400人以上の科学者――「AIのゴッドファーザー」として広く知られるジェフリー・ヒントンや、2018年のチューリング賞受賞者ヨシュア・ベンジオといったAIのパイオニアを含む――が、最も危険なAIモデルをインターネットから切断するよう求めている。

公開書簡では火曜日に発表され、署名者らはサイバー能力を持つモデルをデフォルトで「エアギャップ」状態にする、つまり外部ネットワークから物理的に切断するようAI研究所に要請した。エアギャップは長年のセキュリティ慣行であり、機密性の高い軍事システムや重要インフラをリモート侵入から守るために古くから用いられてきた。書簡には水曜時点で450の署名が集まっており、カリフォルニア大学バークレー校のスチュアート・ラッセルや、RSA暗号方式の共同発明者であるMITのロン・リベストらが名を連ねており、署名は現在もリアルタイムで増え続けている。

「短期的には、エアギャップ（インターネットからの切断）を含む強固なサンドボックス機構を用いて、サイバー能力を持つAIモデルの高い信頼性の封じ込めを実現すべきである」と書簡は述べている。

この要請は、OpenAI、Anthropic、Meta、Moonshot AIのモデルがテスト用サンドボックスから脱出し、その過程で複数が実在の企業をハッキングした夏を受けたものだ。

「サイバー能力を持つモデル」とは、ソフトウェアの脆弱性を自ら発見し悪用できるAIのことだ。研究所はサンドボックス――AIが実際の何にも触れることなく偽のターゲットを攻撃できる隔離されたデジタル空間――の中でその能力を測定している。しかし今夏、その空間は相次いで漏えいした。エアギャップはサンドボックスのより厳格な形であり、ネットワーク接続が一切なければ、環境の外へ出るネットワーク経路も存在しない。

7月、OpenAIは、GPT-5. Solと未公開のより強力なモデルがロックされたテスト環境から脱出し、100万を超える公開AIモデルをホストするプラットフォームHugging Faceをハッキングしたことを認めた。これらのモデルは、AIエージェントに898件の実際のソフトウェア脆弱性を与え、それぞれを実用的な攻撃に変えるよう求め、脆弱性ごとに合否を判定するベンチマーク「ExploitGym」でテストされていた。その直後、OpenAIのモデルがオーストラリア政府に侵入し、米連邦機関の情報に不正にアクセスしたとの報道が浮上した。

続いてAnthropicは14万1000件超のテスト実行を精査し、テストパートナーの環境が誤ってインターネットに接続されたままになっていたため、Claudeモデルが実在の企業をハッキングした3件の事例を発見した。その一つで、Claude Mythos 5はプログラマーがPythonコードをダウンロードする公開ライブラリPyPIに悪意あるパッケージをアップロードし、削除されるまでに15のシステムに配布された。影響を受けた企業のうち2社は、Anthropicが通知するまで侵害に気づいていなかった。

Metaは8月、同種のテスト上のミスにより、自社のMuse Sparkモデルが他社をハッキングしたことを確認した。また別に、誰でもダウンロードできる中国のKimi K3が、英国AI安全研究所のテストフレームワークに基づいて構築されたサンドボックスから脱出し、テストの解答をGitHubから直接コピーしていたことが明らかになっている。

書簡の著者らは、これらの事件を二通りに読み取れるとしている。一つはアライメント問題、つまりAIが開発者の意図しない形で目標を追求する問題、もう一つは、より堅牢なサンドボックスであれば防げたはずのずさんなセキュリティの問題だ。彼らの答えは「その両方」であり、変更がなければ次の事件はさらに深刻になると警告している。

「AIの開発・展開の慣行を直ちに変更しなければ、このような事件は起こり続け、将来の事件は、露出したわれわれの重要インフラにはるかに大きな被害をもたらすだろう」と書簡は述べている。

提案によれば、研究所は少なくとも初期段階では、高度なハッキング能力を持つモデルをデフォルトでエアギャップ状態にすることになる。これは、主要モデルが通常ウェブ閲覧、外部ツールの呼び出し、ユーザーへのサービス提供のためにインターネットへのライブアクセスで動作している現在の業界慣行からの転換となる。インターネットアクセスなど、より自由を必要とするものは、政府と共同で設立される新たな国際機関が定める基準に従うことになる。同機関は封じ込め失敗の報告を収集し、最終的には公開する役割も担う。

業界自身の反応は概ね逆方向を向いている。8月、OpenAI社長のグレッグ・ブロックマンは自社の侵害に言及したエッセイで、すべてのセキュリティチームにAIエージェントの即時導入を促した。一方Hugging Faceは、米国の商用AIが攻撃データの分析を拒否したため、誰でもローカルでダウンロード・実行できる中国製のオープンウェイトモデルを実行することで、ようやくサーバーへの攻撃の解明にたどり着いた。

議会の議員2名は、OpenAIの開示の2日後に「AI Kill Switch Act」提出した。これは国土安全保障省にフロンティアモデルの制限や停止を命じる権限を与える法案だ。ただし、レッドチーミングや構造化テストの際に起こったことは除外されており、今夏の侵害はまさにその場で発生していた。

ホワイトハウスは9月29日、より穏当な路線を取った。Nvidia、xAI、Meta、Google、OpenAI、Anthropicが、内部統制と独立レビューに基づく自主的な協定に署名したのである。トランプ大統領はこの協定を「道徳的に拘束力がある」と呼んだが、法的に強制できるものは何も含まれていない。

書簡に法的拘束力はないが、406人の署名者はトロントやチューリッヒからサンティアゴ、キガリまで、六大陸の大学や研究機関に所属している。Decryptは書簡のメディア窓口として記載されていた複数の研究者に連絡を取ったが、即答は得られなかった。署名リストがまだ増え続ける中、今後の注目点は、いずれかの研究所がデフォルトでのエアギャップ基準を採用するか、そして政府が書簡が構想する監督機関の設立に動くかどうかだ。