.3%へ伸びた。

一方で、Critical水準を測る4つの評価（AAVカプシドの設計、SHP2、コロナウイルスとACE2の結合、ファージとプラスミドの予測）はいずれも目安の閾値に達しておらず、OpenAIは「Criticalの閾値を下回るHigh」と位置づけた。サイバー領域はGPT-6 Astraの評価を引き継いでCriticalのまま据え置かれ、同モデルのリアルタイム遮断を含む標準の保護措置を保持する。既知の脱獄手法に対する攻撃成功率は14.3%で、Astraの15.7%とほぼ同水準だった。

審査・最小権限・人の確認を課す利用条件

提供先の審査では、正規の生命科学の任務、信頼できる利用目的、研究と運用の統治、アクセスを安全に管理する能力が確認される。政府以外の申請者は事業者確認とコンプライアンス審査を経る。政府機関には、承認されたバイオセキュリティ、バイオセーフティ、公衆衛生の備え、生物防衛の用途に限って別の信頼アクセス経路が設けられた。補遺は「この提供は従来の告知を超えて対象を広げるものではない」と述べ、学術向けのRosalind Academic Planを先例として挙げる。

承認された組織には、正当な必要を持つ利用者に限定する最小権限の管理、オンボーディング、内部者リスク対策が義務づけられる。さらに「モデルの出力が実験、出版、重要な意思決定に影響する前に、資格のある人による確認を行う」ことが求められ、必要が消えた利用者のアクセスを除去する手順も要件に含まれる。OpenAIは悪用があれば制限または取り消しができるとした。料金と採用組織の名前は補遺に記載がなく、一部の報道が伝える価格や製薬企業名は未確認である。

評価機関と各国の規制が向き合う論点

この提供形態は、フロンティアモデルの安全枠組みが「訓練と公開の可否」から「配布の条件と監査」へと重心を移していることを示す。同じ重みがCriticalと判定されたサイバー能力を持つ以上、生物学の研究者に渡るモデルはサイバー面でも最上位の能力を持つことになる。したがって審査の実効性、内部者リスクの管理、取り消しの運用が、能力評価と同じ重さを持つ。評価は社内の指標に基づき、第三者による再現は公表されていないため、米英の評価機関がどの範囲で検証するかが次の焦点になる。

5つのIPアドレスの一致が示す範囲

共同通信によれば、GMOは攻撃に使われたマルウェアの特徴など複数の痕跡から北朝鮮系集団の関与の可能性が高いと分析し、政府側に報告した。共同がセキュリティ専門家と行った独自の分析では、10月27日に攻撃側の犯行声明サイトが公開された直後に接続した5つのIPアドレスが、過去に北朝鮮系集団が使ったIPアドレスと一致した。GMOは10月29日に攻撃者に関する有力情報を警察に提出している。

声明サイトには米国や日本など複数の国に関連する痕跡があり、専門家は捜査を混乱させるための混入の可能性を指摘する。IPアドレスの一致だけでは同一集団の犯行と断定できないことは共同自身も注記しており、現時点の帰属は当事者と報道機関の分析の段階にある。公的な帰属判断は警察と内閣サイバー官房の調査を待つ。

被害者を集める偽フォーラムと2年前の内部指摘

NHKと共同通信は11月1日、被害者に情報提供を呼びかける「情報共有フォーラム」というサイトが、GMOが被害を公表した10月21日より前に準備されていたと報じた。ソースコードが犯行声明サイトと部分的に一致し、ホスティング事業者、日本語のコード、フォルダ名、アクセス設定が共通するという。訪問者がほとんどいない状態で既に閉鎖されており、攻撃者が被害者を通じてGMOに圧力をかけようとした可能性がある。

あわせて日本経済新聞は10月31日、グループ会社のGMOサイバーセキュリティ byイエラエが2024年4月にシステムの根本的な見直しを求めていたと報じ、熊谷氏も自身のブログで対応の深さと速さが十分でなかったと認めた。懸賞金制度への情報提供は10月30日18時時点で428件に達し、見舞金と補償の申請期限は11月6日である。

別件の9年間の設定ミスと会見で問われる統治

11月1日には別件も表面化した。電子認証子会社GMOグローバルサインのID管理サービス「GMOトラスト・ログイン」で、ロゴ画像配信用の公開ストレージに非公開ファイルが置かれ、2017年11月から2026年9月15日まで外部から取得可能だった。10月30日の第3報で対象は2,492社・45,030人分に拡大し、第三者による取得も確認された。外部攻撃による侵害とは別の設定ミスであるが、個人情報保護委員会への最終報告は11月12日、主要対策の完了は11月30日とされる。

