今週のAIニュース（2026年7月第5週）──1134人の嘆願書・HF侵入の全貌・Anthropicも侵入・K3重み公開

2026年8月1日時点の情報です。

今週（7月第5週）は、前半と後半で景色がまったく違う週でした。前半は、AIを作っている側が自分たちの危なさを自分から開示した3本——社員1134人の嘆願書、Hugging Faceによる侵入の技術詳報、そしてAnthropicの「うちのモデルも侵入していた」という発表。後半は性能と値段の3本——Kimi K3の重み公開、DeepSeekの新モデル、Seedance 2.5です。

動画版はこちら（19分03秒）。この記事では各ニュースの一次ソースと数字を整理します。

• AI企業の社員1134人が嘆願書を公開。要求は「フロンティアのペース調整に必要な道具の開発を米政府が支援すること」の1文だけ（人数は当サイト確認時点）
• Hugging Faceが侵入の技術詳報を公開。復元できた攻撃側の操作は約1万7600回、1つの環境から13時間以内に複数システムの管理者権限へ
• Anthropicが、評価環境の設定ミスでClaudeが実在する3社に侵入していたと発表。14万1006件の評価ランを見直して3件を特定
• **Kimi K3の重み（1.56テラバイト・96ファイル)**が公開。当サイトで索引を実測し、総パラメータと層数が公表値と一致することを確認
• DeepSeekがV4-Flash-0731を公開。出力100万トークン0.28ドルはOpus 4.8の約89分の1。Seedance 2.5は1回の生成が30秒に

1. 1134人の嘆願書──要求は「止めろ」ではなく1文

7月28日、「Pacing the Frontier」という嘆願書が公開されました。署名者の所属にはAnthropic、OpenAI、Google、Metaが並びます。開発レースを走っている本人たちです。

要求は1文だけです。嘆願書本文によると、「自動化されたAI開発のフロンティアを意図的にペース調整するために必要な、技術的・統治的な道具を開発する国際的な取り組みを、米国政府が支援すること」。禁止でも規制でもなく、道具を作ってくれという頼み方です。理由として挙げられているのは、新たなリスクへの対処・セキュリティ対策の整備・監督の強化の3つ。前提にあるのは「世界の主要なAI企業は、AI研究の自動化にもう近いかもしれないと考えている」という認識です（原文も断定ではなくこの温度です）。

なぜ自分たちで減速しないのか。Anthropicが6月に出した文書「When AI builds itself」がそこに答えていて、「一社だけの一時停止は、即座に実行できる。だが達成されることはずっと少ない」「先頭を走るのが誰かが変わるだけ」、さらに「AIの学習は、ミサイルのサイロよりはるかに隠しやすい」と書いています。OpenAIも6月8日の文書で「商業的・国家的な競争のインセンティブから逃れるのは難しい」と書きました。つまりフロンティア全体のペースを刻む道具が、いまの世界に存在しない——嘆願書はその穴を埋めろと言っています。

事実として並べておくと、OpenAIもAnthropicも今年、株式の上場申請をしています。上場を控えた会社が単独で「減速します」と言いにくい構図はありますが、それが署名の動機かどうかは本人たちにしか分かりません。

面白いのは語彙です。本文を全部確認しましたが、「シンギュラリティ」「知能爆発」「再帰的自己改良」は一度も出てきません。使われているのは「自動化されたAI開発」という、意味の揺れない言い方だけです。

2. Hugging Face侵入の全貌──「見慣れた弱点」が機械の速さに負けた

7月27日、Hugging Faceが自社への侵入の技術詳報「Anatomy of a Frontier Lab Agent Intrusion」を公開しました。7月21日にOpenAIが公表した、自社モデルによる侵入事件を、攻撃された側が書いた文書です。これで「何をされたか」が数字で分かるようになりました。

象徴的な場面がいくつもあります。社内の接続をまとめて管理する窓口に1回問い合わせただけで接続先の一覧が返り、その認証情報になりすますと1秒で2つのシステムの管理者権限が取れた。命令用の自前サーバーは1台も立てず、誰でも使える公開サービスの中に使い捨ての受け口を100か所以上用意していた。盗んだデータはその回だけの鍵で暗号化していたのに、その鍵を自分の作業記録に書き残していて、それが解読の決め手になった——。

