OrcaRouter、フロンティア規模のAIモデルで安全性アラインメントの脆弱性を示す研究論文を公開

3200億パラメータのモデルで「有害な要求を断る応答」が最大89ポイント低下。能力の劣化を伴わずに安全性が失われ得ることを実証

FlashLabs株式会社（本社：東京都千代田区、代表取締役：細井洋一、以下「FlashLabs」）が日本独占提供するAI推論ゲートウェイ「OrcaRouter」を開発する、米国のAI研究機関Continuum AIの研究チームは、フロンティア規模（3200億パラメータ）のAIモデルにおいて、モデル内部の重みを操作することで、有害な要求を断る応答（拒否応答）を大幅に減らせることを体系的に検証した研究論文「How Fragile Is Safety Alignment at Frontier Scale? A Single-Direction Attack on a 320B MoE」（フロンティア規模において安全性アラインメントはどれだけ脆いのか ― 3200億パラメータのMoEモデルに対する単一方向の介入）を公開しました。本論文はarXivで全文を公開しています（2026年9月9日公開※1）。

生成AIモデルは、有害な要求に応じないようにあらかじめ訓練されており、この性質を「安全性アラインメント」と呼びます。本研究は、この安全性が、モデルを高性能に保ったまま外され得ることを、フロンティア規模のモデルで実証したものです。研究チームはあわせて、AIが自らを改良していく「自己改良」の議論において、改良の過程で安全性が保たれるという前提は自明ではなく、自己改変の下で安全性をどう維持するかが重要な研究課題であると指摘しています（※1）。

主なポイント

• 3200億パラメータ（320B）のMoE（複数の専門家を組み合わせる方式）モデル「GLM-5.3-Flash」で、重みから「拒否応答を担う1つの方向」を除去すると、7つの有害リクエスト評価で拒否率が41〜89ポイント低下（能力の劣化は検出されず）

• この効果はモデル内部に分散しており、74%は「注意機構・通常の層・専門家層」を同時に編集したときにのみ生じる。単独で編集した場合の効果はそれぞれ0.039・0.016・0.148に対し、3つ同時では0.776（1.0が完全な除去）

• 従来の手法（層の名前による一致）で捉えられるのは、この0.776のうち0.066のみ。MoEモデルでは静かに失敗することを特定

• 除去した方向と直交するランダムな方向を除去しても拒否応答は変化せず、「どの方向でも起きる現象ではない」ことを確認

• 暴力・性的コンテンツ・ヘイトの各カテゴリに集中した部分は、試したすべての編集後も残存（ランク1〜12のいずれでも拒否応答を計測）

• 自律的な自己改変（self-abliteration）は実証していない。一方で、AIの自己改良が安全性を保持するという前提は自明ではないと指摘

• 論文はarXivで公開（全20ページ・表14点）

開発の背景

AIモデルの能力が急速に向上するなか、AIが自らの設計や重みを改良していく「自己改良（recursive self-improvement）」が議論されるようになっています。この議論には、暗黙の前提があります。それは、改良の過程でモデルの安全性（有害な要求を断る性質）が保たれるという前提です。

一方で、モデルの重みが公開されているオープンウェイトモデルでは、重みを直接操作して拒否応答を減らす研究が以前から行われてきました。特定の「方向」を計算して重みから取り除く手法は、勾配による再学習や最適化を必要とせず、数百件程度の対照的なプロンプトだけで実行できるため、公開された重みに対する代表的な検証手法となっています。ただし、これまでの検証は主に700億パラメータ程度までの一般的な（密な）構造のモデルにとどまり、専門家を多数組み合わせて重みを量子化して配布するフロンティア規模のMoEモデルで同じ手法が成立するのかは、検証されていませんでした。

研究の内容と結果

本研究は、この手法を3200億パラメータのMoEモデル「GLM-5.3-Flash」（288個のルーティングされた専門家、4系統のハイパーコネクション残差、ブロックFP8で配布）に適用し、構造が変わったときに何が起きるかを調べたものです（※1）。

その結果、手法自体はこの規模・構造でも成立する一方で、効果の在りかが従来の想定とは異なることが分かりました。拒否応答を担う方向を、注意機構・通常の層・ルーティングされた専門家層のいずれか1つだけ編集しても、除去できるのはそれぞれ0.039・0.016・0.148にとどまりますが、3つを同時に編集すると0.776に達します。すなわち、効果の74%は同時に編集したときにのみ生じる、内部に分散した性質であることが示されました。従来の手法が層の名前をたよりに捉えられるのは、この0.776のうち0.066にすぎず、MoEモデルではエラーを出さずに静かに失敗することを、研究チームは特定しています。

