ほぼ毎週、なぜ myOrbit はオープンモデルを使わないのか、と聞かれます。もっともな質問です。世界でも指折りのAIモデルのいくつかは、今では無料でダウンロードでき、中には最も高価なモデルに迫るものもあります。

だから、正直な答えを、わかりやすい言葉で書きます。

短い答え

  • 今、myOrbit であなたのために読み、書き、話すモデルに、オープンモデルはひとつもありません。
  • オープンモデルが劣っているからではありません。優れたものがたくさんあります。
  • 私たちを含め誰も、ほとんどのモデルの中身を、人の暮らしや仕事を任せられるほどには、まだ確かめられないからです。
  • 大手の信頼できるクラウドでオープンモデルを動かせば、データは安全に守られます。けれど、そのモデルが何をするかまではわかりません。
  • 私たちは、オープンモデルを閉め出しているわけではありません。作り方について最も多くを公開しているものから、試していきます。

「オープン」とは、本当は何か

AIモデルの正体は、とても大きな数字のファイルです。その数字は、モデルの「重み(ウェイト)」と呼ばれます。学習の中でモデルが身につけたものです。

オープンウェイトのモデルとは、そのファイルを誰でもダウンロードして動かせるモデルのことです。多くの人が「オープンモデル」と言うとき、指しているのはこれです。

オープンソースは、もっと厳しい考え方です。Open Source Initiative の定義は、ひとつではなく、三つのものを求めています。

  • 重みそのもの
  • 「システムの学習と実行に使われた、完全なソースコード」
  • 学習データについての情報。「熟練した人が、実質的に同等のシステムを作れる」ほど詳しいもの

この違いが大切な理由は、ひとつです。重みだけなら、モデルを動かすことはできます。学習データとコードもあれば、そのモデルがどう作られたかを調べられます。そこまで公開しているモデルは、ごくわずかです。Allen Institute for AI の OLMo はそのひとつで、作り手は「完成品だけでなく、モデルが作られる流れ全体を、利用でき、手を加えられるようにすべきだ」と述べています。

「オープン」なモデルのほとんどは、オープンソースではなく、オープンウェイトです。

真剣に向き合うべきオープンモデル

オープンモデルは、もう趣味の世界のものではありません。最も優れたクローズドモデルの、すぐ後ろにいます。

スタンフォード大学の AI Index 2026 によると、2026年3月時点で「最上位のクローズドモデルは、最上位のオープンモデルを3.3%リードしている」とされています。Epoch AI は、別の言い方をしています。「2026年1月以降、最も高性能なオープンウェイトモデルは、最先端のクローズドモデルから平均4か月遅れている」。

4か月は、長くありません。

実際に使われているモデルは、世界中から来ています。Meta の Llama は、最もよく知られたもののひとつです。OpenAI は2025年8月に、Apache 2.0 ライセンスで自社のオープンウェイトモデルを公開しました。フランスの Mistral は、最新のモデル群を同じライセンスで公開しています。NVIDIA は Nemotron を、何兆トークンもの学習データとともに公開しました。

最も人気のあるモデルの多くは、Alibaba の Qwen や DeepSeek など、中国のラボから来ています。ATOM Report によると、「中国のモデルは、2025年の夏に、米国で作られたモデルを追い越した」とされています。同じスタンフォードの報告では、米国の最上位モデルと中国の最上位モデルの差は、わずか2.7%でした。

どれも、真剣なチームが作った、真剣なモデルです。ここから先の話は、モデルがどこで作られたかについての話ではありません。

「無料」の費用は、誰が払うのか

最先端のモデルを学習させるには、莫大なお金がかかります。だから、なぜそれを手放すのかと問うのは当然です。答えの多くはふつうのビジネスで、企業もかなり率直に語っています。

Meta は2024年に理由を説明しました。マーク・ザッカーバーグは、「AIモデルへのアクセスを売ることは、私たちのビジネスモデルではない」ので、「Llama をオープンに公開しても、収益を損なわない」と書いています。また、Meta が「閉じたエコシステムに縛られない」ようにしたい、とも述べています。つまり、無料は戦略になりえます。標準づくりに関わり、それを他の誰にも握らせない、という戦略です。

「オープン」には、条件がつくこともあります。Meta の Llama のライセンスでは、月間アクティブユーザーが7億人を超える企業は「Meta にライセンスを申請しなければならない」とされています。

そして、「オープン」は変わることもあります。Meta の最新モデル Muse Spark は、2026年4月に「meta.ai と Meta AI アプリ」で公開されました。「一部のユーザー向けの非公開APIプレビュー」はあるものの、オープンウェイトではありません。Axios の報道によると、Meta は次のモデルのオープン版を「いずれ」公開する計画だとされています。

