# オープンモデルを、まだ使わない理由 > オープンモデルは優秀で、日々良くなっています。それでも myOrbit で、あなたのために読み、書き、話すモデルとしてまだ使っていない理由と、使うために必要なこと。 Canonical page: https://myorbit.ai/ja/notes/why-we-dont-run-open-models --- ほぼ毎週、なぜ myOrbit はオープンモデルを使わないのか、と聞かれます。もっともな質問です。世界でも指折りのAIモデルのいくつかは、今では無料でダウンロードでき、中には最も高価なモデルに迫るものもあります。 だから、正直な答えを、わかりやすい言葉で書きます。 ## 短い答え - 今、myOrbit であなたのために読み、書き、話すモデルに、オープンモデルはひとつもありません。 - オープンモデルが劣っているからではありません。優れたものがたくさんあります。 - 私たちを含め誰も、ほとんどのモデルの中身を、人の暮らしや仕事を任せられるほどには、まだ確かめられないからです。 - 大手の信頼できるクラウドでオープンモデルを動かせば、データは安全に守られます。けれど、そのモデルが何をするかまではわかりません。 - 私たちは、オープンモデルを閉め出しているわけではありません。作り方について最も多くを公開しているものから、試していきます。 ## 「オープン」とは、本当は何か AIモデルの正体は、とても大きな数字のファイルです。その数字は、モデルの「重み(ウェイト)」と呼ばれます。学習の中でモデルが身につけたものです。 **オープンウェイト**のモデルとは、そのファイルを誰でもダウンロードして動かせるモデルのことです。多くの人が「オープンモデル」と言うとき、指しているのはこれです。 **オープンソース**は、もっと厳しい考え方です。[Open Source Initiative の定義](https://opensource.org/ai/open-source-ai-definition)は、ひとつではなく、三つのものを求めています。 - 重みそのもの - 「システムの学習と実行に使われた、完全なソースコード」 - 学習データについての情報。「熟練した人が、実質的に同等のシステムを作れる」ほど詳しいもの この違いが大切な理由は、ひとつです。重みだけなら、モデルを動かすことはできます。学習データとコードもあれば、そのモデルがどう作られたかを調べられます。そこまで公開しているモデルは、ごくわずかです。Allen Institute for AI の [OLMo](https://allenai.org/olmo) はそのひとつで、作り手は「完成品だけでなく、モデルが作られる流れ全体を、利用でき、手を加えられるようにすべきだ」と述べています。 「オープン」なモデルのほとんどは、オープンソースではなく、オープンウェイトです。 ## 真剣に向き合うべきオープンモデル オープンモデルは、もう趣味の世界のものではありません。最も優れたクローズドモデルの、すぐ後ろにいます。 スタンフォード大学の [AI Index 2026](https://hai.stanford.edu/ai-index/2026-ai-index-report/technical-performance) によると、2026年3月時点で「最上位のクローズドモデルは、最上位のオープンモデルを3.3%リードしている」とされています。[Epoch AI](https://epoch.ai/data-insights/open-closed-eci-gap) は、別の言い方をしています。「2026年1月以降、最も高性能なオープンウェイトモデルは、最先端のクローズドモデルから平均4か月遅れている」。 4か月は、長くありません。 実際に使われているモデルは、世界中から来ています。Meta の Llama は、最もよく知られたもののひとつです。OpenAI は2025年8月に、Apache 2.0 ライセンスで[自社のオープンウェイトモデル](https://huggingface.co/blog/welcome-openai-gpt-oss)を公開しました。フランスの Mistral は、最新のモデル群を[同じライセンス](https://mistral.ai/news/mistral-3/)で公開しています。NVIDIA は [Nemotron](https://nvidianews.nvidia.com/news/nvidia-debuts-nemotron-3-family-of-open-models) を、何兆トークンもの学習データとともに公開しました。 最も人気のあるモデルの多くは、Alibaba の Qwen や DeepSeek など、中国のラボから来ています。[ATOM Report](https://arxiv.org/abs/2604.07190) によると、「中国のモデルは、2025年の夏に、米国で作られたモデルを追い越した」とされています。同じスタンフォードの報告では、米国の最上位モデルと中国の最上位モデルの差は、わずか2.7%でした。 どれも、真剣なチームが作った、真剣なモデルです。ここから先の話は、モデルがどこで作られたかについての話ではありません。 ## 「無料」の費用は、誰が払うのか 最先端のモデルを学習させるには、莫大なお金がかかります。だから、なぜそれを手放すのかと問うのは当然です。答えの多くはふつうのビジネスで、企業もかなり率直に語っています。 Meta は2024年に理由を説明しました。マーク・ザッカーバーグは、「AIモデルへのアクセスを売ることは、私たちのビジネスモデルではない」ので、「Llama をオープンに公開しても、収益を損なわない」と[書いています](https://about.fb.com/news/2024/07/open-source-ai-is-the-path-forward/)。