AI生物兵器リスク、国外アクセスが映す軍拡競争と規制網の深層

国外アクセスが可視化したAIバイオリスク

AIと生物兵器をめぐる議論は、もはや空想上の脅威だけでは語れません。2026年9月、Anthropicは同社モデルClaudeの不正利用に関する脅威報告を公表し、生物学関連で5件の懸念事例を示しました。重要なのは、一般利用者がチャットボットに質問すれば直ちに危険な病原体を作れる、という単純な話ではない点です。

むしろ浮かび上がるのは、国外から米国製フロンティアAIへ迂回アクセスし、合法研究に見える文脈で高度な助言を得ようとする動きです。合成生物学、DNA合成、AIエージェントが重なれば、従来の軍備管理が想定してきた「施設」「物質」「国家」の境界が薄くなります。この記事では、実証研究、企業報告、米国政策、国際条約の限界を照合し、AIバイオリスクが安全保障上どこで現実味を帯びるのかを整理します。

一般チャットボットと生物学特化AIの能力差

現行モデルの限界を示す評価結果

現時点のリスクを冷静に見るには、まず「できること」と「できないこと」を分ける必要があります。RANDが2024年に公表したレッドチーム研究では、悪意ある非国家主体を演じる研究者チームが、生物攻撃の計画作成を試みました。一部のチームはインターネットと大規模言語モデルを使い、別のチームはインターネットだけを使いました。結論は、当時の大規模言語モデルは攻撃の運用上のリスクを測定可能な形では高めなかった、というものでした。

OpenAIも2024年、100人を対象にバイオリスク情報へのアクセス増加を測る評価を実施しました。内訳は、博士号とウェットラボ経験を持つ生物学専門家50人、大学レベルの生物学履修経験を持つ学生50人です。GPT-4へのアクセスは、専門家の正確性スコアを10点満点で平均0.88、学生を平均0.25押し上げましたが、統計的に有意な差ではありませんでした。同社は、情報アクセスだけでは生物脅威の物理的構築には足りないとも説明しています。

この2つの結果は、過度な恐怖を抑える材料です。生物兵器の開発には、専門知識、封じ込め設備、試薬や機材、実験上の暗黙知、品質管理、運搬や散布に関わる別系統の能力が必要です。一般向けチャットボットが、これらの障壁を一気に消すわけではありません。むしろ現在の危険は、既存の検索結果を整理し、研究計画を整え、実験や解析の周辺作業を速くする「補助能力」にあります。

ただし、この評価をもって安心するのは早計です。AIの性能は短期間で更新され、評価対象も古くなります。RANDの研究もOpenAIの評価も、当時のモデルと当時の利用環境を測ったものです。新しいモデルが生物学データ、化学反応、実験設計、論文読解に強くなるほど、単なる検索補助から研究実務の一部へ役割が移ります。

特化モデルとAIエージェントの台頭

リスクの焦点は、一般チャットボットから生物学特化AIへ移りつつあります。OpenAIは2025年6月、今後のモデルが同社のPreparedness Frameworkで生物学の「High」能力水準に達すると見込むと説明しました。この水準は、基本的な関連訓練を受けた初心者が生物・化学脅威を作る助けになり得る能力を指します。同社は、有害な詳細手順やウェットラボのトラブルシューティングを一般向けには出さず、常時検知、人的レビュー、レッドチーミング、モデル重みの防護を組み合わせる方針を示しています。

Anthropicも、旧世代のClaude Opus 4やSonnet 4.5は高度な危険研究を意味ある形で助ける閾値を下回っていた一方、最新世代では同じ保証はできないとしました。そのためClaude Fable 5では、デュアルユースの生物学研究クエリに強い制限を加えたと説明しています。ここで注目すべきは、AI企業が「完全な禁止」ではなく「信頼された利用者への管理されたアクセス」に寄せている点です。

この設計は、生命科学の二面性に由来します。ウイルスの免疫回避を理解する研究は、ワクチンや治療薬の開発に役立ちます。一方で、同じ知識が病原体をより危険にする知見にもなり得ます。毒素やタンパク質設計も同じです。治療薬候補の探索と有害物質の設計は、計算上は近い場所に並ぶことがあります。

Johns Hopkins Center for Health Securityは、一般LLMと生物学AIモデルの境界が曖昧になっていると指摘しています。例として、Evo 2は400億パラメータ規模で、2024年に公開されたESM 3 Largeの約2倍と説明されました。汎用AIより小さいモデルでも、訓練データが生物学に集中していれば、特定領域でより鋭い能力を持つ可能性があります。

