攻撃か防御か優位は？AIセキュリティリーダーボードについてFAR.AIのAdam Gleaveが語る

FAR.AI のアダム・グリーブ氏は、最新の大規模言語モデル（LLM）に対する体系的なセキュリティ評価「AI セキュリティリーダーボード」の結果を明らかにしました。調査では、OpenAI や Anthropic のモデルが多くの攻撃に対して高い防御力を示す一方、X AI の Grok や Google の Gemini には、数百ドルの API 利用料で突破可能な安全装置の回避が存在することが判明しました。

「堅牢」なモデルと「脆弱」なモデルの明確な差

グリーブ氏によると、FAR.AI は公開されている攻撃手法と独自に開発した方法を組み合わせ、主要な4つのモデルに対して約500回のテストを行いました。その結果、Claude 3.5 Sonnet や GPT-4o はすべての攻撃を阻止しましたが、Grok 4.5 と Gemini 3.1 Pro では、サイバーセキュリティや爆発物製造などの特定ドメインにおいて、75%以上の質問に対して回答する普遍的な脆弱性が発見されました。数百ドルという低コストで安全装置を突破できることは、国家レベルの攻撃者にとっても容易に実行可能なリスクです。

テロ組織によるAI悪用の実態：ボコ・ハラムの事例から見える現実

AI の悪用リスクはもはやSFの話ではありません。ケンブリッジ大学の研究により、テロリスト集団「ボコ・ハラム」が言語モデルを活用して爆発物のトラブルシューティングや計画立案を行っていることが確認されました。

グリーブ氏は、これらの組織が高度な技術者ではないため、AI を「専門家の代わり」として利用している点を指摘します。彼らは AI に指示を出し、モーターサイクルの stunt（敵陣への突入用）や爆発物の製造方法を尋ねることで、自らの損失を減らそうとしています。特に爆発物に関する質問に対して AI が回答することは明確な悪意ある使用ですが、専門家が不足している組織にとって、AI は極めて魅力的な選択肢となっています。

ジャイルブレイクの技術的特性：複雑な技法より「社会的エンジニアリング」が効く

主要な攻撃手法について分析すると、文字列のスクランブルや高度な隠蔽といった複雑な技法は限定的な効果しか持ちません。最も有効なのは、モデルに対して社会的エンジニアリングを施し、プレッシャーを与えるというシンプルなアプローチです。

また、「普遍的なジャイルブレイク」の定義についても言及されました。これは特定のドメイン（例：サイバー攻撃）において安全装置を確実に回避できるものを指しますが、すべてのドメインで通用するわけではありません。しかし、一つのドメインに特化した攻撃であっても、その分野における重大な被害をもたらす可能性は十分にあります。

リスクの本質：モデルの欠陥ではなく「人為的なミス」が主因

グリーブ氏は、現在の多くのリスクがモデルそのものの不可避的な欠陥によるものではなく、過剰な競争や不十分な事前フィルタリングといった「人為的な要因」に起因すると主張します。これは、適切なインセンティブ設計と評価基準の標準化によってリスクを低減可能であることを意味し、楽観視する根拠となっています。

具体的には、長文コンテキストでの意図の検知や、過剰な拒絶（false positive）を防ぐためのデータフィルタリングなど、技術的に解決可能な課題が山積しています。また、企業間での安全基準の共有や、第三者による評価基準の標準化が進めば、より効果的な防御が可能になると考えられています。

結論：業界全体の協調と「自滅」を防ぐガバナンスの必要性

今後の展望として、グリーブ氏は技術的な進歩以上に、業界全体での協調体制構築が重要であると強調しました。特に米中両国の協力や、企業間での安全データの共有は、コスト対効果が高く、実現可能な対策です。

AI のリスクには「不可避な部分」と「我々が招いている部分」がありますが、後者の割合の方が大きいとグリーブ氏は分析しています。過剰競争による「自滅（アンゴール）」を防ぎ、基本的なセキュリティ対策を徹底することで、技術の恩恵を受けつつ危険を最小限に抑えることが可能だと結論付けています。