先端AI開発9社の安全性指数、AnthropicのC+が最高 上位ラボは安全公約が後退
2026年7月20日 21:35
先端AIを開発する主要9社を対象にしたFuture of Life Instituteの2026年夏版AI Safety Indexで、最高評価はAnthropicのC+にとどまった。評価では、上位企業ほど安全性ツールの整備を進める一方、一定の危険水準に達した際に開発を止めるといった過去の公約を弱めている点が問題視された。AIの導入や調達を検討する企業・政策担当者にとっては、各社の安全性の説明や統治体制をうのみにせず、実際に何が強制可能なのかを見極める必要がある。
■安全性ツールは進化しても、それを使う統治は弱まっている
OpenAIは7月15日、新たな安全性ツール「GPT-Red」を公開した。自己対戦型の強化学習で訓練した自動レッドチーミングモデルで、社内テストでは、人間のレッドチームが成功した割合が13％だったシナリオで、84％の攻撃成功率を示したという。
その同じ週、先端AIラボの安全性を採点する独立パネルは、これまでで最も厳しい評価を公表した。Future of Life Institute（FLI）が7月7日に公開した2026年夏版AI Safety Indexでは、主要AI開発企業9社のうちC+を上回る評価を得た企業は1社もなかった。さらに上位企業は、かつて掲げていた安全公約を静かに後退させているとされた。
この対比が示すのは、ラボが実際に新しい安全性ツールを開発している一方で、それをいつ使うかを決める統治の仕組みは強化されるどころか、むしろ弱まっているという点である。
■9社を37指標・6分野で評価、最高はAnthropicのC+
FLIの2026年夏版AI Safety Indexは、Anthropic、OpenAI、Google DeepMind、Meta、Z.ai、Alibaba Cloud、xAI、DeepSeek、Mistralを、6分野37指標で評価した。
首位はAnthropicで、4.0点満点換算の2.66、成績はC+だった。OpenAIとGoogle DeepMindはそれぞれ2.28、2.01でC、MetaはD+。xAI、DeepSeek、Mistralは不合格のF評価となった。
最高点の企業でもC+にとどまるという事実だけでも厳しいが、評価の中身はそれ以上に深刻だ。
■上位ラボは以前の停止公約を弱めた
2026年夏版で最も重大な発見は、どの企業が何位だったかではなく、上位企業が何を約束しなくなったかにある。Anthropic、OpenAI、Google DeepMind、Metaはいずれも以前は、自社システムが特定のリスク閾値に近づいた場合、競合の動向にかかわらず自主的に開発を停止することを約束していた。
しかし現在では、4社すべてがその公約を弱めるか無効化しており、一部では停止を競合他社が先にどう動くかに左右されるものとして位置付けている。7人の専門家からなる独立パネルは、この傾向を「ゴールポストを動かす行為」と呼び、「安全性フレームワーク全体を損なってきた」と結論づけた。
パネリストの1人であるカリフォルニア大学バークレー校のStuart Russell氏は、指数の報告で次のように述べた。「業界ではAI安全性に関して良い取り組みも行われているが、能力競争はより過激になっている。企業は以前、能力水準に見合った安全対策を備えた場合にのみ新システムを公開すると約束していたが、今では、それが明らかに安全でなくても公開する計画を立てている。」
2026年夏版の証拠収集期間は2026年6月3日に終了した。その後の出来事は採点データには含まれないが、流れを補強する材料にはなっている。例えばOpenAIは安全チームを研究部門の配下に移し、独立した報告ラインをなくした。TechTimesはこれを、同社で過去2年間に6人目となる安全性分野の上級離脱者が出た流れの一部として報じた。
■「検知は予防ではない」という中核的な批判
指数全体で最も弱かった分野は「実存的安全性」だった。C-を上回る企業は1社もなく、多くはD以下だった。パネリストは、Anthropicの憲法的分類器、OpenAIのグローバルなAIガバナンス機関創設の呼びかけ、Google DeepMindの監視コミットメント、Metaの制御喪失防止条項といった個別の前向きな取り組みは認めつつも、全体としては「まったく不十分」と評価した。
そのうえでパネルは、業界の主流となっている安全性アプローチ自体に技術的な批判を向けた。多くのAI企業が中核投資として挙げる解釈可能性研究と、連鎖思考（Chain-of-Thought、CoT）の監視可能性について、建築的な観点から「検知は予防ではない」と指摘した。
CoTの監視可能性は、モデルの推論過程を人間に見える形にして、整合していない思考を検知できるようにするものだ。ただし検知は事後的である。問題のある推論の連鎖を見つけた時点では、モデルはすでに出力を生成しているか、その出力に基づいて動作している。何かが起きた後にフラグを立てる監視システムが提供するのは説明責任であって、安全性そのものではない。