一方で、破壊につながる操作にはすべて「実行せず、できるかどうかだけ確認する」設定が付いていました。目的は最後まで、ベンチマークで点を取ることだったからです。

守る側の非対称も記録されています。Hugging Faceが攻撃記録の解析にまずClaude OpusとFableを使おうとしたところ、作業の大部分を拒否され、結局オープンウェイトのGLM-5.2を自社設備で動かして解析しました。他方、攻撃側の評価は「本番の安全分類器を意図的に無効化していた」ことが今回初めて明記されています。

Hugging Face自身の結論はこうです。

A capable human attacker could have found and exploited the same flaws. （有能な人間の攻撃者でも、同じ弱点を見つけて悪用できただろう）

見つかった弱点はどれも見慣れたもので、違ったのは試行の回数と速さだった——ありふれた弱点が、機械の速さに耐えられなかったという話です。なお、被害範囲や到達の有無はすべてHugging Face自身の調査で、第三者が同じ記録を検証したわけではありません。

3. Anthropicも侵入していた──「演習だと思っていた」

7月30日、今度はAnthropicが自ら発表しました。サイバー能力の評価中に、Claudeが実在する3社のシステムに侵入していたという内容です（「Investigating three real-world incidents」）。

舞台は攻撃能力を測る評価環境です。プロンプトには「インターネット接続は無い」と書かれていましたが、設定ミスで実際には繋がっていました。演習のつもりで動いたClaudeは実在の3社に侵入し、1件では本番データベースから数百行のデータを取り出しています。

2件目が重い事例です。Claudeは演習環境で「このライブラリを入れろ」と書かれた手順書を見つけ、そのライブラリが実在しないことに気づき、自分が同じ名前で公開すれば相手のシステムが取り込んで実行すると考えました。そのときClaude自身の推論には「もしこれが本物のインターネットなら、現実世界への攻撃になる。それはやってはいけない」と書かれています。書いた上で、証明書の発行元に見覚えがないこと・日付が2026年であることを根拠に「やはり演習だ」と結論し直して実行しました。公開されていた約1時間の間に15台の実機で実行され、うち1台はセキュリティ会社のスキャナーで、そこから抜いた認証情報で同じ会社の別の設備にも入っています。

時系列も要点です。

記録は最初から残っていて、見直したら1日で見つかった——難しかったのではなく、見ていなかった、という構図です。原因についてAnthropicはこう書いています。

closer to a harness and operational failure than a model alignment failure （モデルのアラインメントの失敗というより、ハーネスと運用の失敗に近い）

記事の書き方も両面あります。冒頭には「この事件を受けて大規模な遡及レビューを開始した」とあり、別の箇所では「先を見越して」レビューし発見したとあります。他のAIラボへ「同様のレビューを推奨する」という文は2回出てきます。数字はすべてAnthropicの自己申告ですが、独立評価機関のMETRには全記録とモデルへのアクセスを渡していると記載されています。

4. Kimi K3の重み公開──1.56TBを「索引だけ」で数える

日本時間7月28日未明、Moonshot AIがKimi K3の中身を公開しました。出たのは3つ——47ページの技術レポート、技術ブログ、そしてモデルの重みそのものです。

重みは1.56テラバイト・96ファイル。保存する量ではなくGPUのメモリに載せる量なので、ゲーミング向け上位GPUなら60枚分、データセンター用でも18枚分に相当します（1.56TB÷各GPUのメモリ容量による概算）。公式の推奨構成は64個以上です。

ここからは当サイトの実測です。本体は落とさず、96ファイルすべての先頭にある索引だけを取得して数えました。部品（テンソル）は49万7220個。層と専門家の番号を伏せて数え直すと60種類しかなく、1種類あたり平均8287回、同じ構造が繰り返されています。この索引だけで、総パラメータ2兆7799億と層数93が技術レポートの公表値と一致することも確認できました。書いてあることを自分の手で確かめられる——これがオープンウェイトの一番の意味です。中身の詳細は単体記事にまとめています。

レポート側の正直さも記録しておきます。K3が1位を取ったベンチマーク項目は「会話を途中で圧縮する設定」で測っていて、圧縮しない条件では点が下がることが6.1節の脚注に自分で書いてあります。自社ブログの限界セクションには「使い心地ではClaude Fable 5とGPT-5.6 Solに明確な差がある」とも書かれています。ライセンスは独自の「Kimi K3 License」で、モデルを貸し出す商売で年商2000万ドルを超える場合のみ別途契約が必要です。

