米国のAI輸出規制が事実上機能不全に：中国のオープンウェイトモデルと蒸留攻撃の連鎖

長年、米国のAI戦略の基盤は単純な前提にあった。最先端の半導体とモデルウェイトへのアクセスを制限すれば、中国のAIラボは1～2世代後方に留まるだろう、というものだ。しかし、2026年6月のわずか2週間の間に起きた3つの出来事が、その前提を完全に崩壊させた。

1. Zhipu AIの「GLM-5.2」：6分の1のコストでオープンウェイトの同等性能

2026年6月13日、Zhipu AI（国際ブランド名Z.ai）は、GLM-5.2をリリースした。これは744～753億パラメータのMixture-of-Experts（MoE）モデルで、100万トークンのコンテキストウィンドウを備え、非常に寛容なMITオープンソースライセンスでHugging Face上に公開された。このリリースは、米国政府が国家安全保障上の懸念からAnthropic社にClaude Fable 5およびMythos 5の全世界での停止を強制したのと同じ日に行われた。

サイバーセキュリティベンチマークでの性能:

• Semgrep社の独立したテストでは、GLM-5.2はIDOR（認可されていない直接オブジェクト参照）検出で**F1スコア39%**を記録し、Claude Code（32%）を上回った。脆弱性1件あたりのコストは約0.17ドルと、プロプライエタリな代替品の数分の一である。
• Wall Street Journalの報道によると、GLM-5.2は特定のSemgrepテストにおいて、AnthropicのMythosと同等のセキュリティバグ発見能力を示した。
• また、Terminal-Bench 2.1で81.0（前世代GLM 5.1の63.5から大幅向上）、MCP-Atlasツール使用ベンチマークではClaude Opus 4.8を上回る77.0を記録した（Opus 4.8は75.3）。
• 独立ベンチマークのArtificial Analysisは、GLM-5.2を世界No.1のオープンウェイトモデル、全モデル中トップ3にランク付けした。
• SimbianのCyber Defense Benchmarkでは、Opus 4.8、Opus 4.7、GPT-5、GPT-5.5を抑えて総合4位にランクインした。

コスト優位性: このモデルは、米国の同等のプロプライエタリなフロンティアモデルと比較して、トークンあたり約6分の1のコストで動作し、ウェイトはダウンロードして自己ホスティングが可能なためAPI使用料は発生しない。

重要な注意点: AVERIのMiles Brundage氏は、GLM-5.2が本当にMythosと同等であるというWSJの主張に異議を唱え、ベンチマークの範囲が限定的であるとして、100対1の賭けを公に申し出ている。特定のSemgrepテストでの同等性は事実だが、より広範な評価に一般化できるとは限らない。

2. 360 Securityの「Tulongfeng」：国産の脆弱性発見ツール

2026年6月24日、北京で開催されたISC.AIカンファレンスにおいて、中国のサイバーセキュリティ大手**360 Security Technology（奇虎360）**は、2つのAI駆動型サイバーセキュリティツールを発表した。

• Tulongfeng（屠龍風）：ソフトウェアの脆弱性を自動発見するためのAIシステム。創業者の周鴻禕（Zhou Hongyi）氏は、これを**「中国版Mythos」**と明示的に呼んだ。
• Yitianzhen（倚天鎮）：サイバー防御とインシデント対応を自動化するプラットフォーム。

周鴻禕氏は、中国はMythosに相当する国産技術を**「持たざるを得ない」と述べ、これを戦略的なサイバー能力と位置付けた。これらのツールは、米国の規制を受けたモデルやハードウェアに依存せず、フロンティアクラスのAI脅威検出能力に匹敵するよう構築された。報道によれば、Tulongfengは既に3,400以上の脆弱性**を特定し、そのうち105件は中国のCNVDデータベースによって確認されたとされる。

3. AnthropicによるAlibabaへの告発：輸出規制を迂回する蒸留

2026年6月24～25日、Anthropicは米国上院議員に宛てた書簡（日付は6月10日）の中で、AlibabaとそのQwen AIラボがClaudeモデルに対して**「過去最大の蒸留攻撃」**を実行したと非難した。

書簡の主な内容:

• 攻撃者は約25,000の不正アカウントを使用し、2026年4月22日から6月5日までの間にClaudeに対して2,880万回以上のインタラクションを実行した。
• このキャンペーンは、モデル能力の抽出（蒸留）を目的としており、Alibaba自身のモデルをClaudeの出力で訓練することで、モデルウェイトの直接移転を制限する米国の輸出規制を迂回しようとしたものだ。
• Anthropicはこの行為を**「厚かましい」「違法な」**ものと表現した。

Alibabaは不正行為を公に認めていない。蒸留は、知識（ウェイトではなく）が移転され、訓練されたモデルがローカルで利用可能な計算リソースで動作するため、ハードウェアベースの輸出規制の重要性を実質的に低下させる手法である。

米国の輸出規制への影響

これらの出来事の累積的効果は、ワシントンの戦略フレームワークへの戦略的な打撃である:

米国戦略の柱	どのように弱体化されたか
ハードウェアの供給拒否（半導体輸出規制）	GLM-5.2は中国国内の国産計算リソースで訓練・実行されている。Tulongfengは完全に国産である。
モデルアクセス制限（ウェイト輸出禁止）	GLM-5.2のウェイトはMITライセンスで自由にダウンロード可能。世界中の誰もが自己ホスティングできる。
フロンティアモデルのプロプライエタリ維持	Zhipuは、Anthropicのモデルが停止された同日に、フロンティアクラスのモデルをオープンソース化した。

コストとアクセシビリティへの影響

1. コストの崩壊。 Semgrepのテストでは、GLM-5.2が脆弱性1件あたり約0.17ドルで発見したのに対し、米国のプロプライエタリモデルでははるかに高コストだった。オープンウェイトのMITライセンスによりライセンス料はゼロ。360のツールは中国市場向けの国産品であり、米国の代替品よりも低価格である可能性が高い。

2. アクセシビリティの劇的な拡大。

• 控えめなGPU環境を持つセキュリティチームは、コード監査のためにGLM-5.2を自己ホスティングできる。
• 中国企業や政府系組織は、これまで米国のラボが厳格な管理下でのみ提供していた自動ゼロデイ発見ツール（Tulongfeng）に直接アクセスできるようになった。
• オープンウェイトLLM、蒸留、国産ツールの組み合わせにより、高度なサイバーセキュリティAIはもはやどの価格帯においても米国の独占物ではなくなった。

3. 攻防の境界線の曖昧化。 脆弱性1件0.17ドルで発見するGLM-5.2も、Tulongfengも、脆弱性の修正と攻撃的なエクスプロイト発見の両方に使用できる。オープンウェイトで監視レイヤーがないため、防御目的と攻撃目的を区別することは困難である。

結論: 輸出規制パラダイムは、NVIDIAの半導体とモデルウェイトを制限することで、中国のフロンティアAI能力を2～3世代後方に留められると想定していた。しかし、GLM-5.2（特定のサイバーセキュリティベンチマークで米国フロンティアに匹敵し、6分の1のコストのオープンウェイト）、Tulongfeng（国産Mythosクラスツール）、そしてAlibabaの蒸留事件は、知識、能力、アクセスがすでに規制の枠組みから逃れていることを示している。高度なサイバーセキュリティツールは、わずか数週間で、希少で米国のみの高価な製品から、世界中でアクセス可能な低コストのコモディティへと変貌した。