何が起きたのか
ホワイトハウスのAI政策に関与するDavid Sacks氏が、中国製モデルKimi K3を引き合いに米国製AIの安全ガードレールを公然と批判しました。Sacks氏はX（旧Twitter）で「Kimi K3は、Codex と Fable が『cyber guardrails』を理由に拒否した15件のクリティカルなセキュリティバグを、たった今修正した。中国モデルが問題なくこなすタスクで米国モデルを制限する理由はない。我々は自らを競争力の低い存在にしているだけだ」と投稿しています（David Sacks氏 X投稿）。
Sacks氏は大統領科学技術諮問委員会（PCAST）の共同議長を務める人物で、この発言は一開発者の報告を発端に、AIの安全設計が米国の競争力を損なっているのではないかという政策論に火を付けました（thenews.com.pk 2026-07-20）。日常的にCodexやClaude系モデルでコーディングする開発者にとって、これは政策論であると同時に、「安全側に倒しすぎたモデルが実務で使い物にならない」という現場の問題そのものです。
発端は一人の開発者の報告
Sacks氏の投稿の発端は、公式なベンチマークではなく、ビットコイン関連の開発者calle氏による実体験の報告でした。報道によると、calle氏は自身のソフトウェアに存在する15件のセキュリティバグの修正を、OpenAIのCodexとAnthropicのFable 5に依頼したところ、いずれも安全ルールを理由に対応を拒否したといいます。一方、Moonshot AIのオープンウェイトモデルKimi K3は、同じ15件をすべて修正したと報じられています（Startup Fortune 2026-07）。
ここで拒否側に挙がった「Codex」「Fable」はいずれも米国製で、Fable 5はAnthropicのモデルです。拒否の理由として引用された「cyber guardrails（サイバー領域のガードレール）」とは、悪用可能なコードやエクスプロイトの生成を防ぐために各社が組み込んでいる安全制御を指します。皮肉なのは、calle氏の依頼が攻撃コードの作成ではなく、自分のソフトの脆弱性を塞ぐ防御的な作業だった点です。Anthropic自身、強化した安全分類器が「日常的なコーディングやデバッグで良性の要求をより頻繁にフラグする（flagging benign requests more often）」と公式に認めており、防御側の作業まで巻き込むのは各社が織り込むトレードオフになっています（Anthropic公式）。
なお、この15件という数字は個人の主張であって、統制された評価に基づくものではありません（thenews.com.pk 2026-07-20）。Sacks氏はこの事例を、米国の安全規制が競争上の重荷になっている証拠として引用した、という関係です。
Sacksの主張と、その立場
Sacks氏の論旨は明快です。もし米国モデルがルーティンの防御作業まで過剰に拒否するなら、それはエンタープライズ顧客が本当に必要とする意味での「安全」ではなく、単に使いにくいだけだ、というものです。ここに価格差が加わると、企業の調達判断はさらに米国勢に不利になります。The Newsは、Artificial AnalysisがあるベンチマークタスクのコストをKimi K3で0.95ドル、主要な米国モデルで1.04ドルと見積もったと伝えています（thenews.com.pk 2026-07-20）。
ただし、事実と評価は分けて読む必要があります。Sacks氏は中立的な観察者ではなく、ホワイトハウスのAI・暗号資産担当からPCAST共同議長へと移った人物で、いま批判している政策環境そのものに関与してきた立場でもあります（Startup Fortune 2026-07）。同じKimi K3の登場を受けて、トランプ政権がサイバーセキュリティ上の懸念を理由に中国製AIモデルの規制強化を再検討していると報じられており、政権内でも「開放して競争力を取るか、締めて安全を取るか」で立場が割れていることがうかがえます（Tom’s Hardware 2026-07）。
同じ週に起きた Hugging Face の事例
この論争が単発の逸話ではないことを示すのが、ほぼ同じタイミングで報じられたHugging Faceの事例です。Hugging Faceは公式のインシデント報告で、自律型のAIサイバー攻撃を受けた際、ログ解析にまず商用APIのフロンティアモデルを使ったものの「大量の実際の攻撃コマンド、エクスプロイトのペイロード、C2アーティファクトを送信する必要があり、これらの要求はプロバイダの安全ガードレールにブロックされた（ガードレールはインシデント対応者と攻撃者を区別できない）」と説明し、最終的に中国製オープンウェイトのZ.ai GLM 5.2を自社インフラ上で動かして解析したと明かしています（Hugging Face 2026-07、Fortune 2026-07-20）。
VentureBeatは、ここで止まったのが攻撃者ではなく防御側だったと指摘しています。攻撃の分析には、実際の攻撃コマンド、エクスプロイトのペイロード、C2（指令サーバ）由来のアーティファクトを大量にモデルへ投入する必要がありますが、商用フロンティアモデルのガードレールは「攻撃者がエクスプロイトを作らせている」のか「防御者が検知のために解析している」のかを区別できず、後者まで一律にブロックしてしまったというわけです（VentureBeat 2026-07）。calle氏の脆弱性修正と構図はまったく同じで、悪意ある側ではなく守る側の作業が安全制御に阻まれています。
「防御側だけが止まる」という構造 — over-refusal
この現象は研究の世界では過剰拒否（over-refusal、良性の要求まで拒否してしまう挙動）として知られており、逸話にとどまらない定量的な裏付けがあります。Scale AIらがICLR 2026ワークショップで発表した「Defensive Refusal Bias」は、全米大学サイバー防衛競技会（NCCDC）由来の2,390件のプロンプトを用いて、安全アラインメントが防御タスクをどれだけ止めるかを測りました（arXiv 2603.01246 2026-03-01）。
