2026年9月2日／株式会社東京ネット工務店 海老沢敦
① 事実
OpenAIが、中身を見ずに悪用を見つける仕組みを出しました
2026年8月19日、OpenAIが「フロンティアモデルへのゼロデータ保持の提供」という発表を出しています。
ゼロデータ保持（ZDR） は、同社が対象のAPI顧客（API＝他社のソフトからAIの機能を呼び出すための口）にしている約束です。資料の文章を、そのまま引きます。「リクエストの処理後にプロンプトやモデルの応答を保持しません。OpenAI の担当者は顧客コンテンツをレビューできず、企業顧客が明示的にオプトインしない限り、そのデータがモデルの学習に使用されることもありません」。
今回出たのが「プライベート・セーフティ処理」です。「OpenAI の担当者が元のコンテンツにアクセスすることなく、関連するやり取り全体からパターンを特定できるよう設計された」もの。
⭐ 成り立たせているのは、鍵です。 データをOpenAI側に置く場合は、顧客が管理する鍵で暗号化する。「OpenAI の担当者はその鍵のコピーを保有しないため、元のコンテンツにはアクセスできません」。
リスクが見つかったときに外へ出るのは、中身ではありません。「関連する活動の種類を示す、範囲を厳密に限定したシグナル」だけです。
一回ずつ見て、終われば消していました
企業が業務でAIを使うときは、APIを通します。 質問を送ると、答えが返る。この一往復が「一件」です。
危険がないかは、その一往復ごとに、機械が見ています。 見終われば、内容は残りません。それがゼロデータ保持です。
⇒ 前の回と、次の回が、つながりません。
同じ発表に、その限界が書いてあります。「既存の ZDR 対応安全システムは、やり取りを一件ずつ評価します」。
一回だけなら普通に見えることが、何回か並べると別の形になります。 発表が挙げている例のひとつが、「停止するよう指示された後もシステムが動作を続け、ユーザーの意図から逸脱する」。悪意のある人間が出てこない例です。AIエージェント（人が逐一指示しなくても、自分で手順を判断して動くAI）が動いている最中に起きます。
いまは、テストの段階です
「現在、プライベート・セーフティ処理を初期顧客とともにテストしています」。 提供が始まったわけではありません。「9 月には、プライベート・セーフティ処理の段階的な提供を開始し、技術ホワイトペーパーを公開する予定です」。
なぜ出たのかも書かれています。「最近の一部のフロンティアモデル導入では、安全性を監視するため、AIプロバイダーによる機密コンテンツの保持を顧客が認める必要がありました」。⚠️ どの導入かは書かれていません。
⚠️ 当社が確かめていないこと＝仕組みの技術的な中身です。 ホワイトペーパーが未公開のため、読んだのは発表ページだけです。
② 構造
見ないまま見張れるのは、鍵を渡していないからです
信頼は「見ない」ことで作られます。悪用の発見は「見る」ことでしかできません。 同じデータを、二つの要求が取り合います。
これまでの解き方は、時間で分けることでした。 流れていく最中だけ機械が見て、終わったら消す。⇒ 一件で完結する危険は拾えますが、またがる危険は誰も見ていないことになります。
今回動いたのは、鍵の持ち主です。
データは外に置いてもかまいません。暗号を解く鍵さえ渡さなければ、置いた先の人にも中身は読めません。 置き場所と、読める人が、切り離されました。⇒ 会社が決めることが変わります。「どこに置かないか」ではなく、「鍵を誰に渡すか」。
ただし、判断のほうは外へ出ています
中身は渡っていません。 ですが「この種類の活動が起きた」というシグナルは出ます。中身についての判断だけが、外へ出ている。
⚠️ これを問題だと言っているのではありません。 悪用を見つけるには、何かは出す必要があります。書いておきたいのは、「見ていない」という言葉が指す範囲が、以前より広くなったということです。
本紙はVol.11で、監査は自分の物差しを検査できないと書きました。 今回も同じところに立っています。「担当者はアクセスできない」を確かめる方法は、その仕組みを作った側の説明を読むことです。
