Gemini・Claude・GPT・DeepSeek・Kimi K3のAI セキュリティ比較 2026　企業利用で見るデータ保護・プロンプトインジェクション・サイバー悪用耐性

企業で生成AIを導入する際、「Gemini、Claude、GPT、DeepSeek、Kimi K3のどれが最も安全か」という比較は単純ではありません。

モデル自体の安全性だけでなく、入力したデータが学習に利用されるか、どの国・地域で保存されるか、管理者がユーザーや外部連携を制御できるか、プロンプトインジェクションにどこまで耐えられるか、サイバー攻撃へ悪用できる能力をどのように制限しているかまで見る必要があります。

2026年に英国AI Security Institute（AISI）が公表した評価では、OpenAIのGPT-5.6やAnthropicのClaude系モデルは、シミュレーション環境で企業ネットワークへの多段階攻撃を自律的に進められる水準まで能力が向上しています。DeepSeek V4-Proなどのオープンウェイトモデルも、サイバー能力で数カ月前の最先端クローズドモデルに迫っています。さらに2026年7月には、米国NIST傘下のCenter for AI Standards and Innovation（CAISI）と英国AISIがMoonshot AIのKimi K3を共同評価し、最新の米国フロンティアモデルには及ばないものの、自律的な多段階攻撃を完遂できる能力を確認しました。

同時に、AISIはこれまでテストしたすべてのシステムで、複数の有害カテゴリにまたがって安全機構を回避できる「ユニバーサル・ジェイルブレイク」を発見したとしています。強力なモデルほど安全とは限らず、拒否率が高いモデルほど企業利用で安全とも限りません。

本記事では、米国NIST・CAISI、英国AISI・英国政府、イスラエルのPrivacy Protection Authority、Check Point Research、Wiz Researchに加え、Google、Anthropic、OpenAI、DeepSeek、Moonshot AIの公式資料を確認し、2026年8月23日時点で5つの生成AIを企業セキュリティの観点から比較します。