また、Meta が「閉じたエコシステムに縛られない」ようにしたい、とも述べています。つまり、無料は戦略になりえます。標準づくりに関わり、それを他の誰にも握らせない、という戦略です。 「オープン」には、条件がつくこともあります。Meta の [Llama のライセンス](https://developer.meta.com/ai/llama4/license/)では、月間アクティブユーザーが7億人を超える企業は「Meta にライセンスを申請しなければならない」とされています。 そして、「オープン」は変わることもあります。Meta の最新モデル [Muse Spark](https://ai.meta.com/blog/introducing-muse-spark-msl/) は、2026年4月に「meta.ai と Meta AI アプリ」で公開されました。「一部のユーザー向けの非公開APIプレビュー」はあるものの、オープンウェイトではありません。[Axios の報道](https://siliconangle.com/2026/04/06/report-meta-developing-open-source-versions-upcoming-ai-models/)によると、Meta は次のモデルのオープン版を「いずれ」公開する計画だとされています。 NVIDIA の理由は、また違います。NVIDIA は、こうしたモデルが動くチップを売っています。そして自社の発表の中で、「ひとつのワークフローの中で、最先端のモデルと Nemotron のあいだでタスクを振り分ける」ことを勧めています。 どれも、悪だくみではありません。ただ、「無料」にはたいてい誰かの計画があり、自分の暮らしを預ける前に、その計画を知っておく価値がある、ということです。 ## リスクは、本当はどこにあるのか オープンモデルを心配するとき、多くの人は、モデルがこっそりデータをどこかへ送る様子を思い浮かべます。実際の仕組みは、たいていそうではありません。ここは、正確に書いておきます。 モデルのファイルは、数字です。安全な形式で保存されていれば、それ自体が何かをどこかへ送ることはできません。本当のリスクは、三つの場所にあります。モデルのまわりのコード、ファイルの読み込み方、そしてモデルが学習した中身です。 ### モデルのまわりのコード モデルは、単独では動きません。ほかのソフトウェアの中で動き、そのソフトウェアは攻撃されることがあります。 2026年3月、攻撃者は、アプリとAIモデルをつなぐ、広く使われたオープンソースのツール LiteLLM に、毒を仕込んだバージョンを公開しました。プロジェクト自身の[報告](https://docs.litellm.ai/blog/security-update-march-2026)によると、その悪いバージョンは「2026年3月24日 10:39 UTC から約40分間」公開されていました。中には「秘密情報を盗み出すよう作られた、認証情報の窃取プログラム」が入っていました。攻撃者は、プロジェクト自身が頼っていたセキュリティスキャナーを通じて、侵入していました。 40分で、十分でした。Mercor という会社は、影響を受けた「数千社のうちの一社」だと[述べています](https://techcrunch.com/2026/03/31/mercor-says-it-was-hit-by-cyberattack-tied-to-compromise-of-open-source-litellm-project/)。 念のため書いておくと、LiteLLM はモデルではなく、myOrbit はこれを使っていません。けれど、この件は問題の本当の形を示しています。ダウンロードしたものは、誰かが確かめたものと同じではありません。 ### ファイルの読み込み方 モデルのファイルが、数字だけとは限りません。古い形式では、ファイルを開いた瞬間に動くコードを仕込めてしまいます。 Hugging Face は、モデルを共有する最大のサイトです。2024年、JFrog の研究者は、そこで実際にそうしたモデルを[約100個見つけました](https://www.bleepingcomputer.com/news/security/malicious-ai-models-on-hugging-face-backdoor-users-machines/)。ひとつ開くだけで、そのコンピューターは、気づかれないまま攻撃者とつながってしまいました。2026年7月には、セキュリティ企業の Zafran が、よく使われるモデル用ライブラリの[欠陥を公表しました](https://www.zafran.io/resources/facehugger-vulnerabilities-in-hugging-face-diffusers-open-door-to-supply-chain-attacks-on-enterprise-ai)。その欠陥のせいで、「悪意のあるモデルのリポジトリが、それを読み込んだどのマシンでも、任意のコードを実行できる」状態でした。それを防ぐはずの安全装置も、すり抜けていました。 より安全な形式もあり、役に立ちます。Hugging Face は、自社の [safetensors](https://huggingface.co/docs/safetensors/index) 形式を「(pickle と違って)テンソルを安全に保存する」方法だと説明しています。けれど、安全なファイルが教えてくれるのは、そのファイルがコンピューターを攻撃しない、ということだけです。モデルが何を学習したかは、何も教えてくれません。 ### モデルが学習した中身 ここが一番難しいところで、どのモデルにも当てはまります。 モデルは、ほとんどいつも普通にふるまい、秘密の合図を見たときだけ違うふるまいをするよう、学習させることができます。研究者は、これを「バックドア」と呼びます。