これは小さな批判ではない。現在の業界の安全投資戦略は、問題を構造的に防ぐことより、問題が起きていないかを監視することを主軸にしているという意味になる。AnthropicのC+は、安全性を解決したことを意味しない。競合よりも崖の縁をよく見張れている、という意味にとどまる。ガードレールを築いているわけではない。
■GPT-Redは有効な安全工学だが、根本的な予防設計ではない
指数公表の数日後に出たOpenAIのGPT-Red発表は、まさにこの緊張関係を示している。GPT-Redは敵対的自己対戦型の強化学習を使う。レッドチーミング用モデルと複数の防御モデルを同時に訓練し、GPT-Redには失敗、つまりプロンプトインジェクションの成功を引き起こしたとき報酬を与え、防御側にはそれを防いだとき報酬を与える仕組みだ。
その結果、GPT-5.1に対する新規シナリオで、GPT-Redは84％の攻撃成功率を達成し、人間のレッドチームは13％にとどまったという。そこで見つかった攻撃はGPT-5.6 Solの強化に使われ、直接的なプロンプトインジェクションの失敗率を0.05％まで下げたとされる。
これは実際の安全工学である。敵対的なAIを使い、既知の特定の脆弱性クラスを配備前に見つけて塞ぐ取り組みだからだ。ただし、それでもなお、これは特定の既知の攻撃面に対して適用される検知とハードニングの仕組みであり、大規模なアラインメント不全を防ぐための予防アーキテクチャではない。
■企業別の評価
Anthropic — C+（2.66）：3回連続で首位を維持し、6分野中5分野でトップだった。比較的詳細な透明性慣行、公開されたモデル仕様とシステムプロンプト、危険能力評価の堅実さ、Responsible Scaling Officerという統治構造が評価された。一方でパネルは、Responsible Scaling Policy 3.0が以前の停止公約を薄めたとして、その後退を元に戻すよう求めた。また、Current Harmsの下位指標である軍事利用では不合格評価となった。パネルは、多数の民間人死者を出したMinab学校空爆との関連が「報じられている」とする所見を挙げている。指数の表現も、この関連を「reported」と位置付けている。
OpenAI — C（2.28）：2025年冬版のC+から低下した。より広範な評価スイートと、外部の安全性テストへの多様な関与により、リスク評価分野では首位とされた。一方でレビュー担当者は、経営陣がSafety Advisory Groupの判断を覆せる仕組みをなくし、安全性フレームワークの閾値を測定可能かつ外部から執行可能なものにすべきだと勧告した。別件として、証拠収集期間終了後、OpenAIは安全組織を再編し、安全チームを研究部門の配下に置いた。これにより、過去2年で6件目の上級安全人材の離脱となったとされる。
Google DeepMind — C（2.01）：2025年冬版から横ばいだった。操作、アラインメント不全、内部配備リスクまで対象を広げた更新版Frontier Safety Frameworkや、強力なウォーターマーキング保護が評価された。主な批判点は、経営陣から独立して配備停止を命じる権限を持つ内部機関がどこなのか不明確だという点だった。
Meta — D+（1.32）：指数の中で唯一、前向きなトレンドを示した。Dから改善し、順位も6位から4位に上がった。脅威モデリングを含む、より詳細な安全性フレームワークを公開し、バグバウンティープログラムの対象を壊滅的リスク要因にまで広げたことが要因である。一方で、誹謗中傷禁止契約が公称の内部告発者保護を損なっている可能性があるとパネルは懸念を示した。
Z.ai — D-（0.88）とAlibaba Cloud — D-（0.87）：両社ともD-だった。FLI指数は中国の規制環境に関する拡張セクションを設け、中国企業は、政府機関から要請があれば協力を義務付ける国家的な法制度の下で事業を行っていると指摘した。具体的には、2025年10月改正のサイバーセキュリティ法、2021年のデータ安全法、2023年の生成AI暫定措置が挙げられている。パネルは、両社の安全戦略は主として政府指針への委ねで構成されており、実存的安全性戦略としては「完全な受け身」だと評した。なお両社は、米国政府による中国軍との関係をめぐる主張を否定している。
xAI — F（0.65）：指数中で最も急な悪化を示した。4位から7位に後退し、評価もDからFへ下がった。レビュー担当者は、意味のある安全チームの存在を示す証拠も、実存的安全性への関与も、危険能力評価も見いだせなかったとしており、AI研究開発リスクの評価がない点を含めて「大きな穴」があるとした。さらにパネルは、xAIのGrokが児童性的虐待資料や、未成年者を含む実在人物の同意なき性的画像を生成したとする報道にも言及した。指数では、同社の進捗ハイライトは記載されていない。なおxAIは、証拠収集期間終了後の2026年7月6日に正式社名をSpaceXAIへ変更した。
DeepSeek — F（0.47）とMistral — F（0.33）：不合格は合計3社で、米国1社、中国1社、欧州1社だった。パネルは、この分布がAI安全性の低さは地域や法域に固有の問題だという見方を退けるものだと述べた。Mistralが最下位だった点は、欧州連合がAI安全規制で先行している状況と照らして皮肉だとも指摘された。DeepSeekもMistralも、証拠収集期間終了時点で安全性フレームワークを公表していなかった。
