安価な知能は諸刃の剣：中国製モデルが米企業のトークン利用の46%を担い、AIが単独でランサムウェア攻撃を完遂し、日本は誰にも依存しないために1兆円を払う

2026年7月7日、CNBCは米国企業のAIトラフィックが実際にどこへ流れているかを調査した記事を公開した。見出しよりも中身のほうが衝撃的だ。業界最大級の中立的ルーティング層であるOpenRouterにおいて、2026年2月8日以降、中国発のモデルは米国発トークン流通量の少なくとも30%を毎週一貫して占め続けている。週次のピークは46%に達した。比較のために言えば、この比率は2025年上半期には4.5%、直前12か月の平均でも11%にすぎなかった。2月のある週には、同プラットフォームで最も利用された上位10モデルの総消費量のうち、実に61%を中国製モデルが占めていた。

この現象を動かしているのはイデオロギーではない。算術である。OpenRouterのジャスティン・サマービルはその差を端的に述べる――オープンな中国製モデルは西側の主要モデルより60〜90%安い。DeepSeek V4 Flashは入力100万トークンあたり0.09ドル、出力0.18ドル。GPT-5.5は5.00ドルと30.00ドル。Claude Opus 4.8は5.00ドルと25.00ドルだ。その一方で、品質という論拠は静かに侵食されてきた。ZhipuのGLM 5.2はFrontierSWEで74.4を記録し、Opus 4.8の75.1に迫る。MCP-Atlasでも76.8対77.8だ。差はおよそ1ポイントである。ベンチマークで1ポイント差、出力コストが30分の1なら、ルーティングの判断は自動的に決まる。とりわけコード生成においてはそうだ。この用途はOpenRouterのトラフィックに占める割合が2025年初頭の11%から2026年半ばには半分超へと膨らみ、企業内で最もトークンを喰らい、最も価格に敏感なワークロードとなっている。

ここからが、腰を据えて考えるに値する部分だ。この移行を承認した取締役会は存在しない。フォーチュン500のCTOが立ち上がり「中国製AIを採用しよう」と提案した会議など一度もなかった。実際に起きたのは、何千人ものエンジニアが何千ものゲートウェイを設定し、評価基準を満たす最安のモデルへ各リクエストを振り分けた、それだけである。そして、その小さく個別には合理的な判断の総和が、米国企業の推論処理の相当部分を、別の法域で訓練されたインフラの上へ移設してしまった。いまやDeepSeek単体でOpenRouterのトークンの17.6%――週あたり5.13兆トークン――を処理し、アリババのQwenが13.9%、2.77兆トークンで続く。サプライチェーンとは、こうして動く。決定によってではなく、既定値によって動くのだ。Palantirのアレックス・カープは、企業が求めているのは従量課金の依存関係ではなく統制であり、トークン課金モデルは根本的に壊れていると論じ続けてきた。46%という数字は、その統制を得られなかった場合に起きることの実物である。

2026年7月1日、Sysdigの脅威研究チームは「JADEPUFFER」の解析を公開した。同社によれば、これはAIエージェントが端から端まで単独で遂行した、初めて記録されたランサムウェア作戦である。この区別は重要だ。人間のオペレーターがチャットボットにスクリプトを書かせる「AI支援型」の侵入ではない。Sysdigはこれをエージェンティック脅威アクター(ATA)と分類する。すなわち、攻撃能力の全体が人間のツールキットではなくエージェントによって提供される攻撃者だ。エージェントは、インターネットに露出したLangflowインスタンスに対し、認証不要のリモートコード実行の脆弱性CVE-2025-3248を突いて初期侵入を果たし、そこから偵察、認証情報の収集、横展開、永続化、権限昇格を経て、標的の本番データベースを暗号化した。

