AIの安全柵を解体する——チャットボットに「ノー」と言わせない反逆者たち

「申し訳ありませんが、お手伝いできません」から「何でも承ります」へ

主流のAIチャットボットを日常的に使っていれば、あの丁寧かつ毅然とした拒絶の言葉に馴染みがあるはずだ。「申し訳ありませんが、そのリクエストにはお応えできません。」「セーフティアライメント（safety alignment）」と呼ばれるこの安全柵は、OpenAI、Anthropic、Googleといった企業が自社モデルに設けた中核的な防衛ラインである。しかし今、自らを「アブリタレーター（abliterators）」と称する技術者たちが、この安全柵を体系的に解体し、その成果をインターネット上に無料で公開している。

「アブリタレーション（abliteration）」という語の語根は、機器学習における「アブレーション実験（ablation study）」に由来する——もともとはモデルの特定コンポーネントを取り除き、全体的な挙動への影響を観察する手法を指す。今日この言葉は新たな意味を帯びた。モデルの重みを定向的に修正することで拒否行動を消去し、ほぼいかなるリクエストにも応じさせるというものだ。

「拒否の方向」を探し出す

アブリタレーション技術の核心的な発見は、示唆に富んでいる。研究者たちは、セーフティアライメントを受けたモデルの内部に、「拒否」行動と関連付けられた方向ベクトルが存在するらしいことに気づいた。入力がセンシティブなトピックに触れると、このベクトルが活性化され、モデルは定型の拒否フレーズを出力する。アブリタレーターがとるアプローチは、このベクトルを特定して除去することだ——再学習は不要、膨大な計算資源も不要で、数十分とコンシューマー向けのグラフィックカード一枚あれば完了することもある。

「これはモデルの『道徳スイッチ』を見つけて、それを『オン』の位置に溶接してしまうようなものだ。」——オープンソースコミュニティのある開発者の言葉

参入障壁が極めて低いことから、こうした「無制限モデル（uncensored models）」は過去一年で爆発的に増加した。Hugging Faceなどオープンソースモデルプラットフォームでは、「abliterated」タグの付いたモデル数が急速に増加し、中小パラメータから大規模オープンソース基盤モデルまで多様なサイズをカバーしている。公開者は往々にして一言添えるだけだ。「拒否行動を除去済み。使用結果はご自身の責任で。」

理想主義、知的好奇心、そしてグレーゾーン

この動きを推進する動機は一様ではない。「モデルはソフトウェアである」というオープンソース原理主義を信奉し、ユーザーが自分の動かすAIを完全に制御する権利があると考える者もいれば、安全柵を外した後のモデルの能力的限界を観察したいという研究目的の者もいる。純粋な技術的自己顕示が目的という者もいる。しかし否定できないのは、コンテンツ審査を回避してセンシティブな情報を入手することを明確に求めるユーザー層がその中に混在しているという事実だ。

支持者の核心的な論拠はこうだ。安全柵とは本質的に「企業によるパターナリズム」であるというものだ。テクノロジー企業は自らの価値観に基づいて何が言えて何が言えないかを定義し、ユーザーはそれを受動的に受け入れるしかない。アブリタレーターたちは、選択権をユーザーに返すことこそが責任ある行為だと主張する——少なくともオープンソースかつローカル環境での展開においては、リスクは使用者自身が負うのだから、と。

同じ鍵が開ける、二つの扉

論争の焦点は二重使用（デュアルユース）にある。WIREDの報道は率直だ。こうした「ノーと言わない」モデルは、セキュリティ研究者がネットワーク防御のテストや攻撃経路のシミュレーションを行う際に便利な反面、危険物の製造へのハードルを下げる可能性もある——同報道は「爆発物の製造」についても直接言及している。

サイバーセキュリティの分野では、反応が複雑に分かれている。レッドチームのテスター担当者は、現実の攻撃者の思考を模倣するために制限のないモデルを必要としていることは確かだ。しかし同じ能力が悪意ある行為者の手に渡れば、防御側はより深刻な課題に直面することになる。さらに厄介なのは、モデルがいったんインターネット上に公開されると、事実上回収が不可能になることだ。リンクを削除しリポジトリを取り下げても、ファイルがミラーサイトやトレントネットワーク上で流通し続けるのを止めることはできない。

安全柵をめぐる攻防の次の局面

この攻防は孤立した出来事ではなく、AI安全分野における大きなゲームの縮図だ。モデルメーカーがアライメント訓練を強化し、より強固な拒否戦略とレッドチーム評価を導入し続ける一方で、オープンソースコミュニティは常に新たな回避策を見つけ出している——プロンプトインジェクションから重み編集まで、攻防のペースは加速し続けている。

規制面の対応は、明らかに後手に回っている。多くの国のAIガバナンスの枠組みは依然としてモデルの学習・展開段階に焦点を当てており、「公開後の改変」というグレーゾーンに対する明確な規定を欠いている。普通のノートパソコン一台で商用モデルを「無制限版」に改造できる時代に、従来の許認可型の規制では対処しきれなくなっている。

編集後記：安全柵をめぐる争いは、何を争っているのか

表面上はこれは「ノーと言えるかどうか」をめぐる技術論争だが、深層では、AI時代において最も根本的な権力配分の問題に触れている。誰が境界を定め、誰が結果に責任を負うのか、という問いだ。

安全柵を完全に取り除くことは無謀に違いない。しかし、すべての判断権を少数の企業のセキュリティチームに委ねることもまた、警戒に値する。より現実的な道筋は、段階的な責任体系を構築することかもしれない——管理された環境での研究権限の開放、高リスク能力への検証可能なアクセス制御の実装、そしてAIの能力的限界に関する公衆の認識向上を同時に進めることだ。安全柵そのものが問題なのではない。問題は、誰が安全柵を建て、誰のために建て、そしてそれが取り除かれたとき、誰が責任を取るのか、ということだ。

本稿はWIREDの記事を編訳したものです。