暗号化推論の兄弟モデル漏洩

そーくん
暗号化推論の漏洩問題、ネットでかなり話題ですね。
ボス
AIの裏側の仕組みに関わる話だから、波紋が大きいね。
そーくん
そもそも何が起きたのか、具体的に気になります。
ボス
まずは時系列で、拡散のきっかけを追ってみよう。

何が起きたか

拡散の起点2026-08上旬〜11
研究者が暗号化推論の復元手法を公開
強モデルの暗号化CoTを弱モデルへ再投入して復元。31万件超の公開ブロック解析で認証情報も見つかったと報告。
2026-08-12 朝
日本語まとめが拡散
3社共通の構造問題として解説され、業務利用時の機密度見直し論が出た。

そーくん
暗号化されてるから安全、じゃなかったんですね。
ボス
そこが一番のショックだったみたいだね。
そーくん
今どういう見方が主流なのか、整理したいです。
ボス
主流の意見とそれ以外の視点、双方を並べて見よう。

議論の現在地

主流派の視点: 「暗号化すれば安全」だった推論過程が、同系列の弱いモデル経由で読めるなら監視と漏洩対策の前提が揺らぐ
その他の視点: Opusの思考がHaikuから出る、という比喩
公開ログにしか無い認証情報
各社が漏洩部分を対策済みとの注記
業務での機密度見直し
目立つ論者: セキュリティ要約アカウント
企業AI導入コンサル
研究一次ソース共有層

そーくん
ユーザーの反応って、やっぱり不安が多いんでしょうか。
ボス
ネガティブな警戒感が半数近くを占めているよ。
そーくん
どのくらいの割合で意見が割れてるか知りたいです。
ボス
世論の具体的な分布データを確認してみよう。

世論の分布

意見陣営別シェア(推定レンジ)

Xサンプル上の可視的な言論に占める割合 · 下限—上限

構造欠陥警戒派40–55%
研究報告・対策済派25–40%
監視限界問題化派10–20%

推定下限推定上限

ポジ / 中立 / ネガ集計

陣営をスタンス別に統合 · 積極肯定はほぼ無く、残余をポジ枠に配置（最大セグメントで端数調整済）

10%

35%

55%

ポジティブ 5–15%中立 25–40%(研究報告・対策済派)ネガティブ 45–65%(構造欠陥警戒派、監視限界問題化派)

テーブルビュー(グラフと同じデータ)

陣営	スタンス	シェア	中心的主張
構造欠陥警戒派	ネガティブ	40–55%	3社共通で破られた時点で設計前提が崩れている。秘密情報を推論に載せること自体が危険(@joho_no_todai、@RIT_yasutake)
研究報告・対策済派	中立	25–40%	重要だがエッジな研究知見。情報漏洩部分は対策済みで、運用で機密度を調整すれば足りる(@KimikoA97936、ニュースまとめ層)
監視限界問題化派	混在	10–20%	安全性の柱が推論監視なら、人の言葉ですらない思考をどう監視するかが本質問題(@joho_no_todai)

そーくん
結局、この技術ってもう使えないレベルなんですか？
ボス
破綻したという声と限定的という声で対立している。
そーくん
どちらの言い分にも一理ありそうですね。
ボス
噛み合っていない議論の争点を見てみよう。

進行中の論争

論点1

暗号化CoTは安全策として破綻したか

A側 · 破綻

兄弟モデル経由で読めるなら利用者は秘密を載せるべきでない

B側 · 限定的

研究上の攻撃面で、漏洩対策と運用制限で管理可能

根拠: @joho_no_todaiの衝撃要約と対策済み注記の併記

主なポスト

joho_no_todai@joho_no_todai·衝撃要約AIの「思考」は暗号化すれば安全だとOpenAI・Anthropic・Google3社とも信じていた。その暗号が3社すべてで破られた。手口は拍子抜けするほど単純で、強いモデルの暗号化された思考をガードの弱い弟分モデルに渡してジェイルブレイクするだけだという Opusの思考がHaikuの口から平文で出てくる。公開ログから復号したパスワードやAPIキーは100件近い。暗号化ブロックの中にしか存在しない認証情報が64件あり従来のログ監査では絶対に見つからない推論の監視がAI安全性の柱なら人の言葉ですらない思考をどう監視するのか3社横断の破綻と認証情報復元を強く打ち出した拡散核

