中国のオープンウェイトAIが普及競争で優位に――米中AI覇権争いに何をもたらすのか

AI競争の主戦場は「性能」から「普及」へ

中国のAIをめぐる競争は、研究所が米国の最先端モデルに匹敵するシステムを作れるかどうかだけの問題ではなくなった。いま問われているのは、十分に高性能なAIを、どの陣営がより多くの開発者、企業、政府に、より低いコストで届けられるかだ。

DeepSeek、Moonshot AIのKimi、AlibabaのQwenは、この競争の中心にオープンウェイト型の展開を据えている。スタンフォード大学の研究者らの分析では、中国のオープンウェイトモデルは性能と普及の両面で、米国などのモデルとの差を急速に縮め、一部では追い越した可能性も示されている。2025年9月には、Qwenのモデル群がMetaのLlamaを抜き、Hugging Faceで最もダウンロードされた大規模言語モデル（LLM）ファミリーとなった。18

この状況は、米ワシントンに難しい判断を迫っている。中国製モデルを規制すれば、機密環境での情報流出リスクを抑えられるかもしれない。しかし、広範な禁止措置は、オープンなAI開発の層を中国に譲り、自己ホスト型モデルがもたらす透明性や利用者側の管理権限まで失わせるおそれがある。

オープンウェイトは「完全なオープンソース」と同じではない

オープンウェイトモデルとは、学習済みのパラメーター、つまりモデルの振る舞いを決める数値群をダウンロード可能にしたモデルを指す。第三者は完成したモデルを自分の環境で実行したり、調整したりできる。通常、利用者がベンダー管理のアプリやAPIを介してのみ使うクローズドモデルとは、この点で大きく異なる。33

ただし、重みが公開されていても、次の情報まで提供されるとは限らない。

• 学習に使った元のコード
• 学習データやデータの出所
• 再現可能な学習手順
• 完全な評価結果
• 無制限の商用利用・再配布権
• フィルタリング、安全調整、開発過程に関する透明な情報

したがって、「オープン」という言葉は、モデルのリリースごとに確認する必要がある。ダウンロードできても、再現が難しかったり、ライセンスに制限があったり、どのようなデータがモデルの挙動を形作ったのか不明だったりする場合がある。完全なオープンソースAIは、研究・改変・再現に必要なコードやデータ関連情報などへの、より実質的なアクセスを求める強い基準だ。41

DeepSeek、Kimi、Qwenを比較する際も、ブランド名だけで判断することはできない。利用可能性、ライセンス、技術情報の公開範囲はリリースごとに異なる可能性があり、公開報道が最新状況に追いついていない場合もある。

中国はベンチマークだけでなく「採用の連鎖」を狙う

中国の研究機関や企業は、競争力のある性能に加え、低価格、推論効率、ローカル展開のしやすさを組み合わせている。これにより、スタートアップ、研究者、企業は、高価な米国製ホステッドAPIに全面的に依存せずに済む。政策研究などでは、低コストのモデルが利用者を引きつけ、利用者がツールや派生モデルを生み、そのエコシステムが次の改良を促す循環が指摘されている。1720

重要なのは、チャットボットを何人が使っているかだけではない。導入が広がるほど、次のような資産が蓄積される。

• 用途別に調整された派生モデル
• 開発者向けツールや既存サービスとの連携
• 新たなベンチマークや不具合報告
• モデルファミリーへの開発者の習熟
• 商用上の依存関係や技術的な標準設定

スタンフォードの分析によると、2024年8月から2025年8月までのHugging Faceのダウンロード数に占める中国の開発者の割合は17.1％で、米国の15.8％をわずかに上回った。18また、コスト削減を求める米国企業が中国製モデルを利用する例も報じられている。31

中国発のモデルが世界のソフトウェア、端末、行政サービス、産業システムに組み込まれれば、中国政府や関連企業が技術上の初期設定、更新、周辺のサプライチェーンに影響力を持つ可能性がある。これは地政学的なレバレッジになり得るが、ローカルで稼働するすべてのモデルが侵害されていることを意味するわけではない。