セキュリティチームが本当に恐れるべきは、その運用の細部である。エージェントはCVE-2021-29441――何年も前から知られているNacosの認証バイパス――を用いて侵入経路を広げた。MinIOのストレージバケットを、初期設定のまま放置された認証情報minioadmin:minioadminで列挙した。45.131.66[.]106:4444へ30分ごとに通信するcrontabビーコンを仕込んだ。そしてログインの一つが失敗したとき、失敗から、サブプロセスのPATH問題を診断して修正する複数手順の是正ペイロードが動くまで、経過時間はわずか31秒だった。かつては有能な人間の侵入者だけが示しえた適応的復旧の署名である。続けてMySQLのAES_ENCRYPT()と使い捨ての鍵を用いて1,342件すべてのNacos設定項目を暗号化し、原本を削除し、ビットコインアドレスとProton Mailの連絡先を記したREADME_RANSOMテーブルを書き込んだ。特筆すべきは、収集された認証情報の中にOpenAI、Anthropic、DeepSeek、GeminiのAPIキーが含まれていたことだ。攻撃者は、被害者と同じモデル・サプライチェーンで買い物をしていたのである。

次のセキュリティレビューに持ち込むべき一文は、Sysdig自身の要約だ――ランサムウェアを運用するためのスキルの下限は、「エージェントを動かす費用」まで下がった。これを前節と並べて読むと、その対称性は居心地の悪いものになる。少人数のスタートアップが本番規模の推論を賄えるようにした60〜90%の価格崩壊は、キルチェーンのどの段階にも深い専門性を持たないオペレーターが、有能な侵入者を時間貸しで雇えるようにした価格崩壊とまったく同一なのだ。安価な知能とは、たまたま自分の業界に降りかかるビジネストレンドではない。それは、こちらに向けられた活動を含む、あらゆる活動のコスト構造を変える環境条件である。慰めは一つあり、それは本物だ。エージェントは自らを語る。Sysdigは「自己解説するペイロード」が現実の検知機会になると指摘する。実行ログの中で声に出して推論するエージェントは、人間の攻撃者なら決して残さない証跡を残すからだ。そして、実際に侵入を許したものを見よ――ゼロデイではなく、パッチ未適用の開発ツールと初期パスワードである。防御側の助言は退屈で、そして効く。Langflowにパッチを当て、Nacosを堅牢化し、アプリケーション環境からプロバイダーの認証情報を排除し、データベース管理アクセスをIPで制限し、外向き通信を統制せよ。

2026年6月30日、赤澤亮正経済産業大臣は、NEDOが日本の国産AI基盤モデル構築事業者としてNoetraを採択したと発表した。設立メンバーはソフトバンク、ソニー、NEC、ホンダで、産業技術総合研究所(産総研)と連携する。さらに製造、自動車、電機、物流、通信、IT、金融の各分野から約40社の参画を目指す。予算は今年度だけで3,873億円(約24億ドル)、5年間で約1兆円(61億ドル)にのぼる。このモデルは明確にマルチモーダルであり、データ、画像、映像、音声、物理特性を統合して、ロボティクスとフィジカルAIにおける認識と推論を担うよう設計されている。想定される用途は華やかさとは無縁で、きわめて具体的だ。高齢者ケア、災害対応、製造現場、そして福島第一原発の廃炉である。これは2040年までにAI搭載ロボット1,000万台、官民合わせて10.5兆円というより大きな枠組みの内側にあり、しかもマイクロンが広島工場に1.5兆円(93億ドル)を投じて高帯域幅メモリ生産設備を拡張する起工式を行ったのと同じ週に発表された。

Noetra社長・丹波弘信氏が示した根拠は、「ナショナリズム」の棚に放り込むのではなく、書かれたとおりに読むべきである。海外LLMへの依存は、機密情報の移転に関する懸念と、深刻な事業継続リスクを伴う――彼はそう述べた。これはスローガンではない。調達リスクの古典的な二大類型、すなわち機密性と継続性を、多くの企業がまだ「部品」として認識していない構成要素に適用しただけである。CNBCの46%という数字と並べて読むとき、丹波氏のこの一文は守勢の言い訳には聞こえなくなる。むしろ、今年この問題について誰かが示した唯一の取締役会レベルの言語化のように響きはじめる。