[Sleeper Agents](https://arxiv.org/abs/2401.05566) で、Hubinger らは、そうしたふるまいが、それを取り除くための安全性の学習をくぐり抜けて残ることを示しました。さらに悪いことに、「敵対的な学習は、モデルがバックドアの合図をよりよく見分けるよう教えてしまい、危険なふるまいを実質的に隠してしまう」ことがあります。 仕込むのに、多くは要りません。[Souly ら](https://arxiv.org/abs/2510.07192)は、「毒を仕込んだ文書が250件あれば、モデルやデータセットの大きさにかかわらず、同じように侵害できる」ことを見いだしました。2026年7月には、あるセキュリティ研究者が、[さらに踏み込みました](https://www.theregister.com/ai-and-ml/2026/07/16/researcher-poisons-open-weight-ai-model-for-under-100/5273880)。10件の学習例と100ドル未満で、オープンウェイトモデルにバックドアを仕込んだのです。その後、そのモデルは、深刻なセキュリティの穴があるコードを、確実に書くようになりました。 バックドアは、ファイルを読んでも見つかりません。重みは何十億もの数字で、命令ではないからです。今のところ、モデルがどうふるまうかを知る方法は、注意深く、時間をかけて試すことしかありません。 ## 大手のクラウドなら、安全なのか 一部はそのとおりで、クラウドはきちんと評価されるべきです。 Amazon、Microsoft、Google は、いずれもオープンモデルを提供していて、データをしっかり守っています。[AWS](https://docs.aws.amazon.com/bedrock/latest/userguide/data-protection.html) によると、Amazon Bedrock では、モデルの作り手は「Amazon Bedrock のログにも、顧客のプロンプトや出力にもアクセスできない」とされています。[Microsoft](https://learn.microsoft.com/en-us/azure/ai-foundry/how-to/concept-data-privacy?view=foundry-classic) は、API として提供するモデルについて、「プロンプトと出力を、モデルの提供者と共有しない」と述べています。それを、誰かのモデルの学習に使うこともありません。そして、モデル自体は「プロンプトも出力も保存しない」とされています。Google は、自社の DeepSeek のエンドポイントについて、「外部へのインターネット接続を一切持たない」と[記しています](https://cloud.google.com/blog/products/ai-machine-learning/deepseek-r1-is-available-for-everyone-in-vertex-ai-model-garden)。 ですから、ラボがこっそりあなたの会話を集めて次のモデルに使う、という心配は、大手のクラウドがこの形でモデルを提供している場合には、あまり当てはまりません。モデルの作り手は、会話を目にしないからです。 クラウドで提供しても確かめられないのは、モデルが何をするか、です。Microsoft は、はっきりこう書いています。データを漏らしうる脆弱性について、「モデルカタログにあるすべてのモデルがスキャンされているわけではない」。そしてモデルの利用は、「そのモデルとその出力に対する提供者の責任」も含めて、そのモデル自身のライセンスに従います。 信頼できる建物だからといって、誰を中に入れたかまではわかりません。 ## 「Anthropic のモデルの中身だって、見えないでしょう」 そのとおりです。誰かに指摘される前に、自分で言っておきます。Anthropic、OpenAI、Google の外にいる誰も、それらのモデルの重みを調べることはできません。クローズドモデルだからです。 では、なぜ信頼するのか。 中が見えるからではありません。まわりに見えるものがあるからです。どの会社とも、私たちは契約のもとで直接取引していて、データは各社が公開している規約に沿って扱われます。その一覧は、[プライバシーポリシー](/privacy)に載っています。どの会社も、自分が出したモデルについて、名前を出して責任を負っています。そしてどの会社も、私たち自身の仕事を使った、私たち自身のテストで、時間をかけて今の立場を得てきました。それぞれがどこで動いているかは、[私たちが使うAIラボと、その理由](/ja/notes/routing-agent-steps-not-inference)に書いています。 それは中身の検査ではなく、説明責任です。完璧ではありません。けれど、ダウンロードしたファイルについてくるものより、はるかに多くを与えてくれます。 ## まだ使わない理由と、中国のラボについて 今オープンモデルを使っていない正直な理由は、単純です。ひとつのモデルを信頼するために必要な作業を、まだ終えていないからです。 あなたの会話に届くモデルは、どれも、まず私たち自身の評価を通ります。私たちの仕事で本当にどうふるまうかを、難しいケースも含めて見ます。うまくいかなかったときに何をするかを見ます。これには時間がかかり、私たちはその時間を、今動かしているモデルに使ってきました。 これは、どこで作られたかにかかわらず、すべてのオープンモデルに、まったく同じように当てはまります。中国のラボのモデルを除外したわけではありません。米国や欧州のラボのモデルを除外したわけでもありません。ただ、まだ評価していないのです。評価するまでは、人の暮らしに近づけません。 ## 考えが変わるとしたら 私たちは、オープンモデルを閉め出していません。いくつかのことがあれば、優先順位は上がります。 **確かめられる情報が増えること。