このリスクにAGIは必要ない
高度なAIは、悪意ある行為者が文献を検索し、選択肢を比較し、実験室での作業を切り分け、あるいは専門的な生物学的ツールを操作するのを助けることによって、生物学的リスクを高めうる。モデルが重要であるために、意識、超知能、完全な自律性は必要ない。既に危険なワークフローにおける一つ以上のボトルネックを減らすだけで足りる。
この機構はもっともらしく重要だが、その現在の規模は不確実である。2026年の国際AI安全報告書は、関連する能力が向上しており、いくつかの新しい研究が代理タスクにおいて有意義な支援を見出している一方、以前の研究は小さいか統計的に有意でない効果しか見出さなかったと結論づけている。同報告書はまた、依然として存在する物理的な障壁と、大きな評価上の空白を強調している(国際AI安全報告書2026)。したがって正確な立場は、「AIはすでにパンデミックを作り出せる」でも、「モデルは単に無害なインターネット上の事実を繰り返しているだけだ」でもない。
研究者が「底上げ」で意味すること
底上げ研究は、AIの支援を受けた場合の性能を、インターネットへのアクセスのみといった基準線と比較する。その結果は、誰が参加するか、何のタスクを試みるか、どのモデルとセーフガードが用いられるか、性能がどう採点されるか、そしてそのタスクが紙上の計画なのか、代理的な調達演習なのか、それとも実際の実験室作業なのかに依存する。
情報は生物学的攻撃の連鎖の一部にすぎない。ある行為者は、病原体を選び、材料を調達し、暗黙知としての実験室技能を身につけ、品質管理を行い、生産を拡大し、自傷と検知を回避し、拡散を実現する必要があるかもしれない。AIは、ある段階で大幅に助けになりながらも、作戦全体がその行為者の手に負えないままであるかもしれない。逆に、正しいボトルネックにおけるわずかな支援は、無関係な試験でのスコアの大幅な向上よりも重要でありうる。
安全な研究は、運用上の指示を生み出すことを避け、専門家によるレビュー、統制された環境、代理タスクを用いる。それでもなお、外的妥当性は難しい。参加者は現実の脅威行為者に似ていないかもしれない。短期間の研究は何か月にもわたる試行錯誤を捉えられない。急速なモデルの変化は、慎重な結果を公表直後に陳腐化させうる。
証拠は初期のヌル結果の後に変化した
2024年のRANDのレッドチーム研究は、言語モデルへのアクセスを持つチームとインターネットのみを利用するチームによる生物学的攻撃計画について、専門家の評価に統計的に有意な差を見出さなかった。RANDは、攻撃計画は、支援ツールとして試験されたモデルの能力の限界を超えていると結論づけた一方、どれほど超えているかは測定していないと警告した(RAND報告書)。それは、それらのモデル、参加者、計画タスクについての有意義な証拠であったが、すべての将来のシステムについての恒久的な発見ではなかった。
その後の証拠はより懸念すべきものだが、なお不完全である。2026年の国際AI安全報告書は、セーフガードのない汎用AIが、インターネットアクセスと比較して、生物兵器調達の代理タスクにおいて実質的な支援を提供したとする新しい実世界の底上げ研究を記述している。同報告書はまた、モデルが科学的な仕事や実験室機器を支援している研究にも言及している。これらの結果は、この状況の見方を更新する。現行のシステムが実際上の障壁を有意に下げていないとはもはや言えない。総体としてリスクがどれだけ上昇したか、あるいはどの物質的なボトルネックが残っているかを定量化することは依然として難しい。
開発企業による評価は証拠を追加するが、利益相反を抱えており、機微な詳細を伏せることが多い。それらは企業の自己報告としてラベル付けされ、政府や独立の研究と併せて解釈されるべきである。
AnthropicのASL-3発動が意味すること
Anthropicは2025年、Claude Opus 4ファミリーについてASL-3の保護を発表した。特定の化学、生物、放射性物質、核に関するワークフローにおいて有意義な底上げを排除できなかったためである。同社は、この発動を明確に予防的なものと表現し、モデルが関連する能力の閾値を実際に超えたことを確定的には立証していないと述べた(Anthropic ASL-3発表)。