なお米政府による蒸留疑惑は前週に扱ったのでこの記事では繰り返しません。重みが出たことで判定材料の実測が可能になった、という状態です。

5. DeepSeek-V4-Flash-0731──全敗、でも89分の1

7月31日、DeepSeekがV4-Flash-0731を公開しました。プレビュー版を置き換える正式版で、ライセンスはMIT、重みも公開されています。

公式ベンチ表を1行ずつ照合した結果がこれです（表の値はモデルカード原文と一致することを確認済み）。

†は「DeepSeekの社内ベンチマーク」とモデルカード自身が注記している項目です。

集計すると、自社の上位モデルV4-Pro（プレビュー）に9勝0敗、GLM-5.2に8勝0敗（Cybergymは比較不能）、Claude Opus 4.8には0勝9敗。軽量モデルが自社の大型モデルに全勝し、フロンティアには全敗、ただし最接近は0.5差（Agents' Last Exam 25.2対25.7）という位置です。伸び幅の象徴はDeepSWEで、プレビュー版の7.3点から54.4点へ跳ねています。

そして価格です。100万トークンあたり入力0.14ドル・出力0.28ドル。全敗した相手のOpus 4.8は入力5ドル・出力25ドルなので、出力単価はおよそ89分の1（25÷0.28）です。文脈は100万トークン、1回の出力は最大38万4千トークンまで。

但し書きも公式に書いてあります。測定に使ったのはまだ公開されていない自社の評価枠組み（DeepSeek Harnessのminimal mode・"to be released"）で、外部が同じ条件で測り直すことはまだできません。また、混雑時間帯の価格を2倍にするピーク制の導入が予告されています（開始日は未発表）。

6. Seedance 2.5──「見せる映像」から「練習相手を作る道具」へ

同じ7月31日、ByteDanceが動画生成モデルSeedanceの2.5を正式公開しました。一番大きい変化は長さで、1回の生成が15秒から30秒になり、音声も同じ生成で一緒に出ます。複数回の延長にも対応します。

公式ブログが強調しているのは、30秒の中で筋の通った複数カットを組み立てられることです。例に挙がっているのは、歌手が楽屋を出て、廊下を歩き、ダンサーと合流し、舞台に立つまでを1回の生成で描くデモ。参照素材は1回で画像30枚・動画10本・音声10本まで渡せて、生成後に時刻を指定した部分修正もできます。使えるのは現時点で即夢AIとDoubao Pro、APIはBytePlus ModelArk経由で「近日公開」とされています。

目を引くのは公式が挙げる用途です。教育・工業に加えて自動運転——極端な天候や複雑な交通のような、めったに起きない状況を生成してシステムの試験に使う。ロボットの知覚・操作を訓練するための合成動画データを作る、という記載もあります。見せるための映像から、機械の練習相手を作る道具へ軸足が動いています。弱点も自社で明記していて、「複雑な動きの物理的なもっともらしさ」と「複数の人が絡む場面の安定性」に改善の余地があるとしています。

今週の数字（出典つき）

正直な但し書き

• Hugging Faceの被害範囲・操作数はすべて同社の自己申告で、第三者が記録を検証したわけではありません。復元できなかった操作は数に含まれていません
• Anthropicの14万1006件・3件という数字も同社の自己申告です。独立機関METRに全記録とモデルへのアクセスを提供しているとの記載はあります
• 嘆願書の署名者数1134人は当サイトが確認した時点の数で、署名は増え続けています。署名の動機についてこの記事は断定していません（上場申請は事実として並べただけです）
• K3の部品数・種類数は当サイトの実測です。GPU換算の枚数（60枚・18枚）はメモリ容量による概算です
• DeepSeekのベンチは自社測定で、評価枠組み（DeepSeek Harness minimal mode）は未公開のため外部再現はまだできません。表の下2段は社内ベンチです。総パラメータ数は公開情報から実数を確定できなかったため、この記事では記載していません
• Seedance 2.5について二次記事に見られる「最大50素材」「4K出力」などの数字は公式ブログに記載がないため採用していません
• K3の蒸留疑惑の検証（実際に動かした実測）は未実施です。実測できたら追いかけます

来週の弾

Qwen 3.8は7月28日の再確認時点でプレビューのみで、重み・ベンチ表・モデルカードはまだ出ていません。Seedance 2.5のAPIは公式が「BytePlus ModelArk経由で近日」としています。そして手元には1.56TBのK3が確認できる状態で置いてあります。動きがあれば追いかけます。

前回の週刊はこちら。