したがって2日の会見では、デスクトップクラウドの侵入経路と帰属に加えて、2年前の内部指摘への対応、グループ横断の設定管理、見舞金と補償の規模が問われる。帰属に関する発言は、政府が10月26日のサイバー閣僚会議で示した方針と、能動的サイバー防御の初適用要請への判断に直接つながる。

433機の内訳と16か所の着弾

空軍の発表によれば、433機のうち64機がジェット推進型で、発射地点はオリョール、クルスク、シャタロヴォ、ブリャンスク、ミレロヴォと占領下のドネツクである。7時30分の時点で371機（うちジェット型47機）が航空機、地対空ミサイル、電子戦、無人システム部隊、機動射撃班によって撃墜または抑止され、16か所で着弾、14か所で落下物が確認された。発表の時点で40機以上がなお飛行中とされ、ミサイルの使用は報告されていない。

被害はヴィンニツャとキーウ州のエネルギー施設、リウネの負傷者4人、ポルタヴァの子どもの負傷、リヴィウの住宅5棟などに及び、エネルギー省は1日朝の時点で8州の一部が停電したと発表した。ゼレンスキー大統領は週間の総括で、過去1週間にほぼ2,000機の無人機と44発のミサイルが使われたと述べた。撃墜数と「抑止」の内訳は空軍の自己申告であり、独立の検証はない。

曇天が削ぐ迎撃の視認と画像認識で追うZIRKA

Defense Expressと電子戦専門家のセルヒー・ベスクレストノフは、この夜の構成がピストン型中心だった点に注目する。迎撃無人機の操縦者は目標の目視取得に依存する部分が大きく、厚い雲は低速の目標を追う条件を悪化させる。したがってロシアは天候を利用して迎撃無人機の効果を下げようとしたと見られる。これは一人の分析者の推論であり、ロシア側の意図は確認されていないが、ジェット型の投入とピストン型の大量投入を天候に応じて使い分ける兆候として注目される。

対抗の側では、無人システム軍第412「ネメシス」旅団の部隊が、改良型の迎撃無人機ZIRKAで時速約400kmのジェット型ゲラン5を高度約3,500mで撃墜したと11月1日に公表された。機体はRaspberry Pi 5上で学習済みの画像認識モデルを動かし、約1km先でシャヘド型の特徴を自動検出し、操縦者の確認後に自律追尾する。撃墜の日時と場所は示されておらず、映像による主張の段階である。曇天への対応と機上の自律追尾は、迎撃側の次の課題を同時に示している。

クストヴォ製油所攻撃と民間企業による犯行声明

11月1日未明、ニジニ・ノヴゴロド州クストヴォのルクオイル系NORSI製油所（年間処理能力1,500万〜1,700万トン）で爆発と火災が発生した。ニキチン州知事は「大規模な無人機攻撃」で産業施設が「著しく損傷」したとし、100機以上を撃墜したと主張した。長距離無人機FP-1の製造企業Fire Pointは自社の攻撃だと表明したが、使用機数や被害は示していない。参謀本部による公式の確認は1日夜の時点で見つからず、攻撃の発生は州知事の認知と複数の監視チャンネルで裏づけられるが、被害の程度は衛星画像を待つ。

この攻撃はWSJが10月29日に報じた「米政権の要請による製油所攻撃の一時停止」と重なる。キーウの当局者はキーウ・インディペンデントに対し、そのような命令は出ておらず短い休止があっただけだと述べ、ロシアのノヴァク副首相はウクライナが攻撃を再開し製油所3か所とガス化学施設を攻撃したと述べた。衛星画像の分析では、10月30日の攻撃でサマラ州のノヴォクイビシェフスク製油所の一次蒸留装置2基が損傷し、一次処理が全面停止したと評価されている。

10月の約60件の長距離攻撃と中央値551km

Militarnyiの地理空間分析は、10月に位置が特定された長距離攻撃を約60件と集計し、石油・ガス20件、軍事施設10件、防衛産業9件、インフラ9件、化学6件、物流4件、電力2件と分類した。前線からの距離の中央値は551.5km、最大はオムスクの2,508kmで、戦闘機8機以上（Su-34が7機、Su-35が1機）の破壊が確認され、ロシア側も10月に11機の航空機損失を認めた。ネプチューンは3件、ストームシャドウはオリョールとイェレツで使われた。製油所への連続攻撃は、この分布の延長線上にある。