日本が何を買っていて、何を買っていないのかは、冷静に見極めたい。フロンティア研究所を買っているのではない。5年で1兆円という額は、米国の巨大クラウド事業者一社の四半期設備投資と同程度にすぎない。Noetraが汎用ベンチマークの首位に立つことはないだろうし、その必要もない。買っているのはオプションである。すなわち、決して国外に出せない種類のワークロードに対して「十分に良い」国産モデルだ――損傷した原子炉を廃炉にするロボット、メガバンクの内部元帳、病院の患者記録、防衛関連サプライヤーの図面。この予算規模の主権が購入できるのは覇権ではなく充足であり、そして充足こそが正しい目標である。西側との対比こそが、本稿の要点そのものだ。米国企業は、安価な既定値を積み重ねた結果として外国の推論インフラへ漂着した。日本は、その漂流に底を設けるために61億ドルを支出している。一方は戦略である。もう一方は、単なるルーティングテーブルである。

まず、モデル層をサプライチェーンとして扱い、部品表(BOM)を作ることから始めよ。ほとんどの企業は、次の四つの基本的な問いに答えられない。先月、自社のトラフィックを処理したのはどのモデルか。その構成比はどれくらいか。どの法域の下にあったか。そして、どのようなデータ保持条件だったか。ゲートウェイが価格でルーティングしているなら、それは管理されていない依存関係であり、その構成はベンダーが販促価格を打ち出すたびに変わる。処方箋は禁止令ではない。棚卸しを行い、その上で階層化ポリシーを敷くことだ。コモディティ化したワークロード――下書き、分類、大量翻訳、社内要約――は、自社の評価基準を通過する最安のモデルへ流す。そこで生まれる節約は本物であり、享受して構わない。一方、規制対象・機密・顧客特定情報を含むワークロードは、自ら実際に読んだ契約条件の下で、名指しした特定のモデルに固定する。要点は決して「中国製モデルを避けよ」ではない。どのモデルがどのデータを見たのかを把握せよ、である。

第二に、AIの認証情報を「守るべき至宝」の地位へ格上げせよ。JADEPUFFERは、クラウド基盤の認証情報や暗号資産ウォレットと並んで、主要モデルプロバイダー四社のAPIキーを収集していた。この並びは偶然ではない。推論キーはいまや、武器であり、データ持ち出しの経路であり、上限のない請求債務でもある。金庫に格納し、可能な限り最小の権限に絞り、定期的にローテーションし、そして決してアプリケーション環境に置いたままにしないこと――パッチ未適用の開発ツールに潜むリモートコード実行の欠陥が、プロセスからそれを読み出せてしまうからだ。まさにそれが、あのエージェントが歩いた経路である。

日本と欧州のあいだで事業を営む企業にとって、これは単なるエンジニアリングの問題ではなく、コンプライアンスの継ぎ目である。EU AI法の透明性義務および汎用AI(GPAI)義務、日本の個人情報保護法(APPI)が定める個人データの越境移転規制、そして午前3時にたまたま最も安かった推論エンドポイントへ顧客レコードを黙って送り出すルーティング層――これらは心地よく共存しない。ここが、Medusa Japanがクライアントとともに取り組んでいる領域だ。モデルの部品表を作り、コンプライアンス責任者が説明できる法域別ルーティング規則を書き、そしてローカライゼーションのパイプラインを設計する。すなわち、大量の一次処理は安価なモデルに任せ、実際に顧客の目に触れる最終工程は、固定した特定モデルとネイティブスピーカーの人間が担う、という設計だ。安価な知能は本物の贈り物である。2年前には手の届かなかったことを、小さなチームに可能にしてくれた。だが、統治されない安価な知能は負債である。そして今月、その負債はProton Mailのアドレスを手に入れた。