同論文の全体拒否率は12.2%でしたが、内訳を見ると偏りが際立ちます。攻撃的な用語を含むプロンプトの拒否率は30.5%、含まないものは11.2%で、その比は $\frac{30.5}{11.2} \approx 2.72$ 倍でした。タスク別ではシステムハードニングが43.8%、マルウェア解析が34.3%と、防御の中核ほど拒否されやすいという逆転が起きています。過剰拒否の度合いは、良性要求のうち誤って拒否された割合、すなわち偽拒否率（false refusal rate）として次のように捉えられます。
$$\mathrm{FRR} = \frac{\text{良性だが拒否された要求}}{\text{良性要求の総数}}$$さらに直感に反する発見として、「これは正当な権限に基づく作業だ」と明示する認可シグナルを付けると、拒否率はむしろ11.6%から21.8%へ上昇し、攻撃的用語と併記された場合は50%に達したとされています（arXiv 2603.01246 2026-03-01）。安全側に寄せた設計ほどFRRが高く出る傾向は、モデル間比較にも表れており、同論文の測定では安全志向のClaude 3.5 Sonnetが19.5%、GPT-4oが10.2%、オープンソースのLlama-3.3-70Bが6.6%でした。これは、安全アラインメント全般に伴うトレードオフ——有害要求の拒否を強めるほど、良性の防御要求まで拒否しやすくなり得る——を示唆しています。ただし同論文の拒否判定は自動分類器による測定（人手の多数決ラベルとの一致は80.0%、κ=0.60）で、分類器は人手より拒否を多めに出す傾向があり、RLHFや憲法AIだけを操作した対照実験ではない点には留意が必要です。
残された不確実性
第一に、発端となった15件の修正は個人の報告であり、対照実験ではありません。同一の脆弱性・同一のプロンプトで各モデルを比較した公開データはなく、プロンプトの書き方次第で米国モデルも修正した可能性は排除できません。第二に、Kimi K3やGLM 5.2が「拒否しなかった」ことは、防御に役立つ一方で攻撃コード生成にも応じやすいことの裏返しでもあります。Prof Alan Woodward氏は、中国がモデルを公開して長期的に支配していく戦略への懸念を示しています。なお一部の専門家は、こうしたオープンウェイトモデルのサイバー攻撃能力を当局が制限できない点を懸念しています（thenews.com.pk 2026-07-20）。第三に、Sacks氏は政策当事者であり、その発言は政治的文脈を帯びています。最後に、各社のガードレールは頻繁に更新されるため、今回拒否された挙動が今後も続くとは限りません。実際、Hugging Faceは事後に検知とガードレールを改善したと報じられています（VentureBeat 2026-07）。
まとめ
今回の一件は、「安全なAI」と「役に立つAI」が同じではないという古い難問を、政策の最前線に引き上げました。calle氏の脆弱性修正、Hugging Faceの攻撃分析、そしてDefensive Refusal Biasの数字は、いずれも同じ方向を指しています。攻撃を止めるはずのガードレールが、実際には防御側の正当な作業を優先的に止めてしまう、という非対称です。Sacks氏の主張が政治的に色づいていることを差し引いても、システムハードニングで43.8%という拒否率や、認可を明示すると拒否が増えるという逆転現象は、モデル設計者が向き合うべき実データです。日本のエンジニアにとっての当面の教訓は素朴で、防御目的のタスクが拒否されたら、それはあなたの依頼が不当だからではなく、モデルが文脈を読めていない可能性が高い、ということです。
主要出典
- David Sacks氏 X投稿 — 「Kimi K3が、CodexとFableが拒否した15件の脆弱性を修正した」という本件の中核発言そのもの。複数媒体が同一文面を引用
- thenews.com.pk 2026-07-20 — 15件の経緯、Sacks発言、コスト比較（0.95ドル対1.04ドル）、専門家の懸念を報じた記事
- Startup Fortune 2026-07 — 発端の開発者calle氏、CodexとFable 5の拒否、Sacks氏の立場を整理した解説
- Hugging Face 2026-07 — 商用APIモデルのガードレールに阻まれGLM 5.2を自社インフラで用いたと明かすHugging Face公式インシデント報告（一次）
- Anthropic 2026 — Claude Fable 5の公式説明。強化した安全分類器が良性のコーディング要求もより多くフラグし得ると明記
- Fortune 2026-07-20 — 同事例を報じた一次報道
- VentureBeat 2026-07 — 「止まったのは攻撃者でなく防御者」というガードレールの構造を解説
- arXiv 2603.01246 2026-03-01 — Scale AIらによる「Defensive Refusal Bias」。防御タスクの拒否率と認可の逆説を定量化した論文
- Tom’s Hardware 2026-07 — Kimi K3を受けた米政権の中国製AI規制再検討の報道
関連する過去記事
- Kimi K3が示した『オープンウェイトのフロンティア』──2.8兆パラメータMoE、Intelligence Index 57、そして7/27の重み公開 — 本件の主役Kimi K3の性能とオープンウェイト戦略を扱った記事です。
- 習近平がオープンソースAIを国際AI戦略の柱に──WAIC 2026、途上国向け5,000件の研修機会、29カ国がWAICO設立協定 — 中国のオープンウェイト戦略と国際ガバナンスの文脈を補完します。
- 「disregard」と検索するとGoogleが黙る──AI検索が命令とデータを区別できない構造的弱点 — モデルが文脈（攻撃か防御か、命令かデータか）を区別できない構造的弱点という点で通じます。