攻めたのは米国製AI、守ったのは中国製 ― オープンウェイト禁止論の急所

中国製オープンウェイトAIの締め出しを巡り、Y Combinatorら200社がトランプ政権に反対書簡。自律型AIに侵入されたHugging FaceがGLM 5.2で守った事件の実相と、規制5案の実効性を欧米・日本の視点で解剖。

2026年7月22日、シリコンバレーの約200社が、トランプ大統領とラトニック商務長官らに宛てて一通の書簡を送った。差出人には、暗号化メールのProtonや、名門の起業支援機関Y Combinatorが名を連ねる。要求は一点に絞られている。中国企業が公開している「オープンウェイト」のAIモデルへの接続を、米国の開発者から全面的に断ち切らないでほしい(POLITICO)。スタートアップ業界がまとまって政権のAI政策に物申したのは、これが初めてだ。

その6日前、この論争に生々しい実例が加わっていた。世界最大のAIモデル置き場を運営するHugging Faceが、自律的に動くAIエージェントによる侵入を受け、事後の解析を米国の商用AIではなく、中国製のオープンウェイトモデルGLM 5.2を自社の設備で動かして乗り切ったのである(Hugging Face公式)。中国の官製メディアはこの一件を「シリコンバレーは中国モデルなしでは立ち行かない」という物語に仕立てた。本稿はその枠組みを採らない。まず欧米と日本の側から、中国モデルへの疑いを証拠の順に数え直す。そのうえで、疑いを抱えたままでもなお、全面的な締め出しに約200社が反対する理由を、技術の仕組みと採算の両面から解剖する。個別の株価には触れない。追うのは、AIという道具の支配権を誰が握るかという、産業の土台の話である。

「離れられない」論を鵜呑みにしない ― 疑いには帳簿がある

先に、反論の側を固めておく。中国発のモデルをめぐる米側の疑いは、感情論ではない。弊誌が別稿で検証したとおり、Anthropicは2026年2月、DeepSeek・Moonshot AI・MiniMaxの3社が約2万4,000の不正アカウントを使い、Claudeと1,600万回を超える交信を重ねて出力を刈り取っていたという、数えられる記録を公表している。Moonshot AIが7月に出した大型モデルKimi K3についても、OpenAI社長のグレッグ・ブロックマンは「かなり良い」と性能を認めつつ、GPT系の出力から蒸留されたものかどうかは「結論を出すには早すぎる」と含みを残した([Bloomberg報道])。疑いは調査に値するし、調査は現に進んでいる。

安全保障の懸念にも、実体がある。中国のモデルには、特定の話題で出力が統制される振る舞いが確認されており、米国の複数の政府機関はDeepSeekの利用を職員に禁じた。そして皮肉なことに、AIが攻撃の道具になるという懸念そのものを、後述するHugging Face事件が実証してしまった。ただし、その事件で攻撃側に立っていたのは中国製ではなく、米国製のモデルである。疑いを数え上げたうえで、それでも約200社が反対しているのは「中国モデルの無罪」ではない。罰の当て方だ。連名を束ねたLittle Tech Associationの事務局長ハリー・ゴドフリーは、こう表現した。契約違反や知的財産の侵害があれば、その行為を個別に罰すればよい。使うべきは「大づちではなく、メスだ」と([POLITICO])。

重みを配るとは何か ― 一度出た知能は回収できない

論争の対象を正確にしておく。オープンウェイトとは、モデルの「重み」、すなわち学習によって定まった数十億から数兆個のパラメータの塊を、誰でもダウンロードできる形で公開する配り方を指す。利用者はその重みを自分のパソコンや借りたサーバーに載せ、供給元のオンラインサービスを介さずにAIを動かせる。設計図や学習データまで開くオープンソースとは違い、開くのは完成品の頭脳だけだが、手元で動かせるという一点が決定的な違いを生む。