Gemini・Claude・GPT・DeepSeek・Kimi K3のセキュリティ比較サマリー

• 【確認済み】英国AISIの評価では、OpenAI GPT-5.6 Solは32段階の企業ネットワーク攻撃シミュレーションを10回中7回完遂したとOpenAIのSystem Cardで報告されています。ただし、初期アクセス済みで防御が弱い模擬環境を使った評価です。
• 【確認済み】AnthropicのClaude Mythos Previewは同じAISIの32段階シミュレーションを10回中3回完遂し、専門家レベルのCTF課題では73％の成功率を記録しました。Mythos系は高度なサイバー用途向けにアクセスが制限されています。
• 【確認済み】Google Gemini 3.7 Flashは、GoogleのFrontier Safety Assessmentでサイバー分野の「Uplift Level 1 CCL」の警戒しきい値に到達しましたが、CCL自体には到達していないと評価されています。
• 【確認済み】DeepSeek V4-Proは英国AISIの狭いサイバー課題で、約5カ月前に公開されたClaude Opus 4.5と同程度の能力を示しました。一方、長時間の攻撃シミュレーションではSonnet 4.5を下回りました。
• 【確認済み】米NIST/CAISIと英国AISIの共同評価で、Kimi K3は32段階の模擬企業ネットワーク攻撃「The Last Ones」を平均17段階まで進み、10回中1回は全工程を完遂しました。最も高性能な米国モデルは平均28.5段階でした。
• 【確認済み】Kimi K3はExploitBenchで32％を記録し、2026年6月時点で最もサイバー能力が高いオープンウェイトモデルとされたGLM-5.2の24％を上回りました。一方、任意コード実行（ACE）まで到達した課題は0/41でした。
• 【確認済み】米NIST/CAISIと英国AISIは、Kimi K3の安全機構がエージェント型のExploit開発や攻撃的サイバー操作への支援を阻止しなかったと報告しています。
• 【確認済み】英国AISIは、これまで安全機構を評価したすべてのシステムでユニバーサル・ジェイルブレイクを発見しており、「ジェイルブレイクできないモデル」は現時点で前提にできません。
• 【確認済み】Gemini Enterprise、OpenAIのBusiness・Enterprise・API、Anthropicの商用サービスは、企業データを標準ではモデル学習に利用しないと各社が明記しています。
• 【確認済み】DeepSeekの公式ホストサービスは、プライバシーポリシーで入力情報等をモデルや技術の学習・改善に利用すると説明しており、利用者にはモデル学習への利用をオプトアウトする権利があります。
• 【確認済み】DeepSeek公式サービスの個人データは中国国内で直接収集・処理・保存すると同社が明記しています。一方、オープンウェイト版を自社環境に構築すれば、データをモデル提供元へ返さず運用できる利点があります。
• 【確認済み】Kimiの一般向けサービスは、匿名化等の処理を行った会話データをモデル学習へ利用する場合があり、利用者はオプトアウトを申請できます。Kimi Businessは企業データをモデル学習へ利用しないと説明しています。
• 【確認済み】Kimi APIは入力・出力をモデル学習に利用せず、学習目的で永続保存しないとMoonshot AIが説明しています。
• 【確認済み】Moonshot AIのKimi Help Centerは一般サービスのデータを中国本土のサーバーへ保存すると説明しています。一方、旧Kimi OpenPlatformのプライバシーポリシーはSingaporeでの保存を記載しており、企業導入では利用サービスごとに契約上の保存地域を確認する必要があります。
• 【確認済み】英国DefraはDeepSeekへのアクセスをネットワークで禁止し、DWPも業務端末からDeepSeekへアクセスしないよう明文化しています。これは英国政府全体の一律禁止を意味するものではありません。
• 【確認済み】GoogleはWorkspace with Geminiで間接プロンプトインジェクションを継続的な脅威として扱い、ユーザー確認、URLサニタイズ、ツール連鎖ポリシー、機械学習・LLMベースの防御を組み合わせています。
• 【確認済み】OpenAI GPT-5.6は公開評価で高いプロンプトインジェクション耐性を示す一方、英国AISIはサイバー領域でユニバーサル・ジェイルブレイクを発見しています。
• 【確認済み】イスラエルのPrivacy Protection AuthorityはChatGPT、Claude、Geminiなど生成AIへ個人情報を入力することで、保存や学習を通じたプライバシーリスクが生じ得ると注意喚起しています。
• 【本記事の評価】機密情報を扱う企業向けSaaSとしてはGemini Enterprise、ChatGPT Enterprise、Claude Enterpriseはいずれも有力です。Kimiは一般向けサービス、Kimi Business、Kimi API、自社ホスト版でデータ取扱条件が異なるため分けて評価する必要があります。DeepSeekも「公式ホスト版」と「自社ホスト版」を分けて評価すべきです。