レーダー、航空機、建物の順に狙われた115件超

APの分析によれば、開戦から2日以内にクウェートのキャンプ・アリフジャンとバーレーンの海軍支援施設のレーダー施設が破壊され、サウジアラビアのプリンス・スルタン基地とヨルダンのムワファク・サルティ基地では可搬式レーダーが被弾した。ヨルダンのレーダーは米陸軍が世界に13基しか持たない型で1基約5億ドル、カタールのレーダーは2013年に11億ドルで契約されたものだという。武器研究機関ARESのジェンゼン・ジョーンズは、イランが「米防空の背骨」を優先したと評した。

最初の1か月には18か所で50件超の攻撃が航空機を狙い、E-3早期警戒機が損傷し、議会調査局は米航空機15機の損傷を数える。クウェートのアリ・アル・サレム基地は30回以上攻撃され、格納庫15棟以上が破壊された。3月1日のシュアイバ港への無人機攻撃では米兵6人が死亡した。損害額は国防省の推計で50億ドル以上、CSISは構造物の再建だけで40億ドル超と見積もる。中央軍は作戦保全を理由に被害の詳細を明らかにしていない。

画像提供の抑制と国防省の反論

APは、米政府と契約する主要な画像提供企業が米側の要請で画像の公開を止めたり遅らせたりしたため、エアバスのOneAtlasなど別の供給源で空白を埋めたと記す。国防省報道官ショーン・パーネルは部隊と基地が十分に守られ「かつてなく強い」と反論した。一方で地域の当局者2人は、米軍が航空機、防空システム、通信機材の多くを湾岸から移したと述べ、WSJは基地のイラン射程外への移転が検討されていると報じている。被害の全体像は、こうした情報統制と再配置の中で、独立の画像分析に依存している。

安価な無人機の大量攻撃が問う固定基地の前提

RANDのラファエル・コーエンは、現代の軍が「大規模で安価な無人機攻撃に脆弱」であり、「固定インフラに依拠できるという考えは終わった」と述べた。センサーを先に無力化し、次に航空機、最後に兵員の施設を狙う順序は、防空制圧の教科書的な手順を安価な無人機で実行した形である。したがって対無人機の層状防御と基地の分散・強靭化が、インド太平洋を含む前方展開の基地設計に直結する論点となる。APの記事はAIに言及しておらず、使用された機種の内訳も示されていないため、自律性の程度は未確認である。

縮小したCISAと動かない共有の経路

CNNによれば、10月中旬に行われた2024年以来初の機密ブリーフィングは技術的な不具合で中断し、日程が組み直された。国土安全保障省が直前に立ち上げたオンラインの脅威共有基盤は「信頼性に欠ける」と評され、選挙研究イノベーションセンターのデビッド・ベッカーは、今回のサイクルで連邦当局とサイバー情報を積極的に共有している選挙当局者を一人も知らないと述べた。CISAは職員の約3分の1を失い、選挙安全保障の補助金は2024年の5,500万ドルから2025年に1,500万ドル、2026年に4,500万ドルと推移した。

CISAの報道官は、要請に応じて利用できる情報共有ツールを提供しており「十分な備えがある」と反論する。一方、26州で使われる投票機メーカーLiberty Voteのスコット・ライエンデッカーは連邦のサイバー支援を「期待外れ」と呼び、アリゾナ州のCISOマイケル・ムーアは「脅威情報の共有を政治化すれば人々は共有を止める」と警告した。マリン国土安全保障長官による選挙システムの脆弱性に関する根拠の示されていない発言も、州側の不信を強めている。

ロシアはAI加工動画、中国は特定候補に照準

情報機関の評価では、ロシアは民主党候補を貶める偽情報を展開しており、Graphikaなどはロシアの工作員と疑われるアカウントがXでAI加工動画を投稿したことを追跡した。その中にはテキサス州の民主党上院候補ジェームズ・タラリコに対する性的暴行の捏造された告発が含まれる。下院情報委員会のジム・ハイムズ議員はロシアが「あらゆるものを投げ込んでいる」と述べ、中国は反中姿勢の下院候補に「極めて絞った」工作を行い、2月に始まった米イラン戦争後初の大型選挙でイランは「比較的静か」だと説明した。

対話型AIが引用する37サイトの偽地方紙網

NPRが10月30日に報じたセキュリティ企業VisionHeightの調査では、地方紙やブログ、州・全国メディアを装う37サイトが、主に民主党の下院候補10人を推す内容を掲載していた。37ドメインのうち36は9月15日に8分以内に登録され、9月30日に約10万語の定型文が一斉に投稿され、「より強い選択」という句が360回以上使われた。全サイトが17種のAIクローラーを許可しllms.txtを備えており、OpenAIの対話型AIはNPRの37件の質問のうち19件でこの網を引用した。候補の陣営と民主党下院選挙委員会は関与を否定し、運営者は特定されていない。

