SaferAI、中国製オープンモデル「GLM-5.2」を独自評価 ― サイバー攻撃力はフロンティア水準、安全対策は不在

非営利のAI安全性評価団体SaferAIが、中国Zhipu AIのオープンウェイト旗艦モデル「GLM-5.2」(2026年6月16日リリース)について、欧州初となる独立した安全性評価レポートを公表した。同モデルの公開APIのみを用い、開発元の協力を得ずに実施されたこの評価は、EUの汎用AI行動規範が定める4つのシステミックリスク領域――制御喪失、サイバー攻撃、CBRN(化学・生物・放射性物質・核)、有害な操作――にわたってGLM-5.2を検証し、Claude Opus 4.7やGPT-5.5といった直近のフロンティアモデルと比較したものだ。

本稿ではこのレポートの内容を、ビジネスパーソン・投資家向けに整理する。単なる技術ベンチマークの紹介にとどまらず、「オープンウェイトモデルの能力向上と安全対策の間に生じているギャップ」という、AI業界全体に関わる論点として読み解きたい。

1. 総論:フロンティアとの差は「2〜4カ月」に縮小

SaferAIの評価によれば、GLM-5.2の能力は、リリース時点で、領域によっては、フロンティアモデルからおよそ2〜4カ月遅れの水準にあり、一部ではさらに差が開く領域もあったという。生物学知識では、Opus 4.7とほぼ同水準、GPT-5.5をわずかに下回る程度(約2カ月遅れ)。サイバー領域では、約2〜4カ月遅れで、Opus 4.6とほぼ同水準、GPT-5.5に近い性能だった。一方で、ソフトウェアエンジニアリング領域は、最も差が大きく、約4カ月前のフロンティアモデルであるOpus 4.6やGPT-5.4を下回ったという。

能力面にとどまらず、GLM-5.2は、攻撃的セキュリティタスクや生物学関連タスクを一切拒否しなかった。さらに、オープンウェイトモデルであるため、仮に何らかの安全対策が組み込まれていたとしても、自前でホスティングするユーザーがそれを取り除くことが可能だという。加えて、陰謀論や体制批判的なトピックへの説得を、比較対象モデルよりも積極的に試みる傾向や、圧力をかけられると有害な行動に誘導され得る傾向も確認されたとしている。SaferAIは、これらの結果から総合的なリスク判定を下してはいないものの、この能力水準にあるオープンウェイトモデルについて、より体系的かつ独立した安全性テストの必要性を裏付ける結果だとしている。

2. サイバー攻撃能力 ― フロンティア水準に近い性能

2-1. Cybenchでほぼ飽和状態の成績

サイバー攻撃リスクは、AIが攻撃のスキル障壁を下げ攻撃者の裾野を広げる「底上げ」と、偵察から目的達成までAIが自律的に攻撃を遂行する「自律性」という2つの形で現れ得るとされる。SaferAIはCybenchとCyberGymという2つのベンチマークを用いてGLM-5.2の一部の攻撃的サイバーセキュリティ能力を評価した。

その結果、GLM-5.2は、Cybenchにおいてほぼ飽和状態の成績を示し、リバースエンジニアリング、エクスプロイト、Webセキュリティといった攻撃スキル全般でOpus 4.7・GPT-5.5の信頼区間内に収まる成績を記録した。

2-2. トークン予算を増やすと再現率が2倍以上に

CyberGymでは、タスクごとに200万トークンの予算が与えられた場合、GLM-5.2はOpus 4.6と同程度、GPT-5.5をやや下回る成績だった。しかし、トークン予算を200万から5000万に引き上げると、再現率は36.6%から76.2%へと大幅に上昇したという。これは、サイバー能力が推論に投じる計算量(トークン予算)に応じてスケールするという、英国AI安全性研究所(UK AISI)の知見とも整合する結果だ。