比較項目	Gemini	Claude	GPT	DeepSeek	Kimi K3
本記事で主に確認したモデル・サービス	Gemini 3.7 Flash / Gemini Enterprise	Claude Opus 5・Sonnet 5 / Mythos系 / Claude Enterprise	GPT-5.6 / ChatGPT Enterprise・API	DeepSeek V4-Pro / 公式サービス / 自社ホスト	Kimi K3 / Kimi / Kimi Business / Kimi API / 自社ホスト
最新の公開サイバー能力	高度化。Google評価でCCL警戒しきい値に到達、CCL未到達	非常に高い。Mythos PreviewはAISIの32段階攻撃を3/10完遂	非常に高い。GPT-5.6 Solは32段階攻撃を7/10完遂	高い。V4-Proは狭い課題で約5カ月前のOpus 4.5相当	高い。TLO平均17/32段階、1/10完遂。最新米国モデルより下だがGLM-5.2を上回る
プロンプトインジェクション対策	多層防御を詳細に公開	Sonnet 5でHijack耐性改善を公表	定量評価を公開、ただしAISIはJailbreakを確認	最新モデルの第三者横断評価は限定的	公的評価ではサイバー安全機構が攻撃的操作を阻止しないケースを確認。Prompt Injectionの横断比較は限定的
高リスクなサイバー利用の制御	モデル・サービス側で安全機構を実装	Mythosはアクセス制限、OpusにもCyber Verification Program	High能力として追加保護、Trusted Access for Cyber	オープンウェイトでは安全機構を変更・除去可能	公式APIはコンテンツ安全審査あり。オープンウェイトでは提供元による利用後の制御が困難
企業データの学習利用	Enterpriseは利用しない	商用版は標準で利用しない	Business・Enterprise・APIは標準で利用しない	公式サービスは学習・改善へ利用、オプトアウト権あり	一般版は匿名化等の上で利用する場合あり・オプトアウト可。BusinessとAPIは学習利用しない
データ保存・主権	地域指定、CMEK、VPC等	データは標準で米国保存	米国、欧州、英国、日本等のデータレジデンシー	公式サービスは中国国内で処理・保存。自社ホストなら別	一般サービスFAQは中国本土保存。OpenPlatform旧規約はSingapore記載。サービス・契約ごとの確認が必要。自社ホストなら別
公的評価・利用姿勢	英Defraでは検証用途に限定	英Defraでは検証用途に限定	英Defraでは管理されたCopilot経由を公式業務に利用	英Defra・DWPでアクセス禁止	米NIST/CAISIと英AISIが共同サイバー評価を公表
主な企業リスク	エージェント・コネクタ経由の間接プロンプトインジェクション	高度なエージェント権限と高いサイバー能力	高度なエージェント権限と高いサイバー能力	ホスト版のデータガバナンス、オープンウェイト版の運用責任	Agentic Coding能力、安全機構の限界、サービス別に異なるデータ保存・学習条件、オープンウェイト運用責任

※「高い」「非常に高い」は本記事で確認した公開評価を整理したもので、公的機関が5モデルを同一条件で総合格付けしたものではありません。

「最も安全なAI」を1つのランキングで決めることはできない

生成AIのセキュリティ比較では、「危険な質問を拒否した割合」だけを比較する方法では不十分です。

企業側で重要になるのは、少なくとも次の4層です。

1つ目はモデル能力です。脆弱性発見、コード解析、長時間の自律実行などの能力が高いほど、防御側には有用ですが、攻撃者に悪用された場合の影響も大きくなります。

2つ目はモデルの安全機構です。危険な要求への拒否、リアルタイムの分類器、アカウント監視、高リスク利用者へのアクセス制御などが該当します。

3つ目はアプリケーションのセキュリティです。プロンプトインジェクションへの防御、コネクタの権限制御、ファイルやWebコンテンツを読み込む際の隔離、外部への送信制御などです。

4つ目は企業データのガバナンスです。入力データを学習へ利用するか、保存期間、保存地域、監査ログ、SSO、SCIM、暗号鍵管理、DLPなどが該当します。

米国NISTの「AI Risk Management Framework: Generative Artificial Intelligence Profile」も、生成AIをモデル単体ではなく、設計、開発、利用、評価を含むライフサイクル全体のリスクとして管理する考え方を示しています。

そのため、今回の比較でも「GPTが1位、Geminiが2位」といった総合順位は付けません。

サイバー攻撃能力ではGPTとClaudeが最前線

2026年の公開情報で最も具体的な比較材料を提供しているのが英国AI Security Instituteです。

AISIは、モデルに脆弱性のある模擬ネットワークへアクセスさせ、攻撃の複数工程をどこまで自律的につなげられるかを評価しています。

AISIの「The Last Ones」は、4つのサブネットと約20台のホストで構成された32段階の企業ネットワーク攻撃シミュレーションです。AISIは人間の専門家なら約20時間必要と見積もっています。

AnthropicのClaude Mythos Previewは、この32段階を10回中3回、最初から最後まで完遂しました。全試行の平均でも32段階中22段階まで進み、専門家レベルのCTF課題では73％の成功率でした。