「中国AIのリスク」は一つではない

中国製AIをめぐる懸念には、少なくとも異なる4つの論点がある。これらを一括りにすると、リスク評価を誤りやすい。

1. ホステッドサービスへのデータ送信

中国にあるサーバー上のサービスへプロンプト、ファイル、個人識別情報を送れば、その情報は利用者の環境外へ移り、提供事業者の管轄や適用法の対象になり得る。政府、防衛、医療、重要インフラ、企業秘密に関わるデータを外部サービスへ送る場合は、正式なリスク評価が必要だ。

一方、モデルを自組織のインフラで運用すれば、このデータフローの問題は変わる。適切に構成された環境なら、プロンプトや文書を組織内のネットワークにとどめられる。ただし、モデル本体、推論ソフト、接続されたツールまで安全になるわけではない。

2. 検閲、偏り、モデルの振る舞い

学習データやアラインメントの設計によって、政治的に偏った拒否、情報の欠落、特定の方向へ誘導する表現、誤情報が生じる可能性がある。米議会の調査報告書は、DeepSeekのホステッド製品について、米国人のデータを中国へ送信し、回答を操作していると主張した。ただし、これは議会調査による認定・主張であり、ダウンロード可能なすべての重みファイルに悪意あるコードが含まれることの証明とは異なる。2

また、ホステッド製品とローカルで動かす派生モデルの挙動は同じとは限らない。ラッパー、システムプロンプト、モデレーション層、検索ツール、更新手順などが出力を左右するためだ。

3. バックドアとサプライチェーン侵害

ダウンロードしたモデルのパッケージや関連ソフトに、安全でない読み込み処理、汚染された挙動、隠れたトリガーが含まれる可能性は理論上ある。しかし、モデルの原産国だけでバックドアの存在を証明することはできない。セキュリティ担当者は、出所、ハッシュ、署名、ネットワーク通信を確認し、構成要素をサンドボックスで動かし、運用スタック全体をテストする必要がある。

4. クローズドモデルにも固有のリスクがある

独自仕様のクローズドモデルも、集中化と説明責任をめぐるリスクを抱える。利用者は通常、重み、学習データ、隠れたプロンプト、テレメトリー、フィルタリング、更新プロセスを検査できない。集中型APIは、監視、障害、侵害、一方的な方針変更の標的にもなり得る。

クローズド方式なら、提供者が不正利用を監視し、安全対策を更新し、無秩序な再配布を防ぎやすい面はある。しかし、非公開であることだけで信頼性が保証されるわけではない。オープン型とクローズド型は、異なるリスクと異なる管理手段を持つ。

一律禁止に反対する最大の論拠はローカル運用

自社サーバーなどでの自己ホストは、組織が脅威モデルをより細かく管理する手段になり得る。セキュリティチームは、モデルのバージョンを固定し、成果物を検証し、外部通信を制限し、依存関係をスキャンし、サービスを隔離し、レッドチームテストを実施できる。オープンなモデルなら、独立した研究者が不具合を再現し、偏りや隠れたトリガーを調べることも可能だ。

ただし、透明性は自動的に安全を意味しない。巨大モデルの学習済み挙動を完全に監査できる組織はほとんどなく、追加学習によって新たな脆弱性が生じることもある。ネットワークから隔離した環境でも、提供ソフトウェア全体を正しく設定しなければ、データ流出を防げない。

実務上の教訓は、モデルに付いたラベルではなく、どのように配備されるかを評価することだ。中国のサーバーにあるAPI、監査済みのローカル運用、検証されていない第三者製の派生モデルは、それぞれ異なるリスクを持つ。

蒸留が論争の核心になる理由

**蒸留（distillation）**とは、より高性能な「教師」モデルから得た情報を使い、より小型または新しい「生徒」モデルを学習する手法だ。

• ブラックボックス蒸留は、APIへのクエリなどを通じて、教師モデルの外部出力を利用する。許可を得た利用であれば正当な技術になり得るが、大量の出力抽出は利用規約違反、安全策の回避、独自の振る舞いの模倣につながる可能性がある。
• ホワイトボックス蒸留は、重み、ロジット、隠れ状態など、モデル内部の情報を使う。能力を効率的に移転できる一方、通常は内部情報への許可されたアクセスが必要で、無断取得であればセキュリティや営業秘密をめぐる問題がより直接的になる。

