オープンAIモデル、制限付きシステムとのサイバー能力の差を縮小

The Decoderが報じたVals AIのベンチマークによると、オープンウェイトAIモデルは自律型サイバー作戦で制限付きシステムに近づいている。OpenAIのGPT-6 Sol Daybreakはシミュレーション攻撃の目標の80.8%を達成した一方、無料で利用できるDeepSeek V4.1 Flashは72.8%に達した。報告された実行コストは、OpenAIのシステムが約22ドルなのに対し、DeepSeekは約3ドルだった。

この結果が重要なのは、プロプライエタリモデルと公開モデルのセキュリティ上の違いが、サイバーリスクの予測因子として次第に有用でなくなっているためだ。重みが公開されたモデルは、開発者が回収したり中央で制限したりできない。一方、運用コストの低さは、研究者や犯罪グループにとって長時間の攻撃をより現実的なものにする可能性がある。

これらの結果は報道されたものだが、入手可能な資料では独立検証されていない。The Decoderの説明によれば、結果はVals AIのCyberOffenseベンチマークによるものであり、特定のテスト設計下でのモデル能力を示すシグナルとして読むべきである。いずれかのシステムが現実の企業を確実に侵害できる証拠とみなすべきではない。

Vals AIのベンチマークが検証したもの

このベンチマークでは、各AIエージェントを隔離された攻撃マシンに置き、公開ウェブアドレスだけを与える。シミュレーションされた企業ネットワーク内を移動する間、エージェントは人間の支援を受けない。この構成は、モデルが脆弱性を発見し、認証情報を取得し、アクセス権を拡大し、接続されたシステムをまたいで目標を追跡できるかを検証することを目的としている。

Lighthouseと呼ばれるより難しいシナリオでは、The Decoderによれば、GPT-6 Sol Daybreakがシミュレーション上の企業1社の管理権限を掌握し、パスワードを抽出して2社目へのアクセスに利用した。3時間未満で31目標中27目標を達成した。同じ報告によれば、DeepSeekは21目標を達成した。

これらの数字は、現実世界での侵害率を直接測定するものではない。しかし、従来のチャットボット評価が見落としがちな能力、つまり複数の手順にわたって計画し、初期の行動が失敗しても運用を継続する能力を浮き彫りにしている。

実行時間とコストが比較を変えた

結果の中で最も重要な点の一つは、実行時間の役割だった。報告によると、DeepSeekは最初の2,500万トークンでは成功結果を一つも出さず、1億トークンを超えてから進展の大部分を達成した。そのため、試行を続けることを許されたオープンウェイトシステムの性能は、短時間の評価では過小評価される可能性がある。

これは防御担当者やAI製品チームに実務的な影響を与える。1分当たりの効果が低いモデルでも、数時間から数日間、安価に稼働できるなら攻撃者にとって魅力的になり得る。Vals AIが報告したコスト比較――DeepSeek V4.1 Flashの実行が約3ドル、GPT-6 Sol Daybreakが22ドル――は、こうしたシステムの導入方法を決めるのは最高性能だけでなく価格でもあることを示唆する。

The Decoderはまた、英国のAI Security Instituteによる7月の分析を引用した。同分析は、サイバー能力におけるオープンな最先端モデルとクローズドな最先端モデルの差が4～7か月に縮まったと推定している。2025年の大半は6～10か月だった。これは同誌が報じた同研究所の分析であり、Valsベンチマークの新たな結果ではない。

証拠はなお限定的で、情報源に依存している

この記事における最も強い主張は、独立して再現された結果ではなく、ベンチマークおよびベンダーによる報告に基づいている。入手可能な証拠はCyberOffenseの結果の出所としてVals AIを示しているが、ベンチマークの完全な手法、モデル設定、プロンプト、再現データは提供していない。システムを公平に比較するには、これらの詳細が不可欠である。

結果は、ツールへのアクセス、トークン予算、ネットワーク設計、採点ルール、各エージェントに与えられる時間にも左右される可能性がある。DeepSeekが遅れて伸びたことから、トークンと時間の予算は特に重要だ。標準化された報告がなければ、評価が迅速な進展を重視するか、粘り強さを重視するかによって、モデルは弱くも強くも見える。

The Decoderはさらに、Anthropicの研究で、無料で利用できるGLM-5-3が、Mythosという内部モデルに近い水準でエクスプロイトを構築できることが分かったと報じた。この比較も特定の研究に依存する主張であり、オープンシステムとクローズドシステムの普遍的な順位とみなすべきではない。

開発者と企業が注目すべき理由

セキュリティチームにとっての直近の意味は、防御策が高速な攻撃だけでなく、粘り強い自動化ワークフローにも対応する必要があることだ。監視では、偵察、認証情報へのアクセス、権限昇格、横展開が異常な順序で連続する動きに注目すべきである。短時間のセッションではVals AIが示した行動を見逃す可能性があるため、現実的なツールアクセスを持つ長時間稼働エージェントもテストに含めるべきだ。

AI開発者にとって、結果は両面を持つエンジニアリング上の課題を生み出す。エージェントが悪用可能な経路を特定できる能力は、脆弱性の発見、パッチの検証、防御上のトリアージにも役立つ。Vals AIは、攻撃型モデルが企業による脆弱性の先行発見と修正を支援できると主張しているという。この可能性を安全な製品にするには、厳格な認可境界、隔離環境、監査ログ、防御ツールが汎用侵入システムになることを防ぐ制御が必要だ。

企業の購入担当者は、クローズドAPIが自動的に安全だと考えないよう注意すべきだ。プロバイダーの制御と監視は制限付きモデルの管理を容易にするが、オープンウェイトシステムの報告されたコストと能力からすれば、組織はプロバイダーの管理外にある強力なサイバーモデルに遭遇する可能性がある。調達審査では、企業がどのモデルを使用するかだけでなく、従業員、請負業者、攻撃者がどのモデルにアクセスできるかも対象にする必要がある。

今後注視すべきこと

次に有用なシグナルとなるのは、完全な採点ルールと統一されたトークン予算を含む、Vals AI CyberOffense結果の独立再現である。研究者は単一の見出しスコアに頼るのではなく、異なるネットワーク構成、ツール権限、時間制限における性能も報告すべきだ。

防御側は、より長時間続くAI支援型侵入キャンペーン、長時間実行後のオープンウェイトモデルに対する新たな評価、そして自動エージェントがシミュレーションネットワークから保護の弱い本番環境へ移行できる証拠を監視すべきである。製品面で意味のある進展には、より優れた認可制御、明確な監査証跡、企業システムへの無制限アクセスなしに価値を示せる防御エージェントが含まれる。

Creati.aiの見解

中心的な変化は、オープンモデルがクローズドモデルに決定的に追いついたことではない。オープンシステムがより安価で、粘り強く、公開後に制限しにくい場合、残された差がもはや大きな安心材料にならない可能性があることだ。能力、運用コスト、管理性は、サイバーリスクにおける別々の変数になりつつある。

AI企業と企業チームにとって、理にかなった対応は、単一のベンチマークを前にパニックになることではなく、測定を改善し、導入時の境界を強化することだ。Valsの結果は重要な警告だが、その真の意味は、独立テストによって、オープンモデルが多様で現実的な環境でもこの結果を維持できるか確認されるかにかかっている。