AI は、ほとんどすべての人に、ほとんどすべてのことを、専門家レベルで教えることができる。危険なのは情報ではない。合成経路は教科書に、悪用方法はセキュリティコースにあり、それらの情報は数十年前に流出している。危険なのは、能力、つまり行動する力であり、それが以前は行動できなかった誰かの手に渡ることだ。本は、誰に対しても同じことを伝え、どこでつまずいたかを見ることはできない。モデルは、あなたが失敗するのを見て、あなたが見逃したステップを修正し、エージェントとして動作するときは、タスクを説明するのをやめて、それを実行する。かつては希少で、高価で、あなたを拒否することも自由だった家庭教師が、今では無料で、疲れを知らず、無関心になった。
誰かが、その家庭教師が何を、誰に教えることを許されるかを決めなければならない。問題となる規模において、その誰かは主権者であり、制限を設定し、それを堅持する力を持つ主体である。研究所は社内ルールを設定できる。拘束力のあるルールを設定できるのは国家だけであり、2026年6月、ある国家がそれを実行した。
制限をうまく設定するには、特定の能力がどれほど危険かを知りたいと思うだろう。しかし、それは不可能だ。重要な数字は「向上（アップリフト）」、つまりモデルがそれを欠いていた人に何を加えるかであり、その人が検索エンジンと自身のトレーニングですでにできたことと比較して測定される。知識テストでの高得点は、真の障壁が決して知識ではなかった場合、向上ではない。そして、私たちが最も恐れるケース、稀で破滅的なケースには、ほとんどデータがない。決定に必要な数字は、誰も入手できない数字なのだ。
物事を測定できないとき、最も声の大きい解釈が勝つ。米国は Anthropic に対し、最も高性能な 2 つのモデルを引き揚げるよう命令し、同社は数時間以内に世界中でそれらを停止した。その根拠は、実証された 1 件のジェイルブレイクと、競合する利害関係を持つ単一の情報源に基づく報告書だった。そのモデルは、1000 時間のレッドチーミングと同社自身の安全基準を通過していた。競合他社からの電話と規制当局の命令により、5 日間で引き揚げられた。それを慎重さと呼びたければ呼べ。それは、慎重さの仮面をかぶったレバレッジ（影響力行使）だった。
その根底にある誤りは、この分野のほとんどに浸透している。人々は、危険の大きさを、その危険が現実であると信じる理由として扱う。この 2 つは異なる。それが真実だった場合にどれほど悪いかは、それが真実かどうかについては何も教えてくれない。破滅的な downside（悪い結果）は、行動する前にさらなる証拠を求める理由であり、少ない証拠で行動する理由ではない。深刻さはハードルを上げる。ハードルをクリアするわけではない。Fable 命令は、恐ろしい downside を、薄っぺらい証拠で行動する許可として読み替え、その動きは責任ある行動として受け入れられる。だからこそ、それに注意しなければならない。
レバレッジよりもうまくやりたいと考える主体には、2 つのツールがあり、それぞれ異なる役割を果たす。
第一のツールは、信念を測定する。リスクは測定できないからだ。その能力が実際の害を及ぼすという最も強力な主張と、及ぼさないという最も強力な主張を構築し、その競争に耐えたものに基づいて行動する。証拠が乏しい場合、確信は薄く、そうであると認める。証拠が確固たる場合、獲得した自信を持って行動する。downside の大きさは、行動する前にどれだけの証拠が必要かを決定する。決して、それを見ることの代わりにはならない。
第二のツールは、制約によって制限する。ほとんどの安全フレームワークはリスクをドメインごとに分類する。化学は一つの箱に、サイバーは別の箱に、生物学は三つ目の箱に。そして脅威は隙間からすり抜ける。これが、化学兵器や生物兵器のために作られたフレームワークを、サイバーの問題がすり抜けた方法だ。代わりに、各能力を、それを阻むものによって位置づける。知識、実践的なスキル、材料、またはアクセスを管理する者。知識によってのみ阻まれている能力は緩く、モデルがそのブレーキを外すため、すぐに危険なものとなる。材料や実験室のスキルによって阻まれている能力は、そのドメインに関係なく、依然として拘束されている。制限を、脅威を束縛するものに合わせて設定すれば、隙間をすり抜けるものは何もない。
この 2 つのツールは、主体に制限をどこに設定すべきかも教える。能力はモデル内に保持し、誰かがそれを持つ正当な理由がある場合（それはほとんどの場合である。なぜなら、攻撃者が欠陥を見つける力を与える能力は、防御者がそれを修正する力も与えるからだ）、使用時点でゲート（出入り口）を設定する。主体が、誰も決してそれを持つべきではないと判断した場合のみ、モデルから削除する。削除は、攻撃者のツールとともに防御者のツールも奪うからだ。前者は、「誰に」という問いを生かし続ける。後者は、「誰にも」という答えを与える。
このどれもが、自由な能力を安全にするわけではない。能力は重み（weights）の中に存在し、モデルを一緒に持っていかなければそこから出すことはできない。したがって、制限はアクセスをゲートし、信念を評価し、空間を限定するが、それらの一つ一つは漏れ出る。この手法は安全性を買うわけではない。それは、問題が緊迫したときに、その場で最も声の大きい者ではなく、証拠と構造に基づいて下された決定を買うのである。
能力は自由だ。その部分は決着している。未解決の問いは、それが何を、誰に教えるかを誰が決定するのか、そして、彼らが獲得した信念を持つ権利のあるものを評価することによって決定するのか、それとも最も近いレバーに手を伸ばすことによって決定するのか、である。主体を名指せ。主体を手法に従わせよ。