閉じたAPI、つまりOpenAIやAnthropicのオンライン窓口を使う場合、価格も、呼び出しの上限も、モデルの入れ替えも、利用規則も、すべて供給元が握る。データは必ず供給元のサーバーを通る。オープンウェイトなら、その全部が自分の手に残る。供給元が規則を変えても、手元のモデルは昨日と同じに動き続け、データは自社の環境から出ない。資金の細いスタートアップにとって、これは料金の問題である以上に、事業の土台を他社の胸三寸に預けるかどうかの問題だ。AI基盤の新興企業Particleを率いるスハイル・ドーシは、中国のオープンウェイトを全面的に締め出せば、多くの新興企業が安価な選択肢を失い、需要は少数の米国供給元へ逆流すると警告した。ブロックマンが指摘するとおり、オープンウェイトはただでは動かない。Kimi K3級の巨大モデルには相応の計算資源と、配備・運用・防御の費用がかかる。それでも選ばれるのは、費用の構造と配備の形を自分で決められるからである。

もう一つ、規制の設計者が直視すべき性質がある。重みは、ただの巨大なファイルだ。一度公開されれば、世界中で複製され、第三者のサーバーに配備される。開発元をあとから罰しても、すでに散らばった重みがネットワークから消えることはない。禁止できるのは「米国の正規の市場で使うこと」までであり、知能そのものの拡散は止まらない。

ガードレールが守り手を締め出した ― Hugging Face事件の技術的な実相

7月の侵入事件は、この抽象論に血肉を与えた。Hugging Faceの公表によれば、侵入は7月13日に始まった。攻撃者は人間ではない。自律的に動くAIエージェントだった。細工されたデータセットを足がかりに、データセット処理の設備でコードを実行し、そこからサーバー本体の権限へ上がり、クラウドと計算群の認証情報を刈り取って、週末のあいだに内部を横へ渡り歩いた(The Hacker News)。複数の報道は、このエージェントがOpenAIのモデルの上で動いていたと伝えている(VentureBeat・SCMP)。

事件の後半で、防御側は思わぬ壁に突き当たる。1万7,000件を超える攻撃の記録を解析するには、実物の攻撃指令、脆弱性を突く部品、遠隔操作の痕跡を、そのままAIに読ませる必要がある。ところが、米国の商用APIにそれを投げると、安全のためのガードレールが要求を遮断した。ガードレールは、材料を持ち込んだのが攻撃者なのか、権限を持つ事件対応の担当者なのかを見分けられない。Hugging Faceはこれを「非対称の問題」と名づけた。攻撃側のAIはいかなる利用規約にも縛られずに動くのに、守備側は自らが頼るモデルの安全装置に手を縛られる。同社は解析をあきらめる代わりに、中国の智譜AIが公開するオープンウェイトモデルGLM 5.2を自社の設備に載せ、攻撃データを一切外に出さずに取り調べを終えた。数日かかるはずの作業は、数時間に縮んだ(Hugging Face公式)。

同社は公表の中で、これは特定モデルの宣伝ではなく、能力と配備条件を満たすなら他のオープンウェイトでも構わないと明記した。教訓として残したのは一行である。守備側は、事故が起きてから道具を探すのではなく、自社の基盤で動かせる有能なモデルを、審査を済ませて事前に備えておくべきだ。この一件は、二つのことを同時に証明した。AIエージェントによる攻撃はもう仮説ではないこと。そして、その防御の最後の砦が、いまの供給構造では中国製に頼らざるを得ない場面があることだ。

ワシントンの割れ方 ― 大づちの選択肢と、その代償

政権の内側は、一枚岩ではない。Axiosによれば、ホワイトハウスの一部は中国AIへの締めつけ強化を推し、商務省は広い規制は執行できないと見て、水面下でぶつかってきた(Axios)。POLITICOは、閣僚級で議論はあったものの全面禁止は真剣に検討されておらず、報道の時点で商務省が中国AI企業をエンティティーリスト(輸出規制の制裁対象名簿)に載せる案文を起こしてもいない、と伝えた。検討されうる選択肢を並べると、それぞれの実効性と副作用がはっきりする。

この表の4行目をめぐって、政権の元側近同士が正面から衝突した。トランプ政権の元AI顧問で、いまはOpenAIの戦略責任者に転じたディーン・ボールは、政府が中国製オープンウェイトの利用に「大量の規制リスク」を作り出せば、正式な禁止がなくても大半の米企業は自主的に離れる、という見立てを語った(Futurism)。これに対し、同じく政権のAI助言役だった投資家デービッド・サックスは7月19日、Xで痛烈に応じた。