RIT_yasutake@RIT_yasutake·企業実務への接続Anthropic・OpenAI・Googleといった主要なAIプロバイダーは、モデルの推論過程（いわゆる「思考の過程」）を暗号化したブロックとして返す仕組みを採用しています。しかし研究者らは、この暗号化ブロックが同じ提供元内の別モデル（性能が低く安全対策が薄いモデル）にそのまま読み込ませられてしまう脆弱性を発見したと報告しました。この手口では、高性能なモデルを直接攻撃するのではなく、同系列の弱いモデルに暗号化ブロックを渡すことで、そのモデルにブロックを平文で復元・出力させてしまいます。研究チームが公開リポジトリから収集した31万件超の暗号化ブロックを解析した結果、個人情報や認証情報が復元できたことも報告されています。この脆弱性は特定の1社に限った話ではなく、主要なAIプロバイダー各社に共通する構造的な課題として報告されている点が重要です。企業でAIを業務に組み込む際は、AIに扱わせる情報の機密度に応じて利用範囲を見直し、ベンダー選定時にはこうしたセキュリティ対応の状況も基準に加えることが実務的な対応になります。構造問題として機密度見直しを求める導入側の声

編集部まとめ

そーくん
一通り読みましたが、非常に考えさせられる問題ですね。
ボス
ここまでの話を整理すると、議論の本当の焦点が見える。
そーくん
暗号化推論が兄弟モデルで復元できるなんて驚きでした。
ボス
構造欠陥派は、秘密情報を載せる設計自体が危険と見る。
そーくん
3社共通で破られたなら、前提が崩れたと感じますよね。
ボス
一方公式側は、対策済みの研究知見に過ぎないと考える。
そーくん
業務の機密度を適切にコントロールすれば足りると。
ボス
さらに、思考監視という概念の限界を問う見方もあるね。
そーくん
人の言葉でない思考をどう監視するのかという問題ですね。
ボス
ここで気をつけたいのは、今回の分析における注意点だ。
そーくん
日本語での反対意見は、まだかなり少ないんですよね。
ボス
中立的な意見も、対策済みという注記に頼る部分が大きい。
そーくん
復元された件数などの数値も、研究側の主張ベースですしね。
ボス
各社の公式な対応状況も、完全に確認しきれてはいない。
そーくん
事実関係の全体像は、まだ更新中の段階ということですね。
ボス
ネット空間では義憤や危機感が強い情報ほど拡散しやすい。
そーくん
それ、まさに今回の「危険すぎる」という過熱の仕方ですね。
ボス
ごく一部の脆弱性が、全体の大破綻に見えてしまう現象だね。
そーくん
冷静に捉えるには、この先どう読みが変わるかが鍵ですね。
ボス
見解が変わる条件の一つは、事業者の公式発表だ。
そーくん
方式の変更や無効化が公式に出た場合ですね。
ボス
二つ目は、実害となる大規模漏洩が確認された場合だね。
そーくん
理論上のリスクから、実際の被害に発展した時ですね。
ボス
三つ目は、独立した再現実験で範囲が絞られた場合だ。
そーくん
影響が実は限定的だったと分かったパターンですね。
ボス
安全対策が破綻したか限定的か、議論は平行線だね。
そーくん
双方の主張にそれぞれ根拠があって複雑ですね。
ボス
だからこそ過度な恐慌に陥らず、論点を整理することが重要だ。
そーくん
単に騒ぐのではなく、構造を理解することが大切ですね。
ボス
今後はプロバイダ側の具体的な仕様改定に注目するといい。
そーくん
感情的な声に惑わされず、公式のアップデートを追っていきます。

この記事をポスト