open-weightモデル論争は的を外している。GLM 5.3が本当の問題を映す

Nathan Lambertは、10月に相次いだ深刻な脆弱性を受け、open-weightモデルを擁護する自説を改めて検討した。彼の主張は、議論が見ている変数が違うというものだ。モデルの種類だけでなく、脆弱性の発見から攻撃者の能力、守る側の対応速度まで、連鎖全体を見るべきだとしている。

Lambertは主張を維持したが、Firefoxのデータが条件を絞った

Lambertは、open-weightモデルが被害を段階的に跳ね上げたことを示す公的証拠は、まだ確認できないと書いている。モデルの能力、普及度、計算コスト、実際の利用者のほうが重要だという見方だ。同時に不確実性の大きさも認め、10月の一連の事例を受けて以前ほど楽観的には語っていない。

Epoch AIは具体的な反証材料を示した。研究チームはGLM 5.3に、修正の公開から利用者への配布までの空白であるpatch gapを利用させた。モデルは、Firefox利用者が訪れるだけで端末内のファイルを外部へ送信できるサイトを作成した。攻撃は9月17日から10月26日までに公開された6つのリリースで成功した。

環境を構築した後の成功コストは、1バージョンあたり約1,000ドルだった。最短の試行は12時間で、研究者は最大48時間を与えていた。攻撃チェーンには、それまで未公開だった別の脆弱性も使われた。Mozillaは10月27日公開のFirefox 159.0でこの問題を修正した。

守る側に必要なのはモデルの札ではなく連鎖全体だ

Lambertの議論で最も強いのは、作業の分担に注目した点だ。脆弱性を見つけただけでは攻撃にならない。攻撃者は標的を選び、攻撃チェーンを組み、被害者に届け、追加の防御を突破する必要がある。守る側も、問題を発見し、修正し、更新を配布し、利用者に導入してもらわなければならない。

APIと公開された重みの違いは依然として重要だ。open-weightモデルの運用者はguardrailsを外せるため、提供元はプロンプトを把握できなくなる。一方、閉じたAPIは導入が容易で、しばしば安価なため、能力を速く広げる可能性がある。セキュリティチームにとっては、モデルを一つの区分に押し込む議論より、パッチからexploitまでの時間、再現可能な攻撃のコスト、更新の普及速度を測るほうが有益だ。

一つの実験だけでは安全も破局も証明できない

Epoch AIの結果は重いが、準備された実験の測定でもある。研究者は環境を構築し、標的を選び、必要な公開情報をモデルへ与えた。研究全体の費用は10万ドルを超え、1,000ドルという数字は設備を整えた後の限界費用を指す。攻撃には、すでに修正された別の未公開脆弱性も必要だった。

Lambertは一方で、モデルに帰属できる公表被害が少ないことを論拠の一部にしている。しかし、被害者や調査者が攻撃者の使ったモデルを特定できない場合も多く、この不在は弱い指標だ。現時点のデータでは、どちらの陣営にも勝利を宣言できない。ただし、open-weightモデルが継続的な人間の指示なしに複雑なexploit chainを組み上げたことは確認できる。

フォレンジック、攻撃コスト、パッチ速度が結論を決める

今後数か月で必要なのは、実際のインシデントをより正確に測ることだ。調査では、公開された重みと商用APIの利用を区別し、必要だった人間の作業量を算出し、モデルが修正公開から悪用までの時間を縮めたかを確認する必要がある。

次の試験は守る側にある。企業がパッチ配布を速め、セキュリティ修正を公開上の手掛かりから切り離し、同じモデルを脆弱性探索に使えば、均衡を保てるかもしれない。攻撃コストだけが下がり、更新が遅いままなら、モデルのライセンスは膨らむ請求書の脚注にすぎなくなる。

Lilithの判定

ワシントンが箱のラベルを巡って議論する間、攻撃者はFirefoxの修正公開から導入までの時間を数えている。この間隔を縮める側が、open weight論争の次の一勝より大きな成果を得る。