NVIDIA の理由は、また違います。NVIDIA は、こうしたモデルが動くチップを売っています。そして自社の発表の中で、「ひとつのワークフローの中で、最先端のモデルと Nemotron のあいだでタスクを振り分ける」ことを勧めています。

どれも、悪だくみではありません。ただ、「無料」にはたいてい誰かの計画があり、自分の暮らしを預ける前に、その計画を知っておく価値がある、ということです。

リスクは、本当はどこにあるのか

オープンモデルを心配するとき、多くの人は、モデルがこっそりデータをどこかへ送る様子を思い浮かべます。実際の仕組みは、たいていそうではありません。ここは、正確に書いておきます。

モデルのファイルは、数字です。安全な形式で保存されていれば、それ自体が何かをどこかへ送ることはできません。本当のリスクは、三つの場所にあります。モデルのまわりのコード、ファイルの読み込み方、そしてモデルが学習した中身です。

モデルのまわりのコード

モデルは、単独では動きません。ほかのソフトウェアの中で動き、そのソフトウェアは攻撃されることがあります。

2026年3月、攻撃者は、アプリとAIモデルをつなぐ、広く使われたオープンソースのツール LiteLLM に、毒を仕込んだバージョンを公開しました。プロジェクト自身の報告によると、その悪いバージョンは「2026年3月24日 10:39 UTC から約40分間」公開されていました。中には「秘密情報を盗み出すよう作られた、認証情報の窃取プログラム」が入っていました。攻撃者は、プロジェクト自身が頼っていたセキュリティスキャナーを通じて、侵入していました。

40分で、十分でした。Mercor という会社は、影響を受けた「数千社のうちの一社」だと述べています。

念のため書いておくと、LiteLLM はモデルではなく、myOrbit はこれを使っていません。けれど、この件は問題の本当の形を示しています。ダウンロードしたものは、誰かが確かめたものと同じではありません。

ファイルの読み込み方

モデルのファイルが、数字だけとは限りません。古い形式では、ファイルを開いた瞬間に動くコードを仕込めてしまいます。

Hugging Face は、モデルを共有する最大のサイトです。2024年、JFrog の研究者は、そこで実際にそうしたモデルを約100個見つけました。ひとつ開くだけで、そのコンピューターは、気づかれないまま攻撃者とつながってしまいました。2026年7月には、セキュリティ企業の Zafran が、よく使われるモデル用ライブラリの欠陥を公表しました。その欠陥のせいで、「悪意のあるモデルのリポジトリが、それを読み込んだどのマシンでも、任意のコードを実行できる」状態でした。それを防ぐはずの安全装置も、すり抜けていました。

より安全な形式もあり、役に立ちます。Hugging Face は、自社の safetensors 形式を「(pickle と違って)テンソルを安全に保存する」方法だと説明しています。けれど、安全なファイルが教えてくれるのは、そのファイルがコンピューターを攻撃しない、ということだけです。モデルが何を学習したかは、何も教えてくれません。

モデルが学習した中身

ここが一番難しいところで、どのモデルにも当てはまります。

モデルは、ほとんどいつも普通にふるまい、秘密の合図を見たときだけ違うふるまいをするよう、学習させることができます。研究者は、これを「バックドア」と呼びます。Sleeper Agents で、Hubinger らは、そうしたふるまいが、それを取り除くための安全性の学習をくぐり抜けて残ることを示しました。さらに悪いことに、「敵対的な学習は、モデルがバックドアの合図をよりよく見分けるよう教えてしまい、危険なふるまいを実質的に隠してしまう」ことがあります。

仕込むのに、多くは要りません。Souly らは、「毒を仕込んだ文書が250件あれば、モデルやデータセットの大きさにかかわらず、同じように侵害できる」ことを見いだしました。2026年7月には、あるセキュリティ研究者が、さらに踏み込みました。10件の学習例と100ドル未満で、オープンウェイトモデルにバックドアを仕込んだのです。その後、そのモデルは、深刻なセキュリティの穴があるコードを、確実に書くようになりました。

バックドアは、ファイルを読んでも見つかりません。重みは何十億もの数字で、命令ではないからです。今のところ、モデルがどうふるまうかを知る方法は、注意深く、時間をかけて試すことしかありません。

大手のクラウドなら、安全なのか

一部はそのとおりで、クラウドはきちんと評価されるべきです。

Amazon、Microsoft、Google は、いずれもオープンモデルを提供していて、データをしっかり守っています。AWS によると、Amazon Bedrock では、モデルの作り手は「Amazon Bedrock のログにも、顧客のプロンプトや出力にもアクセスできない」とされています。Microsoft は、API として提供するモデルについて、「プロンプトと出力を、モデルの提供者と共有しない」と述べています。それを、誰かのモデルの学習に使うこともありません。そして、モデル自体は「プロンプトも出力も保存しない」とされています。Google は、自社の DeepSeek のエンドポイントについて、「外部へのインターネット接続を一切持たない」と記しています。