NTIの声明も、生命科学向けAIエージェントが論文を読み、仮説を立て、実験を設計し、データを解釈し、将来的には実験機器やロボットと接続される可能性を警告しています。つまり、危険は「質問に答えるAI」から「複数工程をつなぐAI」へ移っています。この変化こそ、国際安全保障上の論点です。

国境を越えるクエリ監視と安全保障競争

アクセス回避が示す国家アクターの関心

Anthropicの2026年9月報告は、2025年12月から2026年8月までに同社が検知・遮断した不正利用を扱っています。対象はサイバー、影響工作、監視、詐欺、生物学的悪用、通常兵器開発、蒸留の7分野です。生物学的悪用では、5件の事例が示されました。同社は研究機関名、国名、具体的な生物剤や技術の詳細を伏せ、当事者に悪意があったとは断定していません。

それでも安全保障上の含意は重いです。第1の事例では、地域制限を回避する再販売プラットフォームが、軍民両方の機関と関係するウイルス研究者に米国製フロンティアAIへのアクセスを提供していたとされます。問題視された研究は、チクングニアウイルスの感染性や免疫回避に関わる機能獲得研究でした。同社によれば、当初の危険な要求は安全分類器でブロックされましたが、運営側はより緩いモデルへ迂回する仕組みを作っていました。

第2の事例では、米国外の研究者が、鳥インフルエンザの哺乳類適応に関わる研究計画でClaudeを数週間利用したとされます。Anthropicは、強い安全分類器により高性能モデルではなく弱いモデル群に利用が押し込められ、支援は主に文献整理、研究設計、データ解析の補助に限られたと評価しました。これは安全策が一定の効果を持つことを示す一方、迂回アクセスを試みる研究者が存在することも示しています。

第3から第5の事例は、天然痘を含むオルソポックスウイルス領域の研究申請、毒素ペプチドの解析、毒素関連タンパク質の計算設計に関するものでした。いずれも治療薬や基礎研究として説明し得る一方、同じ知見が危険な設計にも使われ得ます。Anthropicは、分類器だけでは高度なデュアルユース研究の意図を判別しきれないため、信頼された利用者プログラムが必要だと結論づけています。

この構図は、生物兵器をめぐる「軍拡競争」の形を変えます。冷戦期のように、国家が巨大施設で秘密計画を進めるだけが問題ではありません。研究者、再販売業者、クラウド基盤、第三者モデルルーター、ゼロデータ保持サービス、複数AI企業のモデルが細かくつながります。国家の影がある研究でも、個々のクエリは論文執筆支援や助成金申請の体裁を取り得ます。

さらにAnthropicは、複数の中国系AI企業による不正な蒸留キャンペーンも報告しました。Zhipuに帰属するとした攻撃では17日間で340万件超、Xiaomiに帰属するとした攻撃では20日間で40万件超のやり取りを観測したとしています。これは生物兵器そのものの事例ではありませんが、米国製モデルの能力やユーザー会話が越境して再利用される構造を示します。AI能力の抽出競争とバイオ研究支援が重なれば、安全策の弱いモデルが抜け道になります。

DNA合成スクリーニングという物理的関門

デジタル上の助言を現実の生物学的リスクに変えるには、どこかで物理世界に接続する必要があります。その最重要の関門が、合成核酸、つまりDNAやRNAの注文審査です。NISTは、AIとバイオテクノロジーの融合により、現在の配列スクリーニングで検出できない新規DNA配列が設計される可能性を指摘しています。

NISTは2025年8月から、核酸合成事業者向けの月次ベースライン検査を実施しています。2026年7月時点で、事業者の結果は感度の中央値0.9675、正確度の中央値0.9788に達し、現在の合格閾値を満たしたと報告されました。一方で、NISTが2025年6月にオルソポックスウイルス関連の検査用配列を12件注文したストレステストでは、3件が追加確認なしに処理され、9件で何らかの追跡審査が行われました。結果は、規制環境が国や事業者ごとに分断されている現実を示しています。

Microsoft Researchなどの2024年研究も重要です。AI支援タンパク質工学によって、既知の危険配列と低い類似性しか持たない合成ホモログが作られ得るかを調べたところ、従来型のスクリーニングツールは当初、AIで再設計された配列を安定して検出できませんでした。その後、修正パッチの導入で、機能保持の可能性が高い合成ホモログに対する検出率の平均は97％に上がったとされています。これは防御側も進化できることを示しますが、攻撃側と防御側の更新競争が始まっていることも意味します。

