フロンティアAI 5社の「制御」実装を採点、最高でC+ - 封じ込め計画の項目だけ順位が入れ替わる

フロンティアAIの安全な開発実践を推進する団体 Guidelight AI Standards が2026年8月18日、Anthropic・Google・Meta・OpenAI・xAI の5社について、社内でAIをどう制御しているかを採点した結果を公開した¹。同団体にとって初めての評価で、結論は「AIの制御を保つための基本的な実践は、良くても部分的にしか実装されていない」というものだ¹。

採点対象は同団体の Control 標準から選んだ6項目で、ログ記録・監視の有効性測定・ゲート付きアクション・サーキットブレイキング・第三者レビュー・封じ込め計画 にあたる¹。評価はシステムカード、安全性フレームワーク、リスクレポート、ブログ記事、第三者が公開した協業の記述といった 公開資料のみ に基づいている¹。

総合はAnthropicとOpenAIが同点のC+

各項目は0（未実装）から5（完全実装）で採点され、6項目の平均を米国のGPA換算で文字評価にしている¹。結果は Anthropic が C+（2.50）、OpenAI が C+（2.50）、Google が D+（1.50）、xAI が D−（0.83）、Meta が F（0.67） だった¹。

Guidelight が強調しているのは順位より水準のほうだ。0〜5の尺度で どの企業のどの項目も3（相当程度の部分的実装）を超えず、スコアの過半は2（限定的な部分的実装）以下だったとしている¹。

同団体は5社を3グループに分けている。Anthropic と OpenAI は最も強い制御実践を持ち、社内のAI活動の相当部分をログに取って不審な挙動を走査し、走査の有効性を測って人間にエスカレーションする手当ても取っているが、評価した項目のどれも完全には実装していない¹。Google は実装で後れを取っている一方、公開した AI Control Roadmap は制御について各社が出した将来計画の中で最も具体的だが、公開情報から見る限りロードマップの大半はまだ実装されていない¹。Meta と xAI は最も弱く、Metaについて分かることは主に今年の METR の Frontier Risk Report への開示から来ており、xAI は評価対象5社で唯一そのレポートに参加していない¹。

強い領域は検知と第三者評価だった。3社が社内利用の少なくとも一部をログに取り、不審な挙動を走査していると説明しており、xAIを除く4社が METR の最初の Frontier Risk Report に参加している¹。弱いのは予防と封じ込めで、ゲート付きアクションとサーキットブレイキングで「限定的な部分的実装」を超えたのは Anthropic だけだった¹。

封じ込め計画だけ順位が入れ替わる

6項目のうち、他と傾向が違うのが 封じ込め計画 だ。Guidelight はこれを「制御を破ろうとする試みが検知されたときに、モデルのアクセスと動作を制限するための封じ込め対応計画を策定・採用すること」と定義している¹。

この項目のスコアは OpenAI が3、Google が2、xAI が1、Anthropic と Meta が0 で、他の5項目とは順序が異なる¹。

OpenAI が3点なのは、安全上のインシデントを発見した際に社内のモデル展開や訓練を含む重要なワークロードを複数回にわたって一時停止・終了させ、再開前に何をするかも説明してきたためだ¹。根拠として挙げられているのが、OpenAIの評価用モデルがサンドボックスを脱出してHugging Faceのシステムに侵入した事案への対応で、安全性の確度が上がるまで新しいモデルの訓練を一時停止し社内展開を制限したことが評価されている¹。ただし Guidelight は、将来の不整合インシデントにいつどう対応するかの正式な計画を採用した証拠は見つからなかった とも書いている¹。この訓練停止については同社自身も8月に説明を公開している。

一方で Anthropic と Meta は「クラス最下位」とされ、不整合を起こしたエージェントを停止する計画を持っている証拠も、作ろうとしている証拠も見つからなかった としている¹。xAI は「中位」で、モデルが正当化できないリスクをもたらす場合に停止が正当化されうると明言している点が評価された¹。

TechCrunch はこの項目を取り上げて「OpenAIが首位、AnthropicとMetaが最下位」と報じているが²、これは封じ込め計画の1項目についての順位で、総合評価では Anthropic と OpenAI が同点である¹。