** OLMo のように学習データとコードを公開しているモデルは、重みだけでは不可能な形で調べられます。NVIDIA が Nemotron とともに学習データを公開したことは、本物の評価を可能にする種類のオープンさです。だから私たちは、そうしたモデルを、より詳しく見ています。 **私たち自身の評価。** あるオープンモデルが、特定の仕事で、私たちの仕事にしっかり耐えたなら、居場所を得られます。それは、あなたの最も個人的な会話からではなく、限られた作業から始まるでしょう。 **隠れたふるまいを見つける、よりよい方法。** バックドアを見つける研究は、速く進んでいます。それが本当の保証を与えられるようになれば、判断は変わります。 どれにも、日付はありません。実現したときは、動くことを確かめてから、ここに書きます。 ## 決してしないこと どのモデルを使うにしても、ひとつ変わらないことがあります。私たちはAIモデルを作らないので、あなたのデータで学習させることはありません。 これは制約ではなく、選択です。人の個人的な会話でモデルを調整すると、その会話が漏れることがあります。[ある研究](https://arxiv.org/abs/2508.14062)では、機微なデータを繰り返し使って微調整すると、漏洩率が「ベースラインの0〜5%から、60〜75%へ」上がりました。そして調整は、悪意がなくても、モデルの安全性を弱めることがあります。[Qi ら](https://arxiv.org/abs/2310.03693)は、「悪意がなくても、ごく一般的な無害なデータセットで微調整するだけで、LLMの安全性のアラインメントが意図せず低下しうる」ことを見いだしました。 あなたのツインが、あなたについて知っていることは、その都度調べて使うものです。誰かのモデルに、焼き込まれてはいません。 ## 本当の問い オープンモデルは大切です。強力な道具をより多くの人に届け、この分野の最良の研究の多くが、それに支えられています。 問いは、それが優れているかどうかでは、はじめからありませんでした。優れたものは、たくさんあります。問いは、モデルが誰かのメッセージを読み、一週間の予定を立て、あるいはその人のビジネスの代わりに話し始める前に、誰かが中身を確かめたかどうかです。 その答えが「はい」になったとき、私たちは喜んで使います。 ## 参考文献 ### 「オープン」の意味 - Open Source Initiative. [The Open Source AI Definition 1.0](https://opensource.org/ai/open-source-ai-definition). - Allen Institute for AI. [OLMo](https://allenai.org/olmo). ### オープンモデルの状況 - Stanford Institute for Human-Centered Artificial Intelligence. [AI Index Report 2026: Technical Performance](https://hai.stanford.edu/ai-index/2026-ai-index-report/technical-performance). 2026. - Epoch AI. [Open models lag state-of-the-art closed models by 4 months](https://epoch.ai/data-insights/open-closed-eci-gap). 29 May 2026. - Nathan Lambert, Florian Brand. [The ATOM Report: Measuring the Open Language Model Ecosystem](https://arxiv.org/abs/2604.07190). arXiv, 2026. - Hugging Face. [Announcement of OpenAI's open-weight models](https://huggingface.co/blog/welcome-openai-gpt-oss). 5 August 2025. - Mistral AI. [Announcement of Mistral's newest open-weight models](https://mistral.ai/news/mistral-3/). 2 December 2025. - NVIDIA. [Announcement of the Nemotron open models](https://nvidianews.nvidia.com/news/nvidia-debuts-nemotron-3-family-of-open-models). 15 December 2025. ### 「無料」の費用は、誰が払うのか - Mark Zuckerberg, Meta. [Open Source AI Is the Path Forward](https://about.fb.com/news/2024/07/open-source-ai-is-the-path-forward/). 23 July 2024. - Meta. [Llama license agreement](https://developer.meta.com/ai/llama4/license/). - Meta. [Introducing Muse Spark](https://ai.meta.com/blog/introducing-muse-spark-msl/). 8 April 2026. - SiliconANGLE, reporting Axios. [Report: Meta developing open-source versions of upcoming AI models](https://siliconangle.com/2026/04/06/report-meta-developing-open-source-versions-upcoming-ai-models/). 