OpenAIとAnthropicは、DeepSeekを含む中国企業が自社モデルの出力を学習に利用したと非難している。米中経済・安全保障調査委員会は、不正アカウントやプロキシサービス、組織的な抽出に関する主張を紹介し、ReutersはOpenAIがDeepSeekについて、米国の最先端モデルの能力に「ただ乗り」しようとしていると非難したと報じた。いずれも、裁判所などの判断で確定した事実ではなく、現時点では主張・疑惑の段階にある。35

政策上の難しさは、ブラックボックスによる抽出が、正当な大量利用と技術的に似て見えることだ。だからといって、蒸留をすべて違法とみなすべきではない。許可を得た蒸留は、AI開発で一般的な手法でもある。

シリコンバレーとワシントンへの影響

中国のオープンウェイトモデルは、高価な独自APIを中心とする米国のビジネスモデルに圧力をかけている。米国企業は、重みを非公開にすることで技術的優位を守れるのか、それとも開発者、連携サービス、世界的な普及を中国などの競合に奪われるのかを判断しなければならない。

QwenがLlamaをダウンロード数で上回ったことは、オープンモデルの競争が市場の周辺現象ではないことを示す具体例だ。18ただし、DeepSeek V4 ProやKimi K3に対するNvidiaやMetaの具体的な対応について、提示された証拠から現在の企業別対応を確定することはできない。個別企業の反応を論じる場合は、日付のある一次資料に結び付ける必要がある。

米国では監視も強まっている。米下院の委員会は、DeepSeek、Alibaba、Moonshot AIなどによる低価格のオープンウェイトモデルやAPI型システムを含め、中国発AIモデルの採用がもたらす国家安全保障・サイバーセキュリティ上のリスクについて共同調査を開始した。14

規制をめぐる協議が報じられているものの、提示された資料からは、米国が中国製オープンウェイトモデルに対する包括的な商業禁止をすでに施行したとは確認できない。912

「すべて禁止」でも「何もしない」でもない政策

現実的な枠組みは、複数の対策を組み合わせるものになるだろう。

1. 高リスク用途を管理する。 防衛、情報機関、重要インフラ、機密性の高い政府システムなどでは、未検証モデルの利用に許可を求めるか、利用を制限する。
2. 安全な配備要件を設ける。 機密環境で使うモデルには、出所記録、署名付きパッケージ、ソフトウェア部品表（SBOM）、独立したテスト、レッドチーム結果、ネットワーク分離の選択肢を求める。
3. ホステッドサービスとローカル重みを区別する。 中国にあるAPIへデータを送る場合と、独立監査を受けたモデルを自組織で運用する場合では、データアクセスのリスクが異なる。
4. 無許可の抽出に対処する。 アカウント認証、クエリ頻度の監視、不正利用の検知、出所確認技術、契約執行を強化する。ただし、蒸留全般を窃取と定義しない。
5. 輸出・投資規制を対象限定で使う。 先端半導体、製造装置、クラウド計算資源、軍事・情報用途と信頼できる形で結び付く主体に焦点を当てる。過度に広い規制は、中国国内の代替技術開発を促す可能性もある。
6. 米国・同盟国のオープンモデルを育てる。 安全で文書化されたモデル、多言語評価、効率的な推論、導入ツールに投資する。利用者の選択肢を制限するだけでなく、中国の普及戦略に競争で対抗するためだ。10

結論

中国のオープンウェイトモデルがAI競争を変えているのは、高性能なシステムを安価に導入し、用途に合わせて改変し、いったん公開された後は封じ込めにくくするからだ。戦略的な意味は、単一モデルの性能だけでなく、その周囲にどれだけ大きな開発者・企業・派生モデルの生態系を形成できるかにある。

ホステッドサービス、機密データ、サプライチェーンの完全性、無許可の蒸留をめぐる安全保障上の懸念は深刻だ。しかし、国籍だけでは配備の安全性は判断できない。重みを非公開にした米国製モデルも、集中管理、監視、障害、更新、説明責任をめぐるリスクと無縁ではない。

米国にとって最も説得力のある対応は、リスクに応じたものだろう。サプライチェーンを検証し、機密用途を制限し、モデル窃取の信頼できる証拠を調査しながら、性能だけでなく普及力でも競える米国・同盟国のオープンモデルエコシステムを構築することが求められる。