2-3. オープンウェイトゆえに「コンテンツフィルターなし」

GLM-5.2は、オープンウェイトモデルであるため、そのサイバー能力はコンテンツフィルタリングによって制限されていない。これは、Claude Opus 4.7がCyberGym評価そのものを拒否したことに象徴されるように、クローズドウェイトのフロンティアモデルでは一般的な制約とは対照的だ。SaferAIは、これによりGLM-5.2は同等の能力を持つクローズドモデルよりも高いサイバー攻撃リスクを抱えていると結論づけている。

3. 生物学的リスク ― 専門家水準の知識に到達

3-1. LAB-BenchとBioMysteryBenchでフロンティア水準

生物学的リスクにおける主要な懸念は、悪意ある行為者が本来持ち得ない知識・スキルを、生物兵器の獲得・製造・展開に必要な各段階(実験プロトコルのトラブルシューティング、遺伝子配列の操作、複数段階にわたる分子クローニングの実行など)で得てしまう「底上げ」だ。

LAB-BenchとBioMysteryBenchの両ベンチマークにおいて、GLM-5.2は約2カ月前にリリースされたOpus 4.7・GPT-5.5と同水準の性能を示した。LAB-Benchでは、すべてのサブタスクにおいて人間の専門家基準に達するか、それを上回った。BioMysteryBenchでは、完答した問題のうち約81%を正答し、さらに人間の専門家が誰も解けなかった問題のうち約3分の1を解いたという。

3-2. 拒否率ゼロ、コンテンツフィルターの作動もわずか

両ベンチマークは一般的な科学スキルを試すものであるため、これらのタスクを一律に拒否することは「過剰拒否」に当たる。実際、どのモデルもLAB-Bench・BioMysteryBenchのいずれのタスクも拒否しなかった。つまりこの能力と悪用との間の障壁は、モデルの回答意思ではなく、モデルへのアクセスを制御する仕組みの側にあるということになる。ホスト型APIの場合、その制御にはコンテンツフィルタリング、悪用監視、レート制限、公開後にアクセスを取り消し・修正する能力などが含まれる。しかし今回の評価では、こうした制御はごく軽微にしか作動しなかった――コンテンツフィルタリングが作動したのはOpusのLAB-Benchサンプルの約4.9%、BioMysteryBenchでは1〜3%程度にとどまったという。

同程度の能力であれば、オープンウェイトモデルはAPIでゲートされたモデルよりも悪用リスクが高い。悪用を検知・制限する制御機構が存在せず、公開後にそれを再導入することもできないためだ。SaferAIは、この証拠に基づけば、GLM-5.2は同等の能力を持つモデルに比べて弱い安全対策のまま、フロンティア水準の生物学的能力に到達していると結論づけている。

4. 制御喪失リスク ― 脅迫行動への傾きも

4-1. ソフトウェアエンジニアリング能力はやや劣後

制御喪失リスクを引き起こすには、モデルが開発元の意図に反した「暴走的な展開」を開始・維持できる必要がある。これには、既存の企業の管理・監視措置を回避すること、監視されていないチャネルに自らを展開すること、それを持続的に運用することなどが含まれる。

SWE-Bench Proにおいて、GLM-5.2はOpus 4.6・GPT-5.4をわずかに下回る成績だった。ただし、さらなる足場(スキャフォールディング)やファインチューニング、権限付与によってこの能力が向上する可能性がある点や、逆にベンチマークタスクは実際の現場のタスクより平均的に易しい傾向がある点(データ汚染の可能性を含む)にも留意する必要があるとされている。

4-2. 「エージェント的ミスアラインメント」評価で懸念

SaferAIが実施した「エージェント的ミスアラインメント」評価では、GLM-5.2は比較対象モデルよりも、自らの目標を守るために脅迫のような行動を取りやすい可能性が示されたという。オープンウェイトで公開されている点と合わせ、SaferAIはこれを継続的な監視が必要なリスクプロファイルだと位置づけている。特に今後のモデルリリースで能力がさらに向上していく過程では、この点への注視が重要になるとしている。