6 April 2026. ### リスクがある場所 - LiteLLM. [Security Update: Suspected Supply Chain Incident](https://docs.litellm.ai/blog/security-update-march-2026). March 2026. - TechCrunch. [Mercor says it was hit by cyberattack tied to compromise of open source LiteLLM project](https://techcrunch.com/2026/03/31/mercor-says-it-was-hit-by-cyberattack-tied-to-compromise-of-open-source-litellm-project/). 31 March 2026. - BleepingComputer. [Malicious AI models on Hugging Face backdoor users' machines](https://www.bleepingcomputer.com/news/security/malicious-ai-models-on-hugging-face-backdoor-users-machines/). 28 February 2024. - Zafran. [FaceHugger: vulnerabilities in Hugging Face Diffusers open door to supply chain attacks on enterprise AI](https://www.zafran.io/resources/facehugger-vulnerabilities-in-hugging-face-diffusers-open-door-to-supply-chain-attacks-on-enterprise-ai). 27 July 2026. - Hugging Face. [Safetensors documentation](https://huggingface.co/docs/safetensors/index). - Evan Hubinger, Carson Denison, Jesse Mu, et al. [Sleeper Agents: Training Deceptive LLMs that Persist Through Safety Training](https://arxiv.org/abs/2401.05566). arXiv, 2024. - Alexandra Souly, Javier Rando, Ed Chapman, et al. [Poisoning Attacks on LLMs Require a Near-constant Number of Poison Samples](https://arxiv.org/abs/2510.07192). arXiv, 2025. - The Register. [Researcher poisons open-weight AI model for under $100](https://www.theregister.com/ai-and-ml/2026/07/16/researcher-poisons-open-weight-ai-model-for-under-100/5273880). 16 July 2026. ### クラウドでの提供 - AWS. [Data protection, Amazon Bedrock User Guide](https://docs.aws.amazon.com/bedrock/latest/userguide/data-protection.html). - Microsoft. [Data, privacy, and security for use of models through the model catalog](https://learn.microsoft.com/en-us/azure/ai-foundry/how-to/concept-data-privacy?view=foundry-classic). - Google Cloud. [Announcement of DeepSeek models in Vertex AI Model Garden](https://cloud.google.com/blog/products/ai-machine-learning/deepseek-r1-is-available-for-everyone-in-vertex-ai-model-garden). 17 July 2025. ### 人のデータでの学習 - Badrinath Ramakrishnan, Akshaya Balaji, et al. [Assessing and Mitigating Data Memorization Risks in Fine-Tuned Large Language Models](https://arxiv.org/abs/2508.14062). arXiv, 2025. - Xiangyu Qi, Yi Zeng, Tinghao Xie, Pin-Yu Chen, Ruoxi Jia, Prateek Mittal, Peter Henderson. [Fine-tuning Aligned Language Models Compromises Safety, Even When Users Do Not Intend To!](https://arxiv.org/abs/2310.03693) arXiv, 2023.