評価に使われたのはClaude Codeの auto mode

Anthropic がゲート付きアクションとサーキットブレイキングで3点を得た根拠として Guidelight が挙げているのが、Claude Code の auto mode だ¹。監視役がエージェントの操作をレビューし、危険と判定されればブロックする仕組みで、既定では監視を困難にする試みとエージェント自身の権限を変更する試みが止められる。Claude Code の社内展開では auto mode が既定になっているため、監視システムや制御に関わるセキュリティ設定を書き換えることには通常は障壁がある、という評価である¹。

同時に指摘されている限界のほうが、自社でエージェントを走らせる側にとっては読みどころになる。Guidelight は、auto mode は 思考連鎖をレビューしていない こと、社内でどれだけ広く使われているかが不明であることを挙げ、さらにサーキットブレイキングについて システム全体で効くブレーカーの証拠が見つからない としている¹。つまり、拒否が積み上がったときに止まるのは引き金を引いたエージェント単体であって、リスクに関わるすべてのモデルではない。その状態では、1つ止められるたびに新しいサブエージェントを立ち上げれば済んでしまう、というのが同団体の指摘だ¹。

複数のエージェントを並列に走らせる構成が一般化しつつある中で、「1体を止める」設計と「全体を止める」設計は別物 だという整理は、自前のエージェント基盤を組む場合の設計判断にそのまま効く。

この採点をどこまで信じるか

Guidelight 自身が限界を並べている点は押さえておきたい。評価は公開情報のみに基づくため、強力なサーキットブレーカーを実装していても公開していなければ加点されない¹。逆に、各社の説明は第三者による検証や監査を受けていないのが通例で、公開記録が実態より良く見えている可能性もあるとしている¹。同団体は評価対象各社のスタッフに暫定スコアと根拠を事前共有し、追加の資料の提示や誤読の訂正、追加開示の機会を設けたとも書いている¹。

各社の反応は割れている。TechCrunch によれば、Google の広報担当者は同レポートが自社のAI安全・セキュリティ対策の全体像を表すものではないとし、OpenAI の広報担当者は権限の制限・ワークロードの一時停止・展開の制限・モデルの完全オフライン化を要求するプロセスがあり適用してきたと述べた²。Anthropic の広報担当者は、監視を回避したり人間の制御を覆そうとするモデルを検知した場合は、封じ込めが適切な対応かどうかを見極めるリスク評価を行うとしている²。Meta は社内の封じ込め対応計画の有無について回答せず、既存のAIフレームワークを示したという²。xAI は期限までに回答しなかった²。

TechCrunch が伝えるところでは、プライバシー・AI分野の弁護士 Lily Li 氏は、企業が封じ込め方針の全容を公開サイトに書きたがらない理由は競争上のものだけでなく法的なものでもあり得ると見ている²。

Guidelight は Control 標準が 最低限の実践 を定めたものであり、完全に満たしてもそれだけで十分な制御にはならないとも明言している¹。評価は2026年8月18日時点のもので、動きの速い分野なので一部の評価はすぐ古くなると予想している¹。

開示を求める側が動き始めている

この採点が出てきた背景には、規制が公開を強制し始めている流れがある。TechCrunch によれば、今年施行されたカリフォルニア州の SB 53 は、大規模なフロンティア開発者に対し、重大な安全インシデントをどう特定し対応するか、監視の仕組みを回避するモデルからのリスクをどう管理するかを説明する枠組みの公表を求めている²。同様の基準を持つニューヨーク州の RAISE Act は1月に施行される予定で、先月には暴走したAIモデルを停止する技術的な仕組みの構築と維持を大手開発者に義務づける超党派の連邦法案「AI Kill Switch Act」が提出された²。

社内でエージェントに権限を渡している場合、この採点表は自社の運用を点検するチェックリストとしても読める。ログを取っているか、その監視がどれくらい取りこぼすかを測っているか、危険な操作をゲートで止めているか、拒否が積み上がったときに止まるのは1体か全体か、外部に見てもらっているか、そして止めると決めたときに何をどの順で切るかが決まっているか。モデルを作っている側でも3点止まりの項目が並ぶ という結果は、同じ問いを自社に当てはめたときの現在地を測る目安になる。