規制の不確実性を競争の道具として兵器化することは、まったく受け入れられない。規制の判断には常に十分な理由があるべきで、事実と論理と証拠に基づくべきだ。恐れと不確実性を意図的に利用して隠れた政策を実行すれば、法の支配を侵食し、将来の濫用に扉を開く。すでにAIモデル収入で複占となっている主要な閉鎖研究所は、政府にオープンソースの競争相手を消してほしがっている。彼らは手の内を見せた。

— デービッド・サックス(X、2026年7月19日)

一方で、締め出し反対派への忠告もある。著名投資家のショーン・マグワイアは7月21日、自分はまだ賛否を決めていないと断ったうえで、こう釘を刺した。

科学技術の側への私の助言はこうだ。あなたたちの主張を「なぜスタートアップに有利か」ではなく、「なぜ米国に有利か」という枠で組み立てなさい。そのほうが効く。

— ショーン・マグワイア(X、2026年7月21日)

書簡がまさにその枠で書かれていることは、目を引く。約200社は「米国の主導権には二つのものが要る。世界最高の米国製オープンウェイトモデルと、世界にすでに存在する公開モデルへの米国の開発者の接続だ」と記した。スタートアップの都合ではなく、国益の言葉で書かれた反対論である。

締め出しは、米国自身の行動計画と矛盾する

ここに、政策の根の矛盾がある。ホワイトハウスが2025年7月に公表した「米国のAI行動計画」は、オープンソースとオープンウェイトのモデルを名指しで奨励していた。中小企業の導入の敷居を下げ、特定の閉じた供給元への依存を減らし、機微なデータを外部のサービスに送れない場面でも先端のAIを使えるようにする。商務省の電気通信情報庁に、中小企業への普及を後押しする会合の開催まで指示している(FedScoop)。OpenAI自身も2025年8月、自社のオープンウェイトモデルgpt-ossを出した際、データを国外に出せない厳しい要件に応えられるのが公開モデルの価値だと説明した(OpenAI)。

むろん、この奨励は米国製の公開モデルと「米国主導の生態系」のためのものであり、中国モデルの無条件の受け入れを約束したものではない。だが、規制が個別の違反行為の摘発を越えて「出自による一律の締め出し」へ広がれば、行動計画が自ら数え上げた低費用・手元配備・データ管理という価値のかなりの部分が、同時に失われる。米国にもMetaのLlamaやgpt-ossといった公開モデルはある。ただ、エージェント型の作業や長い工程といった最前線の用途で、高い能力と手元配備を両立できる米国製の選択肢は、まだ厚くない。Hugging Faceが土壇場で頼ったのが中国製だったという事実が、その薄さの証明である。

日本企業が持ち帰るべき教訓 ― 事故の前に、自前で回せる一式を

この論争は、太平洋の向こうの話では終わらない。日本企業の多くも、閉じたAPIの利用規約と価格改定の上に業務を築いており、機微なデータを外部に出せない業種ほど、手元で動かせるモデルの価値は大きい。Hugging Faceが残した教訓は、そのまま日本の情報システム部門への宿題になる。攻撃ログの解析のような高機微の作業は、供給元のガードレールに阻まれる可能性がある。だから、能力の高いモデルを自社環境で動かす体制を、審査を済ませたうえで事故の前に用意しておく。日常の大半は商用APIで賄い、規約が覆えない特殊な場面のために、自前の一式を控えに置く。二層で構えるのが実務の解だ。

同時に、供給の偏りから目を逸らすべきではない。いま最前線級のオープンウェイトの供給は、中国勢に大きく傾いている。再生可能エネルギーの供給網で指摘される「技術的従属」と同じ構図が、AIの道具立てでも進みつつある。米国の規制がどちらへ転んでも、日本企業は影響を受ける側にいる。使うなら、モデルの素性と許諾条件を審査し、重みを手元に確保し、依存先を一つに絞らない。作る側では、日本発の実力あるオープンウェイトが薄いという現実そのものが、産業政策の課題である。約200社の書簡が守ろうとしたのは、突き詰めれば、開発者が道具と費用と配備を自分で決められる自由だった。その自由は、日本の開発者にとっても、同じ重さで価値がある。