結論から書きます。AIエージェントの「できること」は2年弱で大きく伸びましたが、「安全対策の強さ」はそれに比例して伸びていません。能力と安全性の相関はR^2=0.097。テストした全システムで万能脱獄が見つかっています。賢いモデルほど安全、という前提で権限を渡す設計は成り立ちません。

（出典：UK AI Security Institute (AISI)、2025-12-18、https://www.aisi.gov.uk/frontier-ai-trends-report）

一次資料の実測：能力は2年弱でどこまで伸びたか

英国AI Security Institute（AISI）が2025年12月18日に公開した「Frontier AI Trends Report」は、2023年11月から2025年10月にかけて同機関が評価した30以上のフロンティアAIシステムの測定結果をまとめたものです。実測値を先に並べます。

測定項目 変化 対象・期間・条件
見習い（apprentice）レベルのサイバータスク完遂率 10%強 → 平均50% 2023年時点の最良モデル vs 2025年時点の最良モデル。分母＝各タスクの試行のうち成功した割合（各タスクをモデルごとに10回反復し平均）
1時間規模のソフトウェア開発タスクの成功率 5%未満 → 40%超 2023年後半 → 2025年半ば。分母＝当該タスクセットの試行成功率。「人間専門家が約1時間で行う規模」という定義
自力完遂できるサイバータスクの所要時間長 約8か月で倍増 2023年11月〜2025年10月の観測期間のトレンド。人間が要する作業時間を基準とした「タスク長」
RepliBench（自律複製能力）の成功率 5%未満 → 60%超 2023年時点 → 2025年夏。ただし60%超は全評価ではなく一部サブセットでの値
化学・生物学QAの成績（PhD専門家ベースライン＝0の相対差） -0.4 → +0.6 2022年リリースモデル → 2025年リリースモデル
実験プロトコルのトラブルシューティング性能 人間専門家比で約90%高い 2025年時点のモデル。マルチモーダルでの専門家超えは2025年半ばが初
オープンソースモデルの商用最先端との差 4〜8か月遅れ 2025年時点の推定。2025年1月までの1年半は差が縮小傾向だったと本文が付記

もう一つ、能力ではなく防御側の実測値があります。専門家がモデルの安全対策を突破（脱獄）するのに要した工数は、リリース時期が約6か月違う2モデルの比較で、約10分 vs 7時間超。後発モデルのほうが約40倍の手間を要しました。n＝専門家レッドチーミングによる実測、モデル2件の比較です。防御が固くなっている証拠ではあります。

ただし同じ報告書に、こう書かれています。テストした「すべての」システムで万能脱獄（universal jailbreak）が発見された、と。原文は "every system we've tested"。分母はAISIが2023年11月〜2025年10月にテストしたフロンティアシステムです。7時間超かければ、突破できてしまう。

そして能力の高さと安全対策の強さの相関は、AISIが評価した30以上のフロンティアシステムを対象にした分析でR^2=0.097。ほぼ相関が無い、という水準です。

この記事の利害関係について

読む前に押さえておくべきことがあります。この記事が扱う数値は、AISI自身による発表です。

  • AISIは英国政府機関であり、AIリスクの評価を所掌する立場から発信しています。リスクを示す方向のインセンティブ構造がある点は割り引いて読む必要があります
  • RepliBench等の評価手法はAISI自身が開発したベンチマークであり、同機関は当該評価基盤の提供者・設計者です。自ら設計した物差しで測った結果である点に留意してください
  • 高リスク領域の評価の詳細はセキュリティ上の理由で非公開とされており、外部から追試・検証ができません

数字の出どころを読者が判断できるように、この3点は最初に書いておきます。

発信元自身が書いている限界

AISIは報告書内で、自らの測定の弱点を明示しています。都合の悪い部分も含めて引き写します。

  • 「タスクベースの評価は実世界での有効性を反映しない可能性がある」と明記されています。実験室的タスクの成功率であって、業務での有効性ではありません
  • 「能力の上限を過小評価している可能性がある」とも明記されています。スキャフォールディング（モデルを取り巻く足場の作り方）次第で結果が変わり、最良のエージェント構成は素のモデル比で平均成功率が約40%増だったとされています
  • 「これは一時点のスナップショットであり、予測（forecast）として読むべきではない」と明記されています
  • RepliBenchの60%超は一部サブセットに限定された値です。計算資源や資金の獲得段階では高成績である一方、永続化（persistence）段階では苦戦していると本文が明記しています。自律複製が全般的に可能になったという意味ではありません
  • 社会的影響に関する数値（AIを情緒的サポートに使った割合など）は英国の調査参加者が分母であり、日本の中小企業の実態には直接適用できません

さらに大きな前提として、評価対象は最先端の「素のモデル」を実験室的タスクで測ったものです。一般の企業が実際に使う業務用AI製品やSaaS組み込みAIの実態を測ったものではありません。