いくつかの概念を混同しないことが重要である。AIセーフティレベルは、セキュリティと展開に関する一連の保護策である。能力の閾値は、より強いセーフガードを発動させうる証拠である。Anthropicの方針はまた、非新規の化学・生物学的生産、新規の兵器開発、より高度なプログラムへの底上げを区別してきた。「ASL-3」は普遍的な科学的評価基準ではなく、そのモデルがあらゆる種類のCBRN兵器を自律的に構築できることを意味するものでもない。
Anthropicの方針は変化し続けており、その公開アーカイブは2026年8月時点でバージョン3.4を記載している(Anthropic RSP)。読者は、以前のフレームワークからの文言を持ち込むのではなく、あるモデルに関する決定に付随するバージョンと日付を用いるべきである。
セーフガードには複数の層が必要である
モデルおよび展開の統制には、危険な支援を拒否するようシステムを訓練すること、入出力の分類器、疑わしい多段階のパターンの監視、レート制限、アカウント認証、審査を受けた研究者への統制されたアクセスが含まれる。こうした対策は日常的な悪用を減らしうるが、ジェイルブレイク、タスクの分解、より保護の弱いモデルへのアクセス、あるいはオープンウェイトからのセーフガードの除去によって回避されうる。
評価に基づくリリースのゲート化は、試験結果を意思決定に結びつける。開発企業は訓練中に試験を行い、外部評価を委託し、ツールへのアクセスを制限し、証拠が定義された閾値を超えたときにリリースを遅らせることができる。報告は、閾値が形式的に超えられたかどうかだけでなく、残存する不確実性を記述すべきである。
核酸合成のスクリーニングは、デジタル情報から物理的な物質への橋渡しに対処する。プロバイダーは、適切なプライバシー、不服申し立て、国際的な調整とともに、顧客と配列の注文をリスク基準に照らしてスクリーニングできる。スクリーニングだけでは十分ではない。設備、病原体、実験室、サプライチェーンは世界的に多様である。
公衆衛生のレジリエンスは、ある発生が自然的、偶発的、意図的のいずれであるかにかかわらず、被害を減らす。サーベイランス、迅速な診断、屋内空気の改善、防護具、ワクチンプラットフォーム、医療備蓄、信頼できるコミュニケーションは、広範な防御策である。モデルの拒否だけに焦点を当てるセキュリティ政策は、このより大きなシステムを見落としている。呼吸用防護具、空気ろ過、隔離計画といった、そのレジリエンスの家庭レベルでの版については、「個人のバイオセキュリティの基本」を参照のこと。
実験室のガバナンスとバイオセーフティは依然として中心的である。訓練、機関内審査、アクセス統制、インシデント報告、安全文化は、悪意ある経路と偶発的な経路の双方に対処する。AIはまた、検知、創薬、生物学的研究を支援することで防御を強化しうる。統制は、可能な限り合法な研究を維持すべきである。
センセーショナリズムなしに考える方法
四つの主張を区別せよ。第一に、現行のモデルは実質的な生物学的情報を提供できる。これは観測済みである。第二に、いくつかの評価は、選定された代理タスクにおいて実務上の底上げを示している。これは限界のある新興の証拠である。第三に、悪意ある行為者は、将来のAIをツールや材料と組み合わせて、破滅的な発生を引き起こしうる。これはもっともらしいリスクの経路である。第四に、AIが引き起こすパンデミックは差し迫っている。入手可能な証拠はその予測を立証していない。
この区別は公衆の信頼にとって重要である。誇張は宿命論を助長したり能力を宣伝したりしうる一方、軽視は防御策を遅らせうる。報告は、試験されたシステム、セーフガード、基準線、参加者、エンドポイント、不確実性、資金源を記述すべきである。害を可能にする運用上の詳細は公表すべきではない。
結論
AI支援による生物学的リスクは、有用な科学的支援と危険な支援が重なり合うために、最も具体的な深刻被害の懸念の一つである。証拠は初期の「有意な底上げなし」という結果を超えて動いてきたが、モデルが大規模攻撃に対する困難な物理的・組織的障壁を消し去ったことを示すものではない。
合理的な対応は、重層的で適応的なものである。独立した底上げ研究を継続すること、モデルの能力を執行可能なセーフガードに結びつけること、生物学的サプライチェーンを保護すること、公衆衛生を強化することである。これらの対策は、幅広いAIのタイムラインにわたって価値を保ち続ける——そしてそれらは、一企業の安全性レベルが生物学的リスクの状況全体についての判定であるかのように装うことを避けている。