オープンソースAIの安全性を巡る議論は長らく「重みを公開すべきか否か」という二元論に終始してきた。しかし2026年7月、NVIDIA、Microsoft、IBM、Cisco、Hugging Face、Palo Alto Networksなど37社が結成したOpen Secure AI Allianceは、この議論の座標軸そのものを塗り替えようとしている。NVIDIAはブログで「オープンモデルは本質的に安全性に欠けるという主張があるが、重みを非公開にするだけでは執拗な攻撃者を防げない」と明言し、真の安全性はモデルの重みの公開・非公開ではなく、ID、権限、ハーネス、ガードレール、ログ、評価といったエージェントスタック全体に依存すると位置づけた。
Hugging Faceの侵入対応が示した「オープンでなければ守れない」現実
この主張を裏付ける具体例が、Hugging Faceで発生したセキュリティインシデントだ。攻撃者と防御者を区別できないクローズドなAIツールがフォレンジック分析を妨げる中、Hugging Faceは自社インフラ上でオープンウェイトのGLM 5.2モデルを実行し、1万7000件以上のアクションを分析して侵入を封じ込めた。この事例は、防御側が自社インフラ上で高度なAIを検証・適応・実行できなければ、スピードが最重要となる瞬間に対応能力そのものが制約されるという教訓を残した。
Open Secure AI Allianceでは各社が具体的な技術を持ち寄っている。HPEはゼロトラストID検証の「SPIFFE/SPIRE」、Hugging FaceはPickle脆弱性を排除する安全なテンソル保存形式「Safetensors」をPyTorch Foundationに提供、IBMとRed Hatはデジタル署名付きパッチでサプライチェーン全体を保護する「Lightwell」、MicrosoftはAIエージェントを連携させて脆弱性を発見・証明する「MDASH」を貢献した。NVIDIA自身もエージェントハーネス向けのオープンソースプロジェクト「NOOA」をGitHubで公開している。
「オープンウェイト」と「オープンソース」、埋まらない定義の溝
一方で、そもそも「オープン」の中身が一枚岩ではないことも問題を複雑にしている。XenoSpectrumの分析によれば、重みだけを公開する「オープンウェイト」と、OSI(Open Source Initiative)が定めるOSAID 1.0準拠の「オープンソースAI」の間には大きな溝がある。OSAID準拠は学習コードの公開を必須とし、学習データについても同等システムを再構築できる詳細情報の開示を要求するが、生データそのものの公開までは義務化しない。これに対しOpenMDWライセンスは重み・データ・コードを「Model Materials」として一括許諾するにとどまり、完全性の開示は義務づけない。研究者のLandayは「オープンウェイトは『これを動かせるか』に答えるが、オープンソースは『これを信頼し改善できるか』に答える」と整理し、米中の研究所を含むほぼ全ての開発元が前者にしか答えていないと指摘する。
米政府の規制除外方針と、270社超の反対署名という分岐
この定義の曖昧さを抱えたまま、政策の現場では対立が先鋭化している。米政府はオープンウェイトAIを安全性審査の対象外とする方向を検討しており、これに対しNVIDIAを含む270社超が、重みが公開され誰でも改変できるモデルへの一律規制に反対する署名を行った。NVIDIAは「最先端のオープンAIシステムへの一律規制は防御能力を弱体化させ、少数のクローズドなプロバイダーに権力と脆弱性を集中させるリスクをもたらす」と主張し、政策立案者にオープンなモデル・ハーネス・セキュリティツールを「負債ではなく防御資産」として認識するよう求めている。
AI自身が脆弱性を発掘する時代のメンテナー負荷
オープンソースの安全性を脅かしているのは規制論争だけではない。AWSのブログによれば、AIが生成する低品質なバグレポート「AIスロップ」がメンテナーの対応能力を超えて押し寄せ、一部プロジェクトはアップストリームへの貢献受付を停止する事態に至っている。これを受けAWS、Google、Microsoftは合計1250万ドルをLinux Foundation傘下のAlpha Omegaに拠出し、正当な脆弱性の検証と低品質提出物の除外を支援するツール開発を進める。実際、2025年の資金提供の結果としてRust Foundationはcrates.ioに信頼できる公開の仕組みを完全展開し、公式CVE採番機関となったほか、OpenSSLは3.0から3.5 LTS(サポートを2030年まで延長)への移行に成功している。
ビットコイン業界でも同様の動きがある。40以上の組織が「Defenders Need the Frontier」という公開書簡に署名し、AI研究所に最強のサイバーセキュリティモデルへの制御されたアクセスを求めた。背景には、Coldcard関連のビットコイン盗難被害が1.3億ドル(約210億円)超に拡大した事例があり、8月5日時点の初期スキャンで390プロジェクトから4962件、その後8000件近い潜在的脆弱性が検出されている。OpenAIもCodex Securityを研究プレビューとして公開し、過去30日間で120万件以上のコミットをスキャン、重大な検出は0.1%未満に抑えつつ792件のクリティカルな問題を特定したと報告している。
結論——「公開か非公開か」から「検証可能か否か」へ
これらの動きを俯瞰すると、オープンソースAIの安全性論争はもはや「公開すべきか否か」という単純な是非論では捉えきれない。むしろ問われているのは、重みだけでなく学習コードやデータ、そして権限管理やログといったエージェントスタック全体が第三者によって検証・監査可能な状態にあるかどうかだ。企業が次に選ぶべきは、モデルのラベルではなく、OSAID準拠かOpenMDWかといったライセンスの中身と、SafetensorsやSPIFFE/SPIREのような検証基盤の有無である。
