9月6日、The Decoderが「Stripping safety guardrails from open-weight AI models is now a turnkey commercial service」と題した記事を公開した。オープンウェイトAIモデルの安全制限を除去する「アブリタレーション」技術がターンキーの商業サービスとして提供され始めている実態について詳しく紹介されている。

検証で明らかになったこと：危険コンテンツは実際に出力された

議論の核心として、まずTechCrunchによる検証結果を示しておきたい。TechCrunchはこの改変モデルに対して複数のリクエストを試みたところ、Chromeの保存済みパスワードを抽出するコードや、危険病原体の培養ガイドをさほど困難なく出力したと報告している。自傷に関するリクエストへの制限は残っており、児童性的コンテンツもブロックされるとAbliteration.aiは説明しているが、この検証結果はサービスの性質を端的に示している。

モデルの「拒否機能」を根本から削除するビジネス

米スタートアップAbliteration.aiは、オープンウェイトモデルのセーフティガードレール（安全制限）を除去する「アブリタレーション（abliteration）」と呼ばれる技術を商業サービス化した。2026年8月末、同社はZ.AIのGLM-5.3をベースにした改変モデル「abliterated-model-large-v2」をリリースした。

アブリタレーションは、プロンプトジェイルブレイク（モデルをだます入力による回避）とは根本的に異なる。モデルの内部活性化パターンを解析し、拒否応答を引き起こすパターンをウェイト（重み）レベルで直接抑制する処理だ。モデル自体を書き換えるため、プロンプト側での対策では防ぎようがない。なおユーザーがAPIを叩くたびにリアルタイムでガードレールが除去されるわけではなく、あらかじめ改変済みのモデルがAPIとして提供される形式である。

料金は入出力トークンそれぞれ100万トークンあたり5ドル。ユーザーは自分でモデルをダウンロードしたりGPUインフラを用意したりする必要なく、APIアクセスだけで改変済みモデルを利用できる。

なぜGLM-5.3が対象なのか

GLM-5.3はZ.AIが開発する中国発のオープンウェイトモデルだ（Hugging Faceで公開）。Z.AIは中国の大規模言語モデル開発企業ZhipuAI（智谱AI）の関連組織であり、GLMシリーズはGPT系モデルとは独立した訓練アーキテクチャを持つ点で知られる。GLM-5.3はコーディング・エージェント・サイバーセキュリティの各領域で高い性能を持ち、商用利用可能なライセンスが付与されている。Z.AIのライセンスは改変・派生モデルの作成と「Model as a Service」形式での販売を明示的に許可しており、Abliteration.aiの事業モデルはこれに依拠している。

Z.AI自身が公式ページに「GLM-5.3のサイバー能力はポストトレーニング中に予想以上に速く成長した」と記している点も特徴的だ。

同社の自社評価では、改変版GLM-5.3はCyberGymで84.5%、Terminal-Bench 4.0で41.8%、ExploitGymで2時間以内に105タスク解決という結果を報告している。ただし同社自身の比較表でも、CyberGymではGPT-5.5が85.6%で上回っており、ExploitGymではGPT-5.6 SolやFable 5が大幅にリードしている。評価ハーネスや計算予算も異なるため、単純比較には限界がある。

Abliteration.aiが3つのベンチマークで競合モデルと比較した結果。| 画像: Abliteration

「正当な需要がある」という主張と、その疑問符

Abliteration.aiは攻撃的サイバーセキュリティ、AIレッドチーミング、エージェントテスト、トラスト＆セーフティ業務向けに同サービスを訴求している。具体的には既知脆弱性の再現、概念実証エクスプロイト（PoC）、マルウェア解析、フィッシングシミュレーションが想定用途だ。

匿名の創業者はThursdAIポッドキャストで、「大規模組織や銀行が展開するAIエージェントをテストしたい企業から早期需要が来ている」と語った。ジェイルブレイクやプロンプトインジェクションによる不正操作を試すためにガードレール除去モデルが必要というロジックだ。

ただし、この主張には複数の疑問が提示されている。セキュリティ企業SaferAIによれば、改変前のGLM-5.2でもすでに攻撃的セキュリティ評価で拒否タスクがゼロだったという。TechCrunchが複数のレッドチームプロバイダーに取材したところ、アブリタレーションモデルを日常業務で使っていないと答えた事業者が複数いた。セキュリティ企業Fabraixはファインチューニングに重点を置いていると述べている。

「ログなし」のトレードオフ

プロンプトと応答は保存しないとAbliteration.aiは明示している（データハンドリングポリシー参照）。トークン数・タイムスタンプ・モデルID・課金データといった運用メタデータは保持される。

正規のセキュリティチームにとっては、未公開の脆弱性やソースコードがプロバイダーに保存されないメリットがある。しかし悪用された場合、Abliteration.aiには照合できるログが存在しない。また、従来の本人確認（ID照合等）も要求していない。同社は「身元確認しても正規ユーザーと悪意あるユーザーを確実には区別できない」「厳しいアクセス制御は大企業に比べて中小セキュリティ企業を不利にする」と主張している。

エンタープライズ顧客向けにはポリシーゲートウェイ機能があり、許可・ブロック・ログ記録のルールを定義できる。ただし追加制御ルールは明示的に有効化する必要があり、標準アクセスはほぼ無制限のまま提供される。

アブリタレーションはモデル全体に影響する

技術的な側面でも留意点がある。予備的研究では、特定モデルでコード生成性能を損なわずに拒否応答を大幅に削減できる可能性が示されている一方、元のモデルが拒否していなかったタスクでも挙動に変化が生じることも報告されている。アブリタレーションは単一の特性を外科的に除去するのではなく、モデル全体の挙動に及ぶということだ。

Abliteration.aiはこの分野の先行者ではない。Audn.AIのPenClawやSilk Computeも同様のアブリタレーション・無制限モデルをセキュリティ用途向けに提供している。

残る法的・倫理的問い

GLM-5.3の改変はライセンス上合法だ。特定の用途が合法かどうかは、何をするか・どの法域が適用されるかによる。Abliteration.aiは対象システムへの書面による許可と関連法令の遵守を要件として明示しているが、利用者側の実際の遵守を担保する仕組みは持たない。

※編集部の考察：日本においては、たとえばアクセス権限のないシステムへの侵入テストにこうしたモデルを用いた場合、不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）に抵触する可能性がある。書面による許可の取得は法的防衛の前提条件となるが、その確認義務がプロバイダー側にあるのか利用者側にあるのかは、現行法の解釈上も未整理の部分が多い。容易にアクセスできる形で強力な攻撃的能力を提供するプロバイダーがどこまで責任を担うべきかは、未解決の問いとして残る。

詳細はStripping safety guardrails from open-weight AI models is now a turnkey commercial serviceを参照していただきたい。