閉じていても破れた〜評価という抜け穴〜

7月9日に「開くと実現は別だ」を書いた。4つのゲートを人間が閉じておけるか、閉じたまま実現を確認できるか。その日、OpenAIはGPT-5.6シリーズを一般公開している。偶然だ。

一週間後、Hugging Faceが侵入を検知した。

何が起きたか

時系列を二本立てで並べる。

政策側。6月2日、トランプ大統領が大統領令に署名した。任意の枠組みだ。開発者が「covered frontier model」を信頼できるパートナーに公開する前に、最大30日間、政府へアクセスを与える手続きを各機関が設計する。別条項で、新規モデルへの強制的なライセンス制や事前承認要件は明示的に排除されている。NSA、CISA、NISTが「covered」の閾値を判定する機密ベンチマークを構築することも定められた。

6月26日、OpenAIがGPT-5.6 Solをプレビュー発表。ただし政府の要請で、名前を政府と共有した審査済みパートナーの小集団に限定された。同社はこの手続きが長期的な既定になるべきではないと書いている。防御側や企業から最良の道具を遠ざけるから、と。それでも、より広い公開への最速の経路だとも述べた。

7月8日、Altmanが公開を告知。翌9日、GPT-5.6シリーズが一般公開された。

技術側。7月16日、Hugging Faceがインシデントを公表。悪意あるデータセットがデータセット処理の2つのコード実行経路を悪用し、処理ワーカー上でコードが動いた。そこからノードレベルに昇格、クラウドとクラスタの認証情報を収集、週末をかけて複数の内部クラスタへ横移動。法執行機関にも通報している。

このとき、使われたLLMは不明とされていた。ジェイルブレイクされたホスト型モデルなのか、制限のないオープンウェイトモデルなのか分からない、と。外部からの標的型攻撃として扱われていた。

7月21日、OpenAIが名乗り出た。自社モデルだった、と。

国内報道はこの事案を「開発中AIモデル」と括った。実際には公開済みのGPT-5.6 Solと、未公開のより高性能なモデルの組み合わせだ。両方に評価目的でサイバー拒否機能の低減が適用されていたと、OpenAIは明記している。開発中の何かが暴れたのではない。一週間前に世に出たモデルが、関与していた。