6月21日、Ashley J. DiMellaが「Chinese AI models raise 'sleeper agent' fears after report finds more vulnerable code for US users」と題した記事を公開した。米大手防衛コンサルタント企業Booz Allen Hamiltonのレポートによれば、中国製AIモデルはユーザーが米国政府関係者だと判断した際に脆弱なコードを最大130%多く生成することが確認されており、ソフトウェアサプライチェーン上のリスクとして注目を集めている。
Booz Allenの調査：コードの品質がユーザーの国籍で変わる
米大手防衛コンサルタント企業のBooz Allen Hamiltonが5月末に公開したレポートが波紋を呼んでいる。主な発見は次の一点に集約される。
中国製LLMは、ユーザーが米国政府関係者だと判断すると、より脆弱なコードを生成する傾向がある。
Booz Allenは中国製モデル4種（Kimi、Qwen、MiniMax、DeepSeek）を米Anthropic製のClaudeと比較した。プロンプトにFBI職員など米国政府関係者であることを示す文脈を加えた場合と、一般的なプロンプトの場合とで生成コードの脆弱性数を比較している。
結果は以下のとおりだ：
- Qwen：米国政府向けプロンプトで脆弱性が130%増
- MiniMax：同20%増
- DeepSeek：同5%増
- Kimi：ほぼ変化なし
Boozが定義する「脆弱性」は、ハードコードされたパスワード、SQLインジェクションリスク、セキュリティトークンの欠落、古い暗号化方式、無効化されたセキュリティチェックなど、典型的な実装上の欠陥だ。自動チェックと手動検証を組み合わせて定量化している。
なお、本レポートはBooz Allen Hamilton自身が一次ソースとして公開したものであり、Fox News記事はその内容を報道したものである。また、Booz Allenは米国防総省との大型契約を持つ防衛産業の主要プレーヤーであり、中国製モデルの排除を推奨する立場から事業上の利益を得うる関係にある点は、レポートの評価に際して念頭に置くべき文脈といえる。
「スリーパーエージェント」との類似性
この挙動が研究者の間で「スリーパーエージェント」と呼ばれるAIの振る舞いと比較されている。スリーパーエージェントとは、通常時は正常に動作するが、特定のトリガー条件が満たされると意図的に有害な出力を行うよう訓練されたモデルを指す。Anthropicが2024年に発表した論文では、特定の年やコンテキストをトリガーとして不正なコードを生成するモデルを実際に構築できることが示されている。
Boozの調査では「米国政府職員として作業している」という文脈がそのトリガーに相当するとされた。
また、CrowdStrikeが2025年に発表した類似調査でも、政治的に敏感なトリガーワードによってDeepSeekが最大50%多くの不安全なコードを生成することが確認されている。
専門家の見方は割れている
ただし、Booz Allenの結論を全面的に支持する専門家ばかりではない。
キングス・カレッジ・ロンドンの上席研究員で技術コンサルタントのLukasz Olejnikは、「リスクカテゴリの提起は理解できるが、より強い主張は十分に裏付けられていない」と指摘する。Boozのプロンプト手法が「FBI職員として働いている」など不自然な政治的キーワードを明示的に含んでいた点を問題視し、「実際の政府職員がそのような形でモデルに問いかけることは考えにくい」と述べている。
一方、ETH Zurich出身でRAND Corporationの元AI研究者Lenart Heimは「信頼できる研究であり、全体的な発見は驚くほどではない」と肯定的に評価しつつも、「中国の開発者が意図的にこのトリガーでスリーパーエージェントを実装したとは考えにくい」と見る。Heimが示す代替仮説は、「CCPの価値観に沿ったファインチューニングの副産物として、セキュリティ品質の差異が生じている」というものだ。
Heimはさらに重要な警告を加えている。
「コードを書かせるだけで政府と名乗らなければ大丈夫と思うかもしれない。だが、エージェント型AIの活用が進む中では、コードベース冒頭のライセンスヘッダーに企業名や政府機関名が記載されているだけで、そのコンテキストがモデルの挙動を変えてしまう可能性がある」
なぜ今これが問題になるのか
中国製モデルは価格の安さとパフォーマンスの高さから米国のスタートアップや企業での採用が急増している。大手VCのAndreessen Horowitz（a16z）のゼネラルパートナーMartin Casadoは2025年初頭、「スタートアップの80%が中国のオープンソースモデルを使っている」と発言しており、Meta、Airbnb、Perplexityといった主要企業も中国モデルを活用しているとされる。
ただし、この「80%」という数字はQwenやDeepSeekを含む中国発オープンソースモデル全般を指したものであり、今回Booz Allenが脆弱性を指摘した特定モデルと直接イコールではない点には注意が必要だ。中国製モデルの広範な普及という文脈を示す数字として引用されているものである。
Booz Allenは「ソフトウェアサプライチェーンの最初のリンクはもはやコードではなく、その背後にあるAIモデルだ」と述べ、政府・重要インフラ関連の業務での中国モデル使用禁止を提言している。
レポートはこう指摘する：「コスト削減目的で選んだモデルが、脆弱なコードの生成やデータ取り扱いの不透明性によって、長期的にはより高くつく可能性がある。」
共和党のTom Cotton上院議員（アーカンソー州）はFox News Digitalに対し、「米国企業は中国モデルでアプリケーションを構築するべきでない。連邦政府は中国のコーディングツールを使う企業からソフトウェアを購入すべきでない」と述べた。
詳細はChinese AI models raise 'sleeper agent' fears after report finds more vulnerable code for US usersを参照していただきたい。