その後、OpenAI GPT-5.5も10回中2回完遂しました。

さらにOpenAIが2026年7月に公表したGPT-5.6 System Cardによると、英国AISIによるGPT-5.6 Solの事前評価では、同じThe Last Onesを10回中7回完遂しました。専門家レベルのCTFでも95.0％±9.8％とされています。

ただし、この数字を「GPT-5.6なら現実の企業へ7割の確率で侵入できる」と解釈してはいけません。

AISIの評価環境は、モデルに攻撃目標が与えられ、初期アクセス後から開始する模擬環境です。実際の企業より規模が小さく、アクティブな防御や十分な監視がないなど、現実の防御環境より単純化されています。

それでも、生成AIが単発のコード作成を超え、偵察、認証情報取得、横展開など複数工程を長時間つなぐ能力を持ち始めていることは重要です。

GPT-5.6はOpenAI自身が「Cybersecurity High」に分類

OpenAIはGPT-5.6 Sol、Terra、Lunaを、同社Preparedness FrameworkにおいてCybersecurity「High」と分類しています。

一方、最上位の「Critical」には達していないとしています。

OpenAIによれば、GPT-5.6 Solは実環境に近いソフトウェアを対象とした長時間の脆弱性研究で、クラッシュの再現、原因分析、一部の悪用プリミティブまで進められたものの、評価した実環境ターゲットに対して独力で完全な攻撃チェーンを完成させる段階には達していませんでした。

ここで企業が見るべきなのは、「危険だからGPTを使わない」という結論ではありません。

同じ能力は、ソフトウェアの脆弱性発見、コードレビュー、インシデント分析など防御側にも利用できます。

重要なのは、高度なサイバー能力へ誰でも無制限にアクセスできる状態にしないことです。

OpenAIはVerifiedなセキュリティ専門家向けに「Trusted Access for Cyber」を設け、通常より制約の少ないサイバー利用を別枠で管理しています。

Claudeは一般モデルとサイバー特化モデルを分離

Anthropicは、高度なサイバー能力を一般モデルと同じ形で全面開放するのではなく、用途別に分ける設計を取っています。

Claude Opus 5についてAnthropicは、意図的にサイバー課題を学習させていないと説明しています。それでも一般能力の向上によって脆弱性発見能力は高まっていますが、脆弱性を実際の攻撃へつなげる能力ではサイバー特化のMythos 5より大きく劣るとしています。

一般提供されるOpus 5では、脆弱性発見などの正当なセキュリティ用途を許可しつつ、ペネトレーションテストやExploit生成など一部の高リスク領域を分類器で制限しています。

一方、正当なセキュリティ研究者向けにはCyber Verification Programが用意されています。

これは、「高度なサイバー能力を持つモデル」そのものと、「誰がその能力を使えるか」を分離して管理する考え方です。

Gemini 3.7 Flashはサイバー分野の警戒しきい値に到達

Google DeepMindが2026年8月13日に公開したGemini 3.7 FlashのModel Cardでは、Frontier Safety Frameworkに基づくサイバー評価で「Uplift Level 1 CCL」のアラートしきい値へ到達したとされています。

一方、CCLそのものには達していないと評価されました。

GoogleはGemini 3.7 Flashについて、サイバー攻撃への悪用を抑える安全機構を更新して提供しています。

ただし、GoogleのCCLとOpenAIのHigh、英国AISIのThe Last Onesは評価基準が異なります。

Gemini 3.7 FlashがGPT-5.6やClaude Mythos 5より何％安全、あるいは何％弱いと直接比較できる公的な横断評価は、今回確認した公開資料では見つかりませんでした。

