「米国製か中国製か」だけではAIのリスクは見抜けない — Ciscoが“来歴の絡み合い”を警告、Qwen由来の痕跡が別ブランドでも検出

Ciscoは2026年8月27日、AIモデルの公開元を「米国製」「中国製」といった国名ラベルで括るだけでは、セキュリティや技術的な独立性を正しく評価できないとする研究結果を公表した。CiscoのAI脅威インテリジェンス・セキュリティ研究チームを率いるAmy Chang氏が執筆し、VAIL（Vermont AI Lab）のManish Shah氏、Jonah Leshin氏、Ankit Garg氏の協力を得てまとめたブログ「The ‘U.S. vs. China’ AI Trap: An Incomplete Proxy for AI Security」で明らかにしたものである。

Ciscoは、AIモデルが重みや学習データなどの依存関係を組織や地理的境界を越えて引き継ぐ状態を**「来歴の絡み合い（provenance entanglement）」**と呼ぶ。最終製品の名前はその連鎖の最後の段階を示すに過ぎず、モデルカード上の公開元や国名だけでは真の技術的来歴は分からないと指摘している。

国名ラベルを検証する — 2つの独立した指紋照合

研究チームは「モデルの公開元と原産国は、技術的来歴を確実に予測できるか」という問いに答えるため、2つの独立したモデル指紋照合手法で検証した。

• Cisco Model Provenance Kit：公開されたモデル成果物を直接調べ、学習済みパラメータ（重み）由来の識別信号で類似度を測り、近傍モデルをグルーピングする手法である。
• VAIL Behavioral Fingerprinting：推論時の振る舞いを外部から指紋化し、振る舞いが似たモデルをグルーピングする手法である。

2つの手法は異なる表面を見ており、スコアを直接比較することはできない。Ciscoは、両者が同じ方向の関係を復元できるかどうかを検証することが重要だと説明している。

検証には、NVIDIAのNemotronファミリーとAlibabaのQwenファミリーを用いた。NVIDIAが一部のNemotronモデルでQwenのベース重みを使っていることを公開文書で明記しており、別のNemotronモデルはNVIDIAやMeta Llamaのベース重みを使っている。この文書化された来歴の順序が、技術的に検出可能かどうかを確かめるのに適した事例だった。

何が分かったか — 別ブランド後も残るQwenの痕跡

両手法とも、Qwenを基にしたNemotronモデルでは、Qwenが最近傍に現れる割合がカタログ全体の占有率を上回った。Ciscoはこれを「ベースレートに対する濃縮」と表現している。

• Cisco Model Provenance Kit（184モデルのカタログ）：Qwenはカタログ全体の12.0%を占めるが、Qwen由来のNemotronの最近傍では20.9%を占め、1.74倍に濃縮されていた。
• VAIL Behavioral Fingerprinting（1,159モデルのカタログ）：Qwenはカタログ全体の14.9%を占めるが、Qwen由来のNemotronの最近傍では28.1%を占め、1.89倍に濃縮されていた。

さらに、両手法とも文書化された順序を再現した。QwenベースのNemotronが最もQwenに近く、次にNVIDIAベース、最も遠いのがLlamaベースという順序だった。

対照実験として、Qwenとの直接の重み関係が文書化されていないGoogleやMetaのモデル群でも同様の比較を行ったところ、同じ濃縮は一貫して見られなかった。Ciscoは「カタログ内のQwenの占有率だけでは、Nemotron–Qwenの結果を説明できない」とし、単なる偶然ではないことを示した。

Ciscoは「新しい公開元の名前はそれ以前の来歴を消し去らない」と述べ、過去の研究でもバックドアやバイアス、特定の振る舞いといった継承された特性が追加学習や再公開後も残ることが示されているとした。今回の研究は、個々の特性だけでなく、上流モデルとの関係そのものが名前変更後も統計的に検出可能であることを示した。

Ciscoが求める対応 — 企業・規制当局・業界への提言

Ciscoは、研究結果を踏まえて次のように呼びかけている。いずれも同社ブログが実際に示した提言である。

• 企業に対して：公開元の身元は判断材料の一部にとどめ、技術的来歴、学習の依存関係、振る舞い分析、運用上の管理を含めてデューデリジェンスを行うこと。Ciscoは「ソフトウェアの依存関係を監査するのと同様に、AIモデルのDNAを検証することが重要だ」と述べている。
• 規制当局に対して：ベンダーの原産国は政府のリスク評価の一部になり得るが、それだけでは不十分である。Ciscoは「規制当局はモデルの上流依存をよりよく理解し、来歴に起因する脆弱性やバイアス、制約の全体像を把握する必要がある」としている。
• 業界に対して：来歴の開示を例外ではなく標準とすること。Ciscoは「透明性は、利用者がモデルを技術スタックに統合する前に上流の依存関係を理解するための最良の方法だ」としている。

同社は、技術的な指紋はさらなる調査の証拠にはなるが、自動的なリスクの証明ではないと注意を促している。指紋の一致は、共有されたデータや教師モデル、学習目標、トークナイザーなど別の要因でも生じ得るためである。

研究の詳細な手法と結果は、報告書**「Models Don’t Have Passports」**で公開されている。Ciscoはブログ内で同報告書へのリンクを示している。

日本の組織が留意すべき点

AIモデルの調達で「どの国・どの企業が公開したか」だけを基準にすると、上流で混入した脆弱性やバイアス、利用制約を見逃すおそれがある。Ciscoが指摘するように、モデルはファインチューニングや蒸留、量子化などの工程で別ブランドとして再公開されることがあり、公開元の変更後も上流の特性が重みに残る。日本企業が外部のAIモデルを業務に組み込む際は、公開元の確認に加えて、重みや振る舞いに基づく技術的来歴の確認と、運用・更新の管理主体が誰かを分けて評価することが重要になる。

出典はCisco BlogsのAmy Chang氏によるブログ（2026年8月27日公開）と、同ブログが示す報告書「Models Don’t Have Passports」である。

出典

• Cisco Blogs「The ‘U.S. vs. China’ AI Trap: An Incomplete Proxy for AI Security」Amy Chang（2026年8月27日）: https://blogs.cisco.com/ai/model-provenance-entanglement
• Cisco Model Provenance Kit: https://blogs.cisco.com/ai/model-provenance-kit