Mythos、Anthropicが公開を見送ったモデル

ほとんどのAIモデルは、誰もが使えるようになるその日に発表されます。Claude Mythosは違いました。4月、Anthropicは、最も熟練した人間を除けば誰よりもうまくソフトウェアの欠陥を見つけて悪用できるとするモデルについて説明し、そのモデルを一般には提供しないと述べました。

6か月後、安全策を施したバージョンが一般に販売されています。その間、6月には政府からの書簡によって3週間近くオフラインになりました。そして、このモデルが投げかけた問いはいまも答えが出ていません。モデルが販売するには高性能すぎると、誰が決めるのか。ここでは、何が起きたのか、そして私たちがそこから何を読み取るのかを見ていきます。

流出、そして警告

その存在は偶然に明らかになりました。3月26日、Fortuneは、Anthropicが未公開の下書きを、誰でも検索できるデータストアに置いたままにしていたと報じました。そのうちの1つはMythosを「これまでに開発したなかで群を抜いて最も強力なAIモデル」と呼び、運用コストが高く、一般公開の準備はできていないと記していました。Anthropicはこの開発を認め、このモデルを「飛躍的な変化であり、これまでに構築したなかで最も高性能なモデル」と呼びました。

4月7日、AnthropicはClaude Mythos Previewを、このモデルを防御に活用するプログラムProject Glasswingとともに発表しました。立ち上げのパートナーには、Amazon Web Services、Apple、CrowdStrike、Google、JPMorganChase、Linux Foundation、Microsoftが名を連ね、重要なソフトウェアを保守する40を超える組織もアクセスを得ました。Anthropicは最大1億ドルの利用クレジットを約束しました。それを使い切った後は、パートナーは入力100万トークンあたり25ドル、出力100万トークンあたり125ドルを支払います。

示された例は具体的でした。攻撃者がマシンをリモートでクラッシュさせることができた、OpenBSDの27年前からの欠陥。FFmpegの16年前からの欠陥。そして、マシンの完全な制御につながるLinuxカーネルの一連の欠陥。いずれも報告され、修正されました。モデルの公開を見送る理由は、はっきりと述べられていました。「Claude Mythos Previewを一般提供する予定はありません」。Anthropicは、こうした能力が広まれば、経済、公共の安全、国家安全保障への影響は深刻になりうると主張しました。

ほかの人々が見いだしたこと

英国のAI Security Instituteは、1週間以内にこのモデルをテストしました。Mythosは、同研究所による企業ネットワークへの32段階の模擬攻撃を最初から最後まで完遂した初めてのモデルとなり、10回中3回成功し、平均で22段階まで進みました。次点のモデルは16段階でした。同研究所は重要な注意点を付け加えています。テスト用のネットワークには積極的な防御者がいなかったため、「Mythos Previewが十分に防御されたシステムを攻撃できるかどうかは、確かなことは言えない」というのです。

その能力がどれほど独占的なものなのかを疑問視する声もありました。発表当日、セキュリティ企業AISLEのStanislav Fort氏は、Anthropicの事例にあった脆弱なコードを、小型で安価なモデルに与えました。8つのモデルすべてが、Anthropicが紹介したFreeBSDの欠陥を見つけ、そのなかにはアクティブパラメータが36億のモデルも含まれていました。ただし、それらのモデルには該当する関数が直接渡されていました。同氏の結論は、優位性は個々のモデルよりも、モデルを取り巻くシステムにある、というものです。

見つけることは、直すことより簡単だということもわかってきました。Anthropicによれば、Glasswingのパートナーは4月から7月までに、少なくとも129'000件の検証済みの脆弱性を見つけました。9月、VulnCheckのPatrick Garrity氏は、Anthropicが自社のスキャンで見つけたとする26'153件を確認しました。公開の開示台帳に載っていたのは約10件に1件で、修正済みとされていたのは100件に1件未満でした。「証拠は少しずつ届き始めているが、帳尻が合わない」と同氏は書いています。

Fable、そして停止

6月9日、AnthropicはClaude Fable 5を「一般利用のために安全にしたMythos級のモデル」としてリリースし、Glasswingのパートナー向けにはMythos 5をリリースしました。両者は同じモデルで、安全策が異なります。Fableでは、独立した分類器がサイバー攻撃、生物学、化学に関するリクエストや、モデルを複製しようとする試みを監視し、それらを旧来のClaudeモデルに引き渡します。

その3日後、米商務省はAnthropicに対し、米国の内外を問わず、Anthropic自身の社員も含め、あらゆる外国人がどちらかのモデルを使うには輸出許可が必要になったと通知しました。報道によれば、Amazonの研究者がFableのガードレールを回避する方法を見つけていたといいます。Anthropicはすべてのユーザーの国籍を確認できなかったため、「すべての顧客に対して、Fable 5とMythos 5を急きょ無効にしなければならない」と書きました。CSISのアナリストは、何も出荷されておらず、ユーザーはAnthropicのサーバー上のモデルにアクセスしているにすぎないとして、その法的根拠に疑問を呈しました。

6月30日、商務省は規制を解除しました。Al Jazeeraによれば、その見返りとして、Anthropicはセキュリティリスクを検知して対処すること、将来のモデルの基準づくりに協力すること、悪意ある活動を報告することに同意しました。両モデルは7月1日に復帰しました。9月1日にはバージョン5.1が続き、Mythos 5.1は認定された組織にのみ、現時点では米国内に限って提供されています。10月6日、AnthropicはGlasswingを3段階からなるより広範なCyber Verification Programに統合し、最上位の段階への申請者はすべて米国政府とともに審査されます。

なぜこのように扱われたのか

Anthropicが挙げる理由は、能力が安全策を追い越したということです。Fableの発表時、同社は「Mythos級のモデルは、重大なリスクをもたらす閾値に達しました」と書きました。その答えは1つの順序でした。まず防御する側へ、次に分類器、そして最後に安全策を施した一般公開です。9月には、最高経営責任者のDario Amodei氏がさらに踏み込みました。「私たちは、AIモデルの能力を高めるペースを落とさなければなりません」。

これはもはや1社だけの道ではありません。9月にOpenAIがGPT-6 Astraをリリースしたとき、それは同社自身の「サイバーセキュリティにおける重大な能力の閾値」に達した初めてのOpenAIモデルであり、ほかの誰よりも先にサイバー防御を担う人々に提供されました。信頼の度合いに応じた段階的なアクセスが、最も強力なモデルを公開する標準的な方法になりつつあります。

企業にとっての意味

ここから3つのことが言えます。最高のモデルは、いまや信頼の段階に応じて提供され、一般向けのバージョンは一部の質問を旧来のモデルに回すことがあります。モデルは、利用者とは何の関係もない理由で一夜にして消えることがあります。6月12日、Fableの顧客は全員が同じ日にそれを失いました。そして、欠陥を見つけることは、いまやセキュリティのなかで安価な部分になりました。難しいのは修正のほうです。だからこそ、同研究所の企業への助言は地味なものです。適時の更新、強固なアクセス制御、安全な設定、そして十分なログの記録です。

だからこそ私たちは、会社の知識を特定のモデルの外、つまりTwinに置き、重要な業務にはEignaを提供しています。パートナーのEigna Labsが開発した、会社独自のプライベートモデルで、その会社のクラウドやサーバー上で動き、閉じたネットワークの中でオフラインで動くよう設計されています。あらゆるタスクでフロンティアモデルに並ぶわけではありませんが、ほとんどの機密業務ではその必要はありません。自社のハードウェアで動くモデルは、供給元に書簡が届いたからといって消えることはありません。