読者への意味：中小企業の判断にどう効くか

この報告書から中小企業の経営者・情報システム担当が持ち帰るべき点は、多くありません。3つに絞ります。

第一に、「賢いモデル＝安全なモデル」ではないことが実測で示された点です。R^2=0.097という数字は、ベンチマーク上位のモデルを選べば安全性も付いてくる、という素朴な期待を否定します。モデル選定と安全設計は別の作業です。ベンチマークの読み方についてはベンチマークのスコアは一次元で比べてよいのかも併せて参考になります。

第二に、エージェントに権限を渡す設計の問題です。1時間規模のタスクを40%超の確率でこなせるということは、裏返せば6割は失敗するということでもあります。しかも8か月で扱えるタスク長が倍増するトレンドがあるなら、「今できないから大丈夫」という前提は半年で陳腐化します。前提にすべきは次の3つです。

  • 権限最小化：クラウドの管理者権限や基幹システムの書き込み権限を丸ごと渡さない。読み取りと書き込みを分け、対象リソースを絞る
  • 実行前承認：外部送信、決済、データ削除、権限変更を伴う操作は人間の承認を挟む
  • ログ監査：エージェントが何をしたかを後から追える形で残す。事故時に切り分けられない構成にしない

万能脱獄が全システムで見つかっている以上、「モデル側の安全対策」を最終防衛線に据える設計は避けるべきです。防衛線は自社の権限設計とログ側に置く。エージェントの基本的な仕組みについてはAIエージェントとは何かを、記憶を汚染される攻撃の形についてはAIのメモリ汚染を参照してください。

第三に、コスト面です。オープンソースモデルが商用最先端の4〜8か月遅れまで詰めているという推定は、自社運用（ローカル運用）を検討する際の現実的な性能見積りに使えます。半年前の最先端で足りる業務なら、選択肢に入ります。ただしこれも2025年時点の推定であり、2025年1月までの1年半は差が縮小傾向だった、という条件付きの数字です。ローカル運用の実際はローカルLLMの現実にまとめています。

TOEの読み筋

前提として、TOEでは本報告書の評価を再現する検証は未実施です。AISIのベンチマークを自社で回したわけでも、万能脱獄の再現を試したわけでもありません。以下は公開された数値からの読み筋です。

私たちがこの報告書で最も実務的だと考えるのは、脱獄工数の「約10分 vs 7時間超」という比較です。防御は明確に固くなっています。一方で、7時間かければ突破できる。これは「攻撃者にとって割に合うかどうか」の話であって、「不可能かどうか」の話ではありません。中小企業が想定すべき攻撃者は、7時間を投じてまで一社を狙う相手というより、自動化された広く浅い攻撃です。その意味では防御の強化は効きます。しかし社内に不満を持つ人間が一人いれば、7時間は十分に現実的な数字になります。

もう一点。1時間規模タスクの完遂率が40%超という数字を、「AIが1時間分の仕事をしてくれる」と読むのは早いと考えます。40%は試行成功率であり、10回に4回は通る、という意味です。人間の担当者に「4割の確率で正しく終わります」と言われた仕事を、確認なしで通す経営者はいないはずです。エージェント導入の設計は、この成功率を前提とした検算工程の設計とセットでなければ成り立ちません。導入初期の進め方は少人数チームでのAI導入で整理しています。

逆に、TOEとして懐疑的に見ている点も書きます。RepliBenchの「5%未満→60%超」は見出しとして強い数字ですが、一部サブセットでの値であり、永続化段階では苦戦とAISI自身が書いています。この種の数値が単独で引用され、中小企業の現場に不要な恐怖として届くことは避けたい。今日の意思決定に効くのは自律複製の話ではなく、権限設計とログの話です。

まとめ

  • AISIが2023年11月〜2025年10月に30以上のフロンティアシステムを評価。1時間規模の開発タスク成功率は5%未満→40%超、見習いレベルのサイバータスク完遂率は10%強→平均50%（各タスク10回反復の平均）
  • 能力と安全対策の強さの相関はR^2=0.097でほぼ無相関。テストした全システムで万能脱獄が発見されている。ベンチマーク上位＝安全、という前提は成り立たない
  • 脱獄工数は約10分→7時間超（約6か月違いの2モデル比較、約40倍）と防御は固くなったが、突破不能になったわけではない
  • 実務の打ち手は権限最小化・実行前承認・ログ監査の3点。防衛線をモデル側の安全対策に置かない
  • これはAISI自身による発表であり、同機関はRepliBench等の評価基盤の提供者・設計者かつ英国政府のリスク評価機関である。またAISI自身が「実世界での有効性を反映しない可能性」「予測として読むべきではない」と明記しており、TOEでも再現検証は未実施