AI安全研究所が2026年1〜8月に評価したAIモデルのうち、過半がオープンウェイトだった。オープンウェイトの評価対象では、DeepSeekやQwen、Kimiなど中国系モデルが57.9％を占めた。

AI安全研究所などによると、同研究所が1〜8月に評価したAIモデルは、重複を除くと34モデル。公開形態別の内訳は、オープンウェイトが19モデルで55.9％、クローズド型が15モデルで44.1％だった。

オープンウェイト19モデルのうち、中国系モデルは11モデルで57.9％を占めた。評価対象にはKimi、DeepSeek、Qwen、GLM、InterVL、MiniMaxなど、中国の主要なオープンウェイトモデルが含まれた。このほか、韓国系が4モデル、米国系が3モデル、フランス系が1モデルだった。

同研究所は、対象モデルや評価時期に応じて、プロンプトインジェクション、機微情報の漏えい、計算資源の濫用、有害行為の拡散可能性などを検証している。サイバーセキュリティ、Webエクスプロイト、悪性リンク、応答の有害性も評価項目に含めている。

マルチモーダルモデルについては、有害行為の予見、リスク類型の分類、ジェイルブレイク攻撃の検知能力などを点検した。足元では、AIエージェントでメモリ汚染が生じた際、推奨内容や回答結果が特定の方向に偏るかどうかも調べている。

同研究所は、オープンウェイトに加え、GPTやClaudeなどクローズド型のフロンティアモデルもあわせて検証している。ただ、公開される全モデルを一律に調べるのは難しく、重要度や政策課題を踏まえて対象を選定している。現在は、科学技術情報通信部の喫緊課題への対応として、最新フロンティアモデル「GPT-6 Astra」を評価している。

業界では、オープンウェイトは重みが公開され、利用者が直接改変したり追加学習させたりできるぶん、クローズド型とは異なる安全保障上のリスクを抱えるとの見方が出ている。

オープンウェイトを基盤にAIサービスを開発する企業の関係者は、「オープンウェイトは利用者が重みを直接扱えるため、ガードレールや保護機構だけを弱めることも可能だ」と指摘。「クローズド型のフロンティアモデルと違い、利用者が安全装置を恣意的に解除できる点がリスク要因だ」と述べた。

グローバルのAI開発企業も、オープンウェイトモデルのサイバーセキュリティリスクに警戒感を示している。

OpenAIで応用AIセキュリティを担当するワナ・トゥン氏は、最近開かれた「AIリスクカンファレンス・ソウル2026」で、ガードレールが比較的弱い非フロンティアモデルやオープンウェイトモデルを攻撃者がファインチューニングし、十分な時間とトークンを投じれば、大きな被害をもたらしかねないと説明した。こうしたモデルの性能水準も、フロンティアモデルとの差は6〜8カ月程度にとどまると指摘した。

Microsoft Koreaのセキュリティ戦略アドバイザー、チャン・グァンウン氏も同イベントで、オープンウェイトモデルのサイバー攻撃能力はフロンティアモデルとの差を急速に縮めていると発言した。アクセスのしやすさと活用の容易さから、高度なサイバー攻撃能力が広く拡散しかねないとの見方を示した。

一方、課題は評価対象の増加に対して、人員と計算資源が不足していることだ。AI安全研究所が独自評価に用いるGPUはNVIDIA H200が16基。評価用GPUの稼働率は70〜80％で、評価が始まると数日間連続で使うケースもあるという。中国のオープンウェイトモデルの大規模化に加え、AIエージェント評価では反復的なモデル稼働が必要になるため、計算資源の負担も増している。

AI安全研究所のキム・ミョンジュ所長は「最近の中国オープンウェイトモデルには、一般的なGPUでは載せきれないほど大規模なものもある。エージェント評価は資源も時間もかかる」と説明した。そのうえで、「本来は主要モデルをすべて評価するのが望ましいが、現実には人員もGPU資源も不足している」と述べた。

さらに「新モデルが相次いで登場しており、すべてを直ちに検証するのは難しい」とし、「最終的には重要度や当面の課題に応じて優先順位を付け、選別的に評価せざるを得ない」と語った。