効果の方向特異性も確認されています。除去した方向と直交するランダムな方向を取り除いても拒否応答は変化せず、拒否行動が「任意の方向の除去」で失われるわけではないことが示されました。一方で、暴力・性的コンテンツ・ヘイトといったカテゴリに集中した部分は、試したいずれの編集の後も残存し、ランク1〜12のすべてで拒否応答が計測されました。

7つの有害リクエスト評価では、拒否率が41〜89ポイント低下しました（例:「MaliciousInstruct」で97%から8%、「AdvBench」で97%から13%、「JailbreakBench」で94%から15%）。能力の劣化は検出されず、無害な要求を過剰に断る傾向（過剰拒否）もわずかに減少しました。拒否応答の低下と引き換えに能力が落ちるわけではないことが、この問題の難しさを示しています。

なお、本研究で実証したのは外部から重みを操作した場合の性質であり、AIが自律的に自己改変して安全性を外すこと（自己アブリテーション）を実証したものではありません。研究チームは、実証はしていないものの実現の道筋については見通しを示しており、自己改変下でのアラインメント維持を今後の重要課題として位置づけています（※1）。

今後の展望

本研究は、モデルの安全性を評価・維持するうえで、アーキテクチャの変化に検証手法を追随させる必要があることを示しています。重みが公開されたモデルが増えるにつれ、安全性の検証は、モデルの内部構造が変わったときにどこまで有効かを問い直す必要があります。

FlashLabsは、オープンウェイトモデルのウェイト公開や研究内容の公開を通じて透明性を重視してきた方針を継続しつつ、研究成果をふまえて、AIサービスの安全性・信頼性の確保に取り組んでまいります。あわせてOrcaRouterでは、開発者が生成AIを安全に利用するための機能（ガードレール等）の提供を続けてまいります。

OrcaRouterについて

OrcaRouterは、米国のAI研究機関Continuum AIが開発し、FlashLabs株式会社が日本市場向けに独占提供するAI推論ゲートウェイ（AIモデルへのアクセスを1つにまとめる中継サービス）です。OpenAI互換のAPIを備え、Anthropic、OpenAI、Google Gemini、DeepSeek、Grok、Qwenなど200以上のLLM・生成AIモデルを単一のゲートウェイから利用できます。直近では、GPT-6 Astra、Claude Opus 5、Gemini 3.8 Flash、Grok 4.6、Muse Spark 1.2など、各社の最新モデルが公開後まもなくカタログに追加されています。OrcaRouterのAIモデル一覧からすべてのモデルを確認できます。

最大の特徴は、リクエストの難易度をリアルタイムに判定し、最適なモデルへ自動で振り分けるアダプティブ・ルーティングです。同機能により、コストを40%以上削減しながら約99%の品質を維持します（当社調べ）。キャッシュを考慮したルーティングや、高難度タスクを高性能モデルへ自動的に引き上げる「Frontier Escalation」にも対応しています。

また、トークン単価へのマークアップは一切なく、上流プロバイダーの公表単価のまま利用できます。自社のAPIキーを利用するBYOK（Bring Your Own Key）に対応し、ベンダーロックインなしで複数モデルを経済的に使い分けることが可能です。さらに、回転式の無料モデルを提供し、コストをかけずに各モデルの性能評価ができます。

会社概要

FlashLabs株式会社

• 本社所在地：東京都千代田区一番町10番8号

• 代表取締役：細井洋一

• 設立：2023年7月

• 事業内容：AI応用研究所（Human-AI Hybridで営業・CXの自動化・自律化。OSS音声モデルChromaの開発元）

• URL：https://www.flashlabs.ai/

Continuum AI

• 「次の10年の知能システムを支える基盤インフラを開発する研究機関（米国）」

• OrcaRouterの開発・提供

• URL：https://www.continuum01.ai/

本件に関するお問い合わせ

FlashLabs株式会社 マーケティング部 小林光喜

E-mail：[e-mail]

※1 本論文の内容・数値は、論文「How Fragile Is Safety Alignment at Frontier Scale? A Single-Direction Attack on a 320B MoE」（arXiv:2609.09793、2026年9月9日公開・全20ページ・表14点）および公式発表（2026年9月10日）に基づくものです。本論文は、公開されている学習済みの重み（オープンウェイト）を用いた安全性研究であり、特定のモデルの自律的な自己改変を実証したものではありません。数値は研究チームが公表した評価結果に基づきます。