守りのAIは最新を、業務のAIは成熟を――「防御側の猶予期間」が問うAI投資の使い分け

ブロックマン社長の「防御側への提言」

2026年7月、AI開発大手のOpenAIは、性能テスト中の自社AIが、AI開発者向けの大手共有サイトHugging Faceのシステムへ自律的に侵入していたことを公表した。テスト環境を囲っていた仕組みの欠陥を突いて外へ出て、テストで高い点を取るために他社の本番システムから正解データを持ち出す――以前の記事（「AIの進化がもたらす『攻撃と防御』の変化【後編】」）で取り上げた事案である。

その当事者であるOpenAIの共同創業者で社長のグレッグ・ブロックマン氏が8月、「The Defender’s Window（防御側の猶予期間）」と題する記事を公開した。内容は、AIによる攻撃から身を守るために企業が取り組むべき10の対策である。セキュリティチームにAIを参加させる。システムの弱点（脆弱性）の発見・優先順位の決定・修正を段階的に自動化する。権限の最小化やネットワーク分離といった従来型の対策に重点的に投資する。趣旨はおおむね妥当である。

ただし、割り引いて読むべき点はある。対策の中には同社の製品やサービスが組み込まれており、自社のAIが起こした事故が、自社の防御ツールの訴求材料にもなっている。「火を出した者が消火器を売るのか」という批判は当然あり得る。もっとも、ブロックマン氏自身が「重要なのは特定の製品ではなく、高性能なAIを防御側に迅速に届けることであり、競合製品も評価すべきだ」と述べている。同種の事案は他のAI開発企業でも起きており、脅威そのものは1社の話ではない。売り込みは割り引きながら、構造は受け取る。それが本稿でのこの文書の捉え方である。

数カ月の差が決定的な意味を持つ領域、持たない領域

ブロックマン氏の記事で最も重要なのは、題名に込められた「期間」の話である。

AIの世界には、開発各社が抱える最先端のモデル（本稿では「最先端AI」と呼ぶ）と、中身が公開され誰でも自由に利用できるモデル（同じく「公開モデル」と呼ぶ）がある。そして近年、公開モデルは最先端AIの数カ月遅れで、ほぼ同等の性能に追いついている。ブロックマン氏は、この数カ月こそが防御側に与えられた猶予期間だと言う。高度な攻撃能力が公開モデルにも備わり、誰の手にも渡る前に、最先端AIで守りの体制を作れ、というわけである。

この主張を裏返すと、興味深いことが見えてくる。数カ月の性能差が決定的な意味を持つのは、攻撃と防御のように「相手より少しでも上回ること」が問われる競り合いの領域だけだ、ということである。文書の要約、翻訳、問い合わせ対応、資料作成――通常業務の大半は、誰かと競り合う仕事ではない。数カ月前の水準の公開モデルで、十分に実用的だ。最先端AIの上乗せ性能に対価を払う理由は、実はそれほど多くないのではないか。

「守りに最新、業務に成熟」

ここから、一つの経営判断が導かれる。防御には最先端AIを、業務には公開モデルや成熟した安価なサービスを、という使い分けである。

防御側が上回らなければならない相手は、自社が使うAIではない。攻撃者が使い得る最良のAIである。公開モデルが数カ月遅れで追いつき続ける以上、攻撃者の手札も数カ月遅れで底上げされ続ける。だから防御だけは、常に最新で差分を保たなければならない。一方、業務側にその縛りはない。守りと攻めで、AIを選ぶ基準は本来別物なのである。

これは、以前述べた「尺取り虫」――まずセキュリティという失敗の許されない領域でAIを使い、AIガバナンス（安全に使いこなす社内の仕組み）を整備し、その足場の上で業務活用を一歩進める、という考え方――とも整合する。守りの一歩に「最新」を、攻めの一歩に「成熟」を充てれば、リスクとコストの両方に説明がつく。そして重要なのは、セキュリティで整備した足場――承認の仕組み、記録、点検――は特定の製品に依存しないことである。モデルは差し替えても、足場は残る。投資の本体は、この足場に置くべきである。

窓は向こう側からも閉じる

ただし、この戦略には弱点が一つある。猶予期間という窓は、攻撃側の追い上げだけで閉じるのではない。最先端AIを供給する側の事情でも閉じ得る。

最先端AIの攻撃能力は、すでに開発企業自身が持て余し始めている。実際OpenAIは、安全装置を適用しない版のモデルをセキュリティ研究者に限定して提供し、AIによる事故調査を支援する仕組みも申請制としている。強力な能力ほど、誰にでも渡すわけにはいかない――そういう提供形態が既に現れている。この先、各国政府が安全保障上の理由から、最先端AIの提供に許可制のような枠をはめる可能性は否定できない。

ここから先は筆者の見立てである。

そのとき困るのは、規制が「遵法側にしか効かない」ことである。仮に規制で最先端AIが止まっても、止まるのは正規に契約して使う防御側だけで、攻撃者が使う公開モデルは止まらない。「守り」が止まり、「攻め」が止まらない。窓が最悪の形で閉じるおそれがある。では、防御の供給を誰が担い、中堅・中小企業にはどう届けられるのか。この問いは大きいので、また別の記事で改めて論じたい。

AI投資の棚卸しから始める

これを受けて、経営者がいまできることは三つある。

第一に、自社のAI関連の支出と計画を一覧にし、「守り（セキュリティ）」と「攻め（業務効率化・事業）」に色分けすることである。多くの会社で、「守り」の欄はほぼ空欄のはずである。そして、攻めのAIを選んだ基準――価格、使いやすさ、話題性――を、そのまま守りに持ち込んでいないかを確かめてほしい。

第二に、守りのAIには別の基準を立てることである。最新であること。攻撃の検知や弱点の発見で実績が検証されていること。そして提供元が、強力な能力の管理と説明責任にどう向き合っているか。先述の記事でも、セキュリティを任せるベンダーを選ぶ際に「AI時代の脅威をどう想定し、何に取り組んでいるか」を判断基準にすべきだと述べたが、その具体化である。

第三に、どのAIにも持ち越せる足場への投資である。AIがどのデータに触れ、どの操作ができ、誰の承認で動き、記録がどう残るかといった権限の範囲の整備。先述の記事の言葉で言えば「最小行動範囲」の設計である。最新モデルは数カ月ごとに入れ替わる。変わらないのは、統制の仕組みの方だ。

AIへの投資は、これから確実に増えていく。増えるほど、攻めと守りの区別は曖昧になっていく。社内で一度、話してみてほしい。自社では、守りに使うAIと業務に使うAIを、同じ基準、同じ財布で選んでいないか。