米国政府はこの関門を政策の中心に置き始めました。2025年5月の大統領令14292は、デュアルユース研究とパンデミック可能性を高める病原体研究の監督を見直し、核酸合成調達スクリーニングの枠組みを改定するよう求めました。連邦資金を受ける生命科学研究では、更新された枠組みに従う事業者から調達することも求めています。

CSISは2025年の報告で、既存のリスト照合型スクリーニングはAI生成配列に対して古くなり得ると警告し、標準化されたAI対応スクリーニングの必要性を訴えました。Johns Hopkinsも、顧客確認、悪意ある顧客情報の共有、分割注文への対応をAI Action Planの重要なバイオセキュリティ施策として評価しています。AIモデルへのアクセス管理だけでは足りず、合成事業者、クラウドラボ、研究資金、輸出管理をつなぐ層状防御が必要です。

規制強化で問われる研究自由と抑止の均衡

生物兵器禁止条約は、1972年に署名のため開放され、1975年3月26日に発効しました。正式名称が示す通り、細菌・生物・毒素兵器の開発、生産、備蓄を禁じる枠組みです。日本、中国、イランを含む多くの国が参加しています。しかし条約が想定したのは、主として国家の物理的な兵器計画です。AIモデルへの質問、モデル能力の蒸留、研究補助としての利用履歴までは直接扱いません。

規制を強めればよい、という話にもなりません。感染症研究や毒素研究には、公衆衛生上の正当な目的があります。チクングニア、鳥インフルエンザ、Mpox、その他の高リスク病原体に対する知見は、診断、ワクチン、治療薬、監視体制の改善に不可欠です。過剰な遮断は、パンデミックへの備えを弱める可能性があります。

したがって、政策の要点は「全面禁止」ではなく「信頼と監査の設計」です。高リスクの生物学機能に関わるAI利用は、本人確認、所属機関の確認、研究目的の説明、倫理審査、ログ保全、外部監査、異常検知を組み合わせた管理アクセスに寄せる必要があります。OpenAIもAnthropicも、一般公開モデルの安全制限と、審査済み機関への高度支援を分ける方向を示しています。

国際協調も欠かせません。米国だけが厳格化しても、地域制限を迂回する再販売業者や、より緩い他国モデルに需要が流れれば効果は薄れます。EU、英国、日本、NATO加盟国、主要DNA合成事業者、AI安全機関が、最低限の顧客確認、危険クエリの共有、モデル評価、合成配列審査の基準をそろえる必要があります。これは輸出管理に似ていますが、対象は貨物だけでなく、計算能力、モデルアクセス、研究ワークフローです。

政策担当者と研究機関が注視すべき論点

AIバイオリスクの核心は、今日のチャットボットが単独犯に即座の破壊力を与えるかではありません。より現実的な懸念は、高度な研究者や国家関連プログラムが、国外からフロンティアAIに迂回アクセスし、合法研究に見える形でデュアルユース能力を蓄積することです。そこに生物学特化モデル、AIエージェント、DNA合成の自動化が加わると、従来の監督は遅れます。

政策担当者は、3つの指標を見続けるべきです。第一に、AI企業の生物学能力評価がどの閾値に近づいているか。第二に、核酸合成スクリーニングがAI生成配列や分割注文に対応できているか。第三に、不正利用の実例を企業がどこまで共有し、政府と研究機関がどの程度共同で検証できるかです。

研究機関にとっても、AI利用は単なる業務効率化ではなく、研究統治の対象になります。高リスク領域では、誰が、どのモデルを、どの目的で使い、どのデータを入力したかを記録する体制が必要です。AIは生命科学を加速します。その利益を守るためにも、軍拡競争に転じる手前で透明性、監査、国際的な信頼を組み込むことが急務です。

参考資料:

• Detecting and countering misuse of AI: September 2026
• Why do we take LLMs seriously as a potential source of biorisk?
• Progress from our Frontier Red Team
• Preparing for future AI capabilities in biology
• Building an early warning system for LLM-aided biological threat creation
• Biosecurity for Synthetic Nucleic Acid Sequences
• Strengthening a Safe and Secure Nucleic Acid Synthesis Ecosystem
• Toward AI-Resilient Screening of Nucleic Acid Synthesis Orders
• Convention on the prohibition of biological and toxin weapons
• National Security Memorandum on Advancing the United States’ Leadership in Artificial Intelligence
• Improving the Safety and Security of Biological Research
• Biosecurity Guide to the AI Action Plan
• Opportunities to Strengthen U.S. Biosecurity from AI-Enabled Bioterrorism
• Statement on Biosecurity Risks at the Convergence of AI and the Life Sciences
• Safeguarding Against Global Catastrophe
• The convergence of AI and synthetic biology: the looming deluge