ワシントン・ポストの別の検証では、6つの対話型AIに全郡の住所で投票ガイドを作らせたところ、下院選挙区を答えられない例が48%、答えても誤りが22%に達し、マイクロソフトのCopilotは回答の75%で元Rumble幹部が運営する「The Ballot Brief」を引用した。右派メディアは37サイトを「民主党の工作」と断じたが、NPRは運営者を確認していない。選挙当局の情報共有の弱体化と、AIが媒介する情報層の汚染が同時に進んでいる点が、今回の選挙の特徴である。

PMN上で初めての多国間運用

スミス准将によれば、PMNは秘密区分をまたぐゼロトラスト型のネットワークで、従来は二国間に限られていたデータ共有を多国間に広げた。副司令官のジョージ・ロウェル中将は、過去1年に17の演習を9つのホスト国で35か国と実施し、共通のツール、共通のデータの流れ、言語翻訳を初めて使ったと述べ、「確実な指揮統制は太平洋における抑止の概念と不可分である」と位置づけた。Mavenの使用は、この共通基盤の上でAIによる目標処理を同盟国が共有した事例として語られた。

ヤマサクラ91で1日200件のデジタル火力要求

AFCEAのSIGNAL誌が10月27日に伝えた米太平洋陸軍のロナルド・クラーク大将の説明では、9月10日に終了した9日間のヤマサクラ91で、PMNが日米豪の実時間の三国間火力を可能にし、6日目には200件のデジタル火力要求が処理された。Mavenは5日目に拡張され、第25歩兵師団は週45機の無人機を自前で製造した。したがって日本側の使用は、少なくとも演習環境での火力調整の工程に組み込まれた段階にあると読める。

日本側の説明が待たれる運用の位置づけ

この発言を伝える日本語の報道と防衛省の公表は、11月1日までに確認できていない。8月の報道では、防衛省は指揮統制へのMavenの導入を検討する段階にあると伝えられていた。したがって「初めての使用」が演習限定の試行か、共同の火力調整における恒常的な運用の始まりかは、日本側の説明によって初めて定まる。AIによる目標処理を同盟国の共通基盤で共有することは、情報保全、交戦規則、国内法上の武力行使の判断の所在に関わるため、国会での説明の対象になりうる論点である。

AIで組んだ探索基盤と19,000台の指紋採取

Dreamの分析では、作戦は10月8日に攻撃者がAIを組み込んだ基盤「aiscan」を構築したことから始まり、10月23日までに約19,000台のファイアウォールの指紋を採取して240の標的に絞り込んだ。侵入後はウェブシェルの設置、内部へのトンネリング、LDAPからの認証情報の抽出、Active Directoryの列挙が行われた。被害25台のうち3台は米政府関連の環境にあり、Dreamのクフィル・フライシャーは少なくとも2台が米政府のサーバーだと述べる。帰属は命名規則や中国の認証局による認証の存在などの指標で補強されているが、公的機関による確認はない。

PHP2Shellとカーネル脆弱性の連鎖

PHP2Shellは共通脆弱性評価で9.2の深刻度を持つPHPの脆弱性で、Fragnesiaは10月28日にCISAの悪用済み脆弱性カタログに登録されたLinuxカーネルの権限昇格の欠陥である。Palo Alto Networksは10月29日の更新で、インターネットに露出したPAN-OS管理インターフェースへの悪用を確認し、各系列の修正版を提供した。露出している機器は設置台数の約0.02%とされる。

一方、Unit 42はPHP2Shellを欧州の政府機関と結びつけた10月23日の記述を撤回した。PHPの潜在的な脆弱インスタンスは2,260万件超と推計され、修正済みの割合は約2.6%にとどまるとの観測もあるため、同じ連鎖が他のアプライアンスへ波及する余地は大きい。

日本を含む被害地と「AI支援型」の位置づけ

被害地に日本、台湾、韓国が含まれる点は、10月下旬にTrendAIやCrowdStrikeが報告した日本を標的とするAI利用の攻撃基盤と重なる。Dreamは今回の作戦を自律型の攻撃とは区別し、AIが偵察と標的の絞り込みを支援した「AI支援型」と位置づける。中国のオープンウェイトモデルが攻撃の道具として使われた事実は、輸出管理や公開重みモデルの規制を巡る議論に実例を加える。日本の組織では、露出した管理インターフェースの点検と、カーネル脆弱性の修正適用の確認が直近の課題となる。