8月23日、The Next Webが「A free AI model is winning over developers. And nobody knows whose servers it runs on」と題した記事を公開した。プロバイダーが不明のままOpenRouterに突如出現したステルスAIモデル「Ox Alpha」が開発者の間で話題になっている実態と、そのデータ保持条件が持つリスクについて詳しく紹介されている。

正体不明のAIモデルが無料で出現し、「誰のモデルか」論争も決着せず

先週木曜日、「Ox Alpha」と名乗るAIモデルがOpenRouterに静かに追加された。リリースした主体は「匿名の第三者プロバイダー」とだけ記されており、運営元は公表されていない。

スペックは控えめではない。コンテキストウィンドウは100万トークン超、利用は無料。オープンソースのAIエージェント「OpenCode」は「1週間は事実上無制限で使える」と告知し、プロバイダー側は1日あたり100兆トークンの処理能力を持つと伝えた。コーディング、長期的なエージェント作業、プロダクション利用が主な想定用途だ。決済インフラ企業Stripeの共同創業者兼CEOであるPatrick Collisonが実際に試して「非常に印象的」と評したことも、開発者コミュニティでの注目を集める一因となった。

業界では発表直後から犯人探しが始まった。有力視されているのはZ.aiで、過去に「GLM-5」を別名で匿名テストした前歴があるとされる（※この前歴の詳細については元記事内で言及されているが、公式な一次ソースは現時点で未公開）。一方、トークナイザーの分析からMicrosoftのMAIファミリーを指摘する声もある。

しかし週末までに確度は下がる一方だった。AIアナリストのAndrew Curranは「前夜よりも何も確信が持てない状態になっている」と書いている。

本当の問題はモデルの性能ではなく、データの行き先だ

正体より重要なのが、OpenRouterの公式リスティングに書かれた利用規約の文言だ。

「プロンプトと出力はプロバイダーによって保持される。トレーニングには使用されない。」

送信したデータは、名前を明かしていない会社に保存される。トレーニングには使わないと言っているが、誰が言っているのかが不明だ。

業務用途でこれを使うとどうなるか。ユーザーが入力した内容は、素性のわからない組織のサーバーに残ることになる。

EUにとっては「試せない」モデル

欧州企業にとってこれは法的な問題だ。GDPR（一般データ保護規則）では、データを処理する委託先と名前入りの契約を結び、データの移転先を特定することが義務付けられている。匿名プロバイダーではその要件を満たせない。

さらにタイミングが悪い。EUの**AIアクトの透明性義務が8月2日に発効したばかりだ。違反した場合のペナルティは最大1,500万ユーロ、または全世界年間売上高の3%**に達する（元記事に記載の数値を転記）。このフレームワークは「どのプロバイダーが何に責任を持つか」を明確にすることを前提に設計されており、匿名モデルとは根本的に相性が悪い。

「無料」のコスト

モデルの品質自体が問題なのではない。ステルスリリースでベンチマークを取ってから発表するのは業界でも珍しくない手法だ。

だが、1日100兆トークン分の推論コストを誰かが負担している。その「誰か」が名乗り出るまで、少なくとも業務データを使ったテストは避けるのが合理的な判断だ。

詳細はA free AI model is winning over developers. And nobody knows whose servers it runs onを参照していただきたい。