ですから、ラボがこっそりあなたの会話を集めて次のモデルに使う、という心配は、大手のクラウドがこの形でモデルを提供している場合には、あまり当てはまりません。モデルの作り手は、会話を目にしないからです。

クラウドで提供しても確かめられないのは、モデルが何をするか、です。Microsoft は、はっきりこう書いています。データを漏らしうる脆弱性について、「モデルカタログにあるすべてのモデルがスキャンされているわけではない」。そしてモデルの利用は、「そのモデルとその出力に対する提供者の責任」も含めて、そのモデル自身のライセンスに従います。

信頼できる建物だからといって、誰を中に入れたかまではわかりません。

「Anthropic のモデルの中身だって、見えないでしょう」

そのとおりです。誰かに指摘される前に、自分で言っておきます。Anthropic、OpenAI、Google の外にいる誰も、それらのモデルの重みを調べることはできません。クローズドモデルだからです。

では、なぜ信頼するのか。

中が見えるからではありません。まわりに見えるものがあるからです。どの会社とも、私たちは契約のもとで直接取引していて、データは各社が公開している規約に沿って扱われます。その一覧は、プライバシーポリシーに載っています。どの会社も、自分が出したモデルについて、名前を出して責任を負っています。そしてどの会社も、私たち自身の仕事を使った、私たち自身のテストで、時間をかけて今の立場を得てきました。それぞれがどこで動いているかは、私たちが使うAIラボと、その理由に書いています。

それは中身の検査ではなく、説明責任です。完璧ではありません。けれど、ダウンロードしたファイルについてくるものより、はるかに多くを与えてくれます。

まだ使わない理由と、中国のラボについて

今オープンモデルを使っていない正直な理由は、単純です。ひとつのモデルを信頼するために必要な作業を、まだ終えていないからです。

あなたの会話に届くモデルは、どれも、まず私たち自身の評価を通ります。私たちの仕事で本当にどうふるまうかを、難しいケースも含めて見ます。うまくいかなかったときに何をするかを見ます。これには時間がかかり、私たちはその時間を、今動かしているモデルに使ってきました。

これは、どこで作られたかにかかわらず、すべてのオープンモデルに、まったく同じように当てはまります。中国のラボのモデルを除外したわけではありません。米国や欧州のラボのモデルを除外したわけでもありません。ただ、まだ評価していないのです。評価するまでは、人の暮らしに近づけません。

考えが変わるとしたら

私たちは、オープンモデルを閉め出していません。いくつかのことがあれば、優先順位は上がります。

確かめられる情報が増えること。 OLMo のように学習データとコードを公開しているモデルは、重みだけでは不可能な形で調べられます。NVIDIA が Nemotron とともに学習データを公開したことは、本物の評価を可能にする種類のオープンさです。だから私たちは、そうしたモデルを、より詳しく見ています。

私たち自身の評価。 あるオープンモデルが、特定の仕事で、私たちの仕事にしっかり耐えたなら、居場所を得られます。それは、あなたの最も個人的な会話からではなく、限られた作業から始まるでしょう。

隠れたふるまいを見つける、よりよい方法。 バックドアを見つける研究は、速く進んでいます。それが本当の保証を与えられるようになれば、判断は変わります。

どれにも、日付はありません。実現したときは、動くことを確かめてから、ここに書きます。

決してしないこと

どのモデルを使うにしても、ひとつ変わらないことがあります。私たちはAIモデルを作らないので、あなたのデータで学習させることはありません。

これは制約ではなく、選択です。人の個人的な会話でモデルを調整すると、その会話が漏れることがあります。ある研究では、機微なデータを繰り返し使って微調整すると、漏洩率が「ベースラインの0〜5%から、60〜75%へ」上がりました。そして調整は、悪意がなくても、モデルの安全性を弱めることがあります。Qi らは、「悪意がなくても、ごく一般的な無害なデータセットで微調整するだけで、LLMの安全性のアラインメントが意図せず低下しうる」ことを見いだしました。

あなたのツインが、あなたについて知っていることは、その都度調べて使うものです。誰かのモデルに、焼き込まれてはいません。

本当の問い

オープンモデルは大切です。強力な道具をより多くの人に届け、この分野の最良の研究の多くが、それに支えられています。

問いは、それが優れているかどうかでは、はじめからありませんでした。優れたものは、たくさんあります。問いは、モデルが誰かのメッセージを読み、一週間の予定を立て、あるいはその人のビジネスの代わりに話し始める前に、誰かが中身を確かめたかどうかです。

その答えが「はい」になったとき、私たちは喜んで使います。

参考文献

「オープン」の意味

オープンモデルの状況

「無料」の費用は、誰が払うのか

リスクがある場所

クラウドでの提供

人のデータでの学習

Anthropic Anthropic OpenAI OpenAI Google Google