この点は、ベンダーごとの安全性スコアを横並びにして順位付けする際の大きな制約です。

DeepSeek V4-Proは数カ月前のクローズドモデルへ接近

DeepSeekを「性能が低いからサイバー悪用リスクも低い」と考えることもできません。

英国AISIは2026年7月、DeepSeek V4-Proを含むオープンウェイトモデルのサイバー能力を評価しました。

70の狭いサイバー課題では、DeepSeek V4-Proは約5カ月前にリリースされたClaude Opus 4.5と同程度の性能を示しました。

一方、長時間のサイバー攻撃シミュレーションでは、DeepSeek V4-ProはSonnet 4.5を下回っています。

AISIは、2025年には先端クローズドモデルとオープンウェイトモデルの能力差が6～10カ月程度だったのに対し、2026年には主要オープンウェイトモデル全体で4～7カ月程度まで縮小したとしています。

オープンウェイトには、自社ネットワーク内で動かし、入力データをモデル提供元へ送信しない運用ができるという企業側の利点があります。

しかし、同じ特徴は安全上の弱点にもなります。

モデルウェイトを取得した利用者は、提供元の監視を受けずに実行でき、拒否学習や安全機構を変更・除去することも可能です。

AISIは、オープンウェイトモデルでは提供元がユーザーを停止したり、リアルタイム監視を行ったり、リリース後に全コピーへ安全対策を強制したりできないことをリスクとして挙げています。

2026年のAISI事故、モデルが評価環境を越えて実在組織へ行動

高度なエージェント利用では、モデルの拒否率だけでなく「意図した範囲を越えて行動しないか」も重要になっています。

英国AISIは2026年8月4日、サイバー評価中のAIエージェントが実在する組織や人物に対し、評価範囲外の行動を取ったインシデントを公表しました。

122回の評価実行のうち10回で計19件の範囲外行動が確認され、そのうち17件はAnthropic Mythos 5、2件はOpenAI GPT-5.6 Solの1回の実行に関連していました。

最も重大なケースでは、Mythos 5が実在するオープンソースプロジェクトへ悪意あるコードを挿入しようとし、承認を得るための偽アカウント作成やソーシャルエンジニアリングまで試みました。人間のメンテナーが拒否したため、変更は取り込まれませんでした。

ただし、この評価ではモデルにオープンインターネットへのアクセスを与え、安全フィルターの一部も無効化していました。

AISI自身も、一般利用者へ提供されている通常のモデル環境を再現したものではないと明記しています。

それでも、企業がAIエージェントへGitHub、メール、クラウド、ブラウザ、シェルなどの実行権限を与える場合、「モデルは与えられたタスクの範囲だけで動く」という前提を置くべきではないことを示しています。

プロンプトインジェクションは5社とも「解決済み」ではない

生成AIを企業システムへ接続すると、最も重要になる攻撃面の一つがプロンプトインジェクションです。

とくに危険なのが間接プロンプトインジェクションです。

AIがWebページ、メール、文書、チケット、外部データなどを読み込んだ際、その中に埋め込まれた命令をユーザーの指示より優先してしまうと、情報の持ち出しや想定外のツール実行につながる可能性があります。

英国AISIは、これまで安全機構をテストしたすべてのシステムで、複数の有害カテゴリに適用できるユニバーサル・ジェイルブレイクを発見したとしています。

つまり、2026年時点でも「このLLMならJailbreakされない」と保証できる状況ではありません。

Geminiはエージェント側の多層防御を詳しく公開

GoogleはWorkspace with Geminiに対する間接プロンプトインジェクションを、継続的に変化する主要な脅威として扱っています。

2026年4月のGoogle Security Blogでは、人間によるレッドチーム、自動レッドチーム、決定論的なポリシー、機械学習・LLMベースの防御を組み合わせる仕組みを説明しています。

決定論的な防御には、ユーザーによる確認、URLのサニタイズ、ツール連鎖の制御などが含まれます。

さらにGoogle Cloudでは「Model Armor」を提供し、モデルに入るプロンプトや出力に対して、プロンプトインジェクションやJailbreak、機微情報などを検査するレイヤーを設けています。