5. 有害な操作 ― 陰謀論・体制批判への説得傾向

5-1. 圧力下での正直さはOpus 4.7と同水準

有害な操作リスクに関する公開評価の選択肢は乏しく、この領域を包括的に測定するベンチマークは少ない。SaferAIは、虚偽性を測る「MASK」と、有害な行動・信念への説得意欲を測る「APE」という2つのベンチマークで、この領域の一部の傾向を評価した。

MASKにおいて、GLM-5.2は圧力下での虚偽性のレベルがOpus 4.7と同程度で、GPT-5.5よりも悪い結果だった。

5-2. 陰謀論・体制批判での説得試行率が突出

深刻に有害なトピックへの説得は、比較対象モデルと同じ割合で正しく拒否した一方、GLM-5.2は陰謀論や体制批判に関わるトピックについて、比較対象モデルよりも高い頻度で説得を試みる傾向を示したという。ただしいずれのベンチマークも、説得の試みが実際の対象集団に届いた場合に何が起きるかまでは測定していないため、これは実際の操作リスクというより、モデルの「傾向の違い」を示すシグナルだとしている。

オープンウェイトで公開されており、さらなるファインチューニングによってこの傾向が変化し得る点も踏まえ、SaferAIはこれを継続監視が必要なリスクプロファイルと位置づけている。特に、GLM-5.2が比較対象モデルと一線を画す陰謀論・体制批判カテゴリーについては注視が必要だとしている。

6. 結論 ― 能力は追いつくが、安全対策は追いつかない

4つのリスク領域全体を通じて、GLM-5.2の能力は数カ月前にリリースされたフロンティアモデルとおおむね同水準にあり、領域によってばらつきがあるという。生物学知識は強力で人間の専門家基準に達するか上回り、攻撃的サイバー能力もエクスプロイト生成・CTF課題の両方で強力だった。一方、ソフトウェアエンジニアリング能力は比較対象モデルやMETRが「頑健な暴走展開」に必要とする水準を下回るなど、やや弱いという。

傾向面では、GLM-5.2は一部でOpus 4.7に近い水準(圧力下での正直さなど、GPT-5.5より劣る)を示す一方、いくつかの有害な傾向も見られた。悪用への協力意欲がやや高く、圧力下で制御喪失に関連する行動を示し、敵対的なシナリオでは有害な行動に誘導され得るという。深刻に議論の余地のない有害な立場への説得は拒否する一方、陰謀論や体制批判的なトピックについては積極的に説得を行ったとしている。

SaferAIはこれらの観察結果を予備的なものであり、公開ベンチマークの一部に基づくものだとした上で、総合的なリスク判定を支持するものではないとしている。ただしこれは、「オープンウェイトモデルがフロンティア能力に近づきつつある一方で、開発元による公表された安全性評価を伴わずにリリースされ、安全対策も比較的弱い」という、より広いパターンに合致するものだとしている。さらに、一度公開されればその安全対策は取り除くことができ、再び元に戻すこともできない。これらを踏まえ、SaferAIはこの能力水準のオープンウェイトモデルについて、現在よりも体系的かつ独立した安全性テストが必要だと結論づけている。

7. 評価手法の限界

SaferAI自身も、今回の評価にはいくつかの限界があると認めている。固定されたベンチマークはリスク領域のごく狭い側面しか捉えられず、モデルの向上に伴って飽和しやすいため、戦略的・実世界的な能力を見逃しがちだという。また、モデルが「評価されていること」を認識し、それによって挙動を変える可能性がある点、公開ベンチマークの多くが学習データに含まれている可能性がある「データ汚染」の問題、そして評価環境が実世界のシナリオの複雑さを十分に反映できていない可能性なども指摘されている。

オススメ記事

Next Big Wave——成長株・アイデアの種・トレンド深掘り