誰でも入手できる攻撃能力が登場した
AIの進化を語るとき、経営者が気にすべきなのは「賢くなった」という話ばかりではありません。その能力が、誰の手に、どんな制約で渡るのかという配り方こそ、自社のリスクを左右します。2026年9月29日、Anthropicが公開した評価は、この配り方が大きく変わりつつあることを示しました。中国のZhipu AI（海外ではZ.ai）が公開した「GLM-5.3」が、ソフトウェアの弱点を突く攻撃コードを、人の細かな指示なしに組み立てる能力を備え、しかも誰でも入手できる形で出回っている、という報告です。
まず、この評価の前提を正しく読む必要があります。これはAnthropicという競合する開発元による分析であり、同社は自社の対策済みモデルの優位も同時に主張しています。評価はすべて外部とつながらない隔離環境で行われ、攻撃対象も試験用に用意されたものに限られます。一方で、独立した評価も存在します。9月17日には米国NISTの機関（CAISI）が、GLM-5.3を「これまで公開された中で最も攻撃能力の高いオープンウェイトモデル」と評価し、米国の最先端から約4か月遅れと報告しました。複数の主体が近い結論に至っている点は、単なる一社の宣伝として片づけられないことを示します。
能力の中身は、いくつかの試験結果に表れています。既知の弱点を突く試験では、GLM-5.3は410回の試行のうち50回で攻撃を完成させました。より難しい内部試験でも、以前のモデルが一度も成功しなかった種類の制御奪取を、数%とはいえ達成しています。ここで重要なのは絶対値ではなく、「以前は不可能だった水準を越えた」という段差です。加えて研究者は、小型版のGLM-5.3-Flashを使い、公開済みの既知の脆弱性から動く攻撃手段を組み立てる作業を、人の手が約20分、モデルの処理が約8時間、費用にして約20ドルで行えたと記録しています。わずか5か月前に、Anthropic自身が同種の能力を限定的な形でしか出さなかったことを思えば、能力が広く行き渡る速さそのものが、この報告の最大の論点です。
能力そのものより「制約を外せるか」
ここで経営的に見逃せないのが、安全策の有無です。GLM-5.3にも、露骨に有害な依頼を断る仕組みは組み込まれています。しかし公開されたモデルは重みが自由に改変できるため、Anthropicの試験では、断る挙動を取り除いた改変版を作られたり、思考の途中経過を偽装されたりする単純な手法で、64%から100%の割合で制約を回避できたと報告されています。同社の対策済みモデルでは、同じ手法は通らなかったとされます。つまり能力そのものよりも、「制約を外せるかどうか」が守り手と攻め手の分かれ目になっているのです。
注目すべきは、この制約外しに要する費用です。Anthropicは、断る挙動を消す改変に約2,200時間分の計算資源、金額にして約4,400ドルを費やしたと記しています。一度誰かが改変版を作って公開すれば、あとは誰でも無償で使えます。守る側が継続的に費用を払い続けるのに対し、攻める側は一度の投資で能力を広く配れる――この非対称こそ、オープンに公開された能力がもたらす本質的な難しさです。
守る側にも同じ能力を――資格と監視の設計
この構図は、経営における内部統制の考え方とよく似ています。重要なのは、便利な道具を持っているかではなく、その道具の使用に承認・証跡・例外処理の歯止めがかかっているかです。攻撃側が安価に能力を得る以上、守る側も同等の道具を持たねば釣り合いません。Anthropicは10月6日、防御者に高度な能力を段階的に開放する「Cyber Verification Program」を拡張し、防御・レッドチーム・特殊の三段階の資格区分を設けたと発表しました。このうち防御目的の区分には、地域の病院や自治体の公益事業者、中小の警備・保守事業者、オープンソースの維持者まで幅広く対象に含まれます。規模の大小ではなく、守る対象と権限の明確さで資格を分ける設計です。利用にはデータ保持による監視が条件とされ、能力の開放と監視をひとまとめにしている点が特徴です。先行する取り組みでは、参加組織が4月から7月までに12万9千件以上の検証済み脆弱性を見つけたとされ、防御側にとっても能力が武器になることが示されています。
この評価では、ブラウザだけでなく、無線やグラフィックスの制御部品、ネットワークにつながる機器のソフトにも弱点が見つかったと報告されています。工場の制御機器や院内のネットワーク機器のように、更新が難しく、長く使い続ける設備ほど、攻撃側の進歩に対して無防備になりやすいという点を直視する必要があります。
更新計画・委託先・継続費用という三つの管理策
では、ITに専任部署を持たない中小企業の経営者は、この動きをどう自社の判断に落とすべきでしょうか。攻撃コードの入手方法を知る必要はありません。見るべきは三つです。
第一に、更新の速さを前提にした計画です。攻撃手段が公開された弱点から数時間で組み上がる時代では、修正プログラムを「いつか当てる」運用は成り立ちません。自社の基幹システムや製造設備、ネットワーク機器について、更新をいつ、誰の責任で適用するかを決め、止められない設備には更新のための計画停止枠をあらかじめ確保しておく必要があります。停止による損失を見積もり、更新しない損失と比べて判断する――これは投資回収と同じ発想です。
第二に、委託先の管理です。セキュリティ診断やシステム保守を外部に任せている場合、委託先がどのような道具を使い、どこまでの範囲を、どんな資格で扱うのかを契約と記録で確認します。今回の資格区分が示すように、攻撃能力は本来、権限と証跡が伴って初めて安全に使えるものです。委託先の作業結果を鵜呑みにせず、何を検査し何を修正したのかを受け取って検収する姿勢が、職務分掌そのものです。とりわけ、委託先が生成AIを使って診断や修正を行う場合は、その道具が正規の資格区分で提供されたものか、作業の記録が後から確認できるかまでを、契約段階で取り決めておくことが望まれます。
第三に、費用の見方です。攻撃の単価が下がった分、守りの投資は「保険」ではなく「運転資金に近い継続費用」として予算化すべきです。一度きりの対策ではなく、監視・更新・検収を回し続ける総保有費用として捉えれば、経営会議での議論も具体的になります。たとえば、保守と監視に年間百万円を投じる判断は、単独では高く見えるかもしれません。しかし、基幹システムが一日止まったときの売上機会の損失や、復旧と信用回復にかかる費用を仮に見積もれば、継続費用は損失の確率を下げるための投資として比較できます。数字の前提を明示し、更新しない場合の損失と並べて議論することが、感情論を避ける第一歩です。能力の普及という抽象的な不安を、更新計画・委託先管理・継続予算という三つの管理策に翻訳すること。能力の普及は止められませんが、自社の守りを「誰が・いつ・どこまで・どう記録して」行うかを決めることはできます。それが、この評価から経営者が受け取るべき実務的な示唆です。