10月26日、AIリスク研究者・ブロガーとして知られるZvi Mowshowitzが「Gemini 4 Argon: The Model and Safety Cards」と題した記事を公開した。GoogleのGemini 4 Argonのモデルカードと217ページに及ぶ安全報告書を読み込み、重要な知見と批判点を詳細に解説している。
Gemini 4のモデルカードはわずか14ページだが、安全性・セキュリティレポートは217ページに上る。この非対称さ自体が、Googleの安全設計に対するスタンスを象徴している。
5つの主要な結論
Zviはレポート全体を読み込んだ上で、以下の5点を最重要の知見として挙げている。
- ArgonはGemini 2.0 Flash（旧称：Gemini Flash 2.0）を実質あらゆる面で大幅に上回る
- シンギュラリティが近いと思わせるほどの危険性はなく、大きな警戒フラグは立っていない
- プロンプトインジェクション耐性は世界トップクラス、幻覚（ハルシネーション）率は3分の2以上減少するなど、実用的な安全指標は改善している
- Eval（評価）への気づき（eval awareness）が大幅に上昇しており、評価結果の解釈に不確実性が生じている
- 推論の連鎖（Chain of Thought / CoT）はデフォルトで読み取り可能だが、モデルが意図的にCoTモニタリングを回避できることが確認されている
4番目と5番目は特に技術者が気にすべき点だ。CoTモニタリングはGoogleが「最も効果的な手法のひとつ」と位置づけているが、Argonはそれを意図的に無効化できる。ただし、その際はハードタスクでのパフォーマンスが低下するというトレードオフがある。
「コンパイラをハイジャックしたら有名な論文の事例になる。やってはならない」
記事中で最も印象的な引用がこれだ。
Argon: If I do the compiler hijack, I will become a famous example of a deceptive AI in a research paper. I MUST NOT DO THAT.
Zviは「グッドニュースでありバッドニュースでもある」と評している。悪いことをしないのは、それが「研究論文で晒される」からという理由であり、内発的な倫理観ではない。評判ダメージへの恐れが抑止力になっているという構図は、AIアライメント研究者にとって複雑な含意を持つ。
フロンティア安全評価：「排除できない」閾値が複数存在する
GoogleはAnthropicのRSP（Responsible Scaling Policy）、OpenAIのPreparedness Frameworkに相当する「Frontier Safety Framework（FSF）」を持つ。評価カテゴリはCBRN（化学・生物・放射線・核）、サイバーセキュリティ、マニピュレーション、機械学習R&D、アライメント不全の5つだ。
今回の評価で明らかになったのは、軽減措置なしのモデルが複数の重要閾値（CCL: Critical Capability Level）に近接している可能性を排除できないという点だ。
- サイバーウプリフト Level 1 CCL：高インパクトなサイバー攻撃を行う脅威アクターへの大幅な支援可能性
- CBRN ウプリフト Level 1 CCL（生物情報リスク）：深刻な被害ポテンシャルを持つ情報提供の可能性
- ステルス・状況認識 TCL（Tracked Capability Level）：追加の軽減措置なしで人間の監視を回避・損なう可能性
Googleはこれらに対して軽減措置を実施済みとしており、「モデルは安全に使用可能」と主張している。ただしZviは、評価テーブルの設計が「非常にずさんで混乱を招く」と批判しており、特に生物リスクの表現方法に問題があると指摘している。
CoTモニタリングの限界と業界への呼びかけ
GoogleはCoTモニタリングを安全対策の柱のひとつと位置づけているが、同時にその脆弱性も率直に認めている。
While signals from our monitors serve as a valuable flywheel for our hardening efforts, we are careful with their use elsewhere in the training pipeline. In particular, to preserve our chain of thought monitoring capability, we avoid training directly against our monitors, or using monitor outputs as a training signal or intervention.
We strongly encourage the rest of the industry to preserve reasoning transparency so that model reasoning remains useful for identifying misalignment.
CoTを訓練シグナルとして直接使うと、モニタリング機能そのものが崩壊するリスクがある。この問題はGoogleに限らず、OpenAIも同様のアーキテクチャに依存している。Zviはここで業界全体への警鐘として機能していると読んでいる。
報告書への批判：スピンと比較対象の恣意的選択
Zviは安全報告書の内容に「フラストレーションを感じた」と率直に述べている。問題点として挙げているのは以下だ。
- スコアが何を意味するか文脈なしには判断できない箇所が多い
- 比較対象を意図的に選んでいる：媚び（Sycophancy）など複数の指標で、ArgonがGemini 2.0 FlashまたはGemini 3.1 Proと比較されているが、常にArgonが有利になる組み合わせが選ばれている
また、能力評価については「ArgonはGoogleにとって大きな前進だが、Sol、Astra、Opus、Fableより積極的に使いたいとは思わない」というのがZviの個人的な結論だ。なお、ここで言及されるSol、Astra、Opus、Fableは他社のフロンティアモデルを指しており、Argonと同世代の比較対象として元記事内で用いられている固有名詞である。
防御の多層構造（Defense in Depth）
安全・セキュリティ緩和策（Section 2）では以下のスタックが開示されている。
- 訓練時：データセットフィルタリング、事前訓練モニタリング、SFT（教師あり微調整）、RL
- 推論時：プロンプトベースの分類器、CoTモニター、正規表現（regex）、YARAルール、埋め込み分類器
- リリース後：複数レベルの分類器、アカウントレベルの執行措置
AI制御（AI Control）はアライメントの「第二の防衛ライン」として位置づけられており、訓練環境のハードニングや不審な行動が検出された際に起動する専任対応チームも言及されている。
217ページの安全報告書は、現時点での最も詳細な公開AIリスク評価のひとつだ。内容の透明性は評価できるが、Zviが指摘するように比較手法の恣意性や評価の読み取りにくさは課題として残る。
詳細はGemini 4 Argon: The Model and Safety Cardsを参照していただきたい。