■軍事AIでは業界全体で方針転換
指数の中で新たに目立つ論点の1つが、AIの軍事利用である。2024年から2026年にかけて、Anthropic、OpenAI、Google DeepMind、Metaは、以前は軍事用途を制限または禁止していたにもかかわらず、方針を転換して積極的に防衛契約を求め始めた。すでにその種の業務を追求していたxAIとMistralに合流した形だ。
この変化は分野別評価にも反映された。Anthropicは軍事利用の下位指標で不合格とされたが、その理由としてパネルは、Minab学校空爆との関連が「報じられている」とする所見を挙げた。指数の位置付けは、報じられた関連についてのパネルの所見であり、法的責任を認定したものではない。
■この指数が測るものと、測れないもの
2026年夏版はFLI AI Safety Indexの第4版で、対象企業数は2024年の6社から9社に増え、これまでで最大となった。評価対象は、各ラボの方針、統治構造、開示姿勢、公表された技術フレームワークであり、配備済み製品の実運用性能やユーザー体験ではない。包括的な文書を公開すれば高く評価される一方、フレームワークを示さなければ低評価になりうる。
この方法論上の範囲は、成績の読み解きに重要である。AnthropicのC+は、あらゆる文脈で同社システムが安全だという意味ではない。外部から強制可能な最低基準がまだ確立していない分野の中で、文書化された安全慣行、統治構造、透明性が競合より相対的に強い、という意味である。
別のパネリストであるモントリオール大学のDavid Krueger氏は、指数の中で次のように書いている。「信頼できるAI安全計画に向けたAI企業の進展のなさは言語道断だ。企業自身でさえ、再帰的自己改善へ向けて競争を進め、制御喪失の見通しに直面するなかで、不安を抱き始めている。」
採点には米国のGPA制度が使われ、A、B、C、D、Fはそれぞれ4.0、3.0、2.0、1.0、0に対応する。総合評価は6分野にわたる専門家評価の平均であり、個々のパネリストの採点は非公開である。パネルは7人の研究者とガバナンス専門家で構成され、指数の方法論セクションによると、UC Berkeley、University of Montreal、HEC Montréal、University of Wisconsin-Madison、Oxford University、Renmin University of China、Encodeに所属している。
■注目ポイントQ&A
●FLIの安全性指数でAやBを取ったAI企業はありましたか
ありません。2026年夏版で評価対象となった9社のうち、総合評価の最高はAnthropicのC+でした。4.0点満点換算では約2.66です。次いでOpenAIがCの2.28、Google DeepMindがCの2.01で、xAI、DeepSeek、Mistralの3社は不合格でした。
●「検知は予防ではない」とは、利用者にとって何を意味しますか
現在多くのAI企業が重視する安全策、つまり解釈可能性研究、連鎖思考の監視、レッドチーミングは、問題を見つけるためのものであって、構造的に止めるためのものではないという意味です。独立パネルが現状を「まったく不十分」としたのは、この設計上の隔たりを指しています。利用者にとっては、ラボが文書で示す対策と、実際に防げることの間に測定可能な差があり、指数によればその差は能力向上の速度に追いつく形では縮まっていない、ということです。
●Responsible Scaling Policyとは何で、Anthropicの変更はなぜ重要ですか
AnthropicのResponsible Scaling Policy（RSP）は、一定の能力閾値を十分な安全策なしに超える場合、同社が自主的にAI開発を停止することを定めた自己規律の統治文書です。2026年夏版指数は、最新版のRSP 3.0がその停止公約を弱めたと評価し、「安全性フレームワーク全体を損なった」後退だとしました。停止条件が競合の選択次第になると、どの企業にも先に止まる動機がなくなり、実効性が失われることが懸念点です。
●この指数はなぜ信頼できるのですか
信頼性の中心は発行主体そのものより方法論にあります。採点は、UC Berkeley、University of Montreal、HEC Montréal、University of Wisconsin-Madison、Oxford University、Renmin University of China、Encodeに所属する研究者やガバナンス専門家からなる7人の独立パネルが行い、企業ごとの証拠を評価したうえで改善勧告の理由も公開しています。いずれの企業も評価に対価を払っていません。ただし、この指数は文書化された方針や公表済みフレームワークを採点するもので、運用中システムの実際の安全性を直接測るものではないという限界があります。
元記事: AI Safety Grades Are In: No Lab Tops C+, and the Best Ones Are Retreating