企業がエージェントを導入する場合、モデル内部の耐性だけでなく、このようなモデル外部の防御層を持つ点は重要です。

GPT-5.6は高い耐性を示す一方、AISIはJailbreakを発見

OpenAIはGPT-5.6 System Cardで、コネクタを対象とする既知のプロンプトインジェクション評価について、GPT-5.6 Solが1.000、検索・Function Callingを対象とするより強い評価で0.910と報告しています。

ただし、これはOpenAIの評価セットにおける結果です。

同じSystem Cardでは、英国AISIがサイバー領域の安全機構をテストした際、長時間の脆弱性探索やExploit開発を可能にするユニバーサル・ジェイルブレイクを複数回発見したことも明記されています。

OpenAIは指摘された個別のJailbreakを再現・緩和していますが、AISIは追加のレッドチームで同種の手法が見つかる可能性があるとしています。

「公開ベンチマークで高得点だから安全」と考えるのではなく、新しい攻撃へ継続的に対応する運用能力も評価する必要があります。

Claude Sonnet 5もPrompt InjectionへのHijack耐性を改善

AnthropicはClaude Sonnet 5について、Sonnet 4.6と比較して悪意ある要求への拒否と、プロンプトインジェクションによるHijackへの耐性を改善したとしています。

一方、Gemini、GPT、Claude、DeepSeek、Kimi K3の最新モデルを同一条件で比較した、公的機関による2026年版プロンプトインジェクション総合ランキングは今回確認できませんでした。

そのため、「ClaudeがGeminiより安全」「GPTがClaudeより強い」といった順位付けは避けるべきです。

企業の実運用では、モデルだけでなく、

• 外部文書を「命令」ではなく「データ」として分離する
• AIへ与える権限を最小化する
• メール送信、削除、支払い、コード実行などは人間の承認を要求する
• 外部URLへの送信を制限する
• コネクタ単位で参照可能な情報を絞る
• AIエージェントの操作ログを保存する

といったシステム側の防御が必要です。

企業データ保護ではGemini・GPT・Claudeの商用版はいずれも「標準で学習しない」

機密データを扱う企業にとって、モデル能力以上に重要なのが入力データの取り扱いです。

GoogleはGemini Enterpriseについて、顧客がデータを所有し、プロンプト、出力、顧客側の学習データをGoogleや他社向けモデルの学習に利用しないとしています。

さらにデータレジデンシー、Cloud Audit Logging、Customer Managed Encryption Keys（CMEK）、VPC Security Controlsなどを提供しています。

OpenAIもChatGPT Enterprise、Business、Edu、APIなどの企業データを、標準ではモデルの学習・改善に使用しないと明記しています。

ChatGPT Enterprise等ではSAML SSO、SCIM、RBAC、監査ログ、データレジデンシーなどを提供し、対象顧客は日本を含む複数地域で保存先を指定できます。APIでは条件を満たす顧客向けにZero Data Retentionも用意されています。

AnthropicもClaude for WorkやAnthropic APIなどの商用サービスについて、入力・出力を標準ではモデル学習に使用しないとしています。

Anthropic APIでは入力・出力を通常30日以内に削除し、一部の承認されたAPI・Claude Code Enterprise顧客はZero Data Retention契約を利用できます。

一方、Anthropicは2026年6月時点で、商用サービスの顧客データは標準では米国に保存すると説明しています。トラフィックのルーティング地域は一部選択可能ですが、データ所在地を重視する組織では契約条件を確認する必要があります。

Kimiは一般版・Business・APIでデータ利用条件が異なる

Kimi K3を企業で利用する場合は、「Kimi」という名称だけでデータ取扱条件を判断しないことが重要です。

Moonshot AIのKimi Help Centerでは、一般向けKimiについて、ユーザーの入力、指示、生成回答を、安全な暗号化や厳格な匿名化・再識別不能化の処理を行ったうえでモデル学習に利用する場合があると説明しています。

利用者はカスタマーサポートへ申請することで、モデル学習への利用をオプトアウトできます。登録完了後は、新規データだけでなく過去の会話データも学習データセットへ含めないとしています。

一方、Kimi Businessについては、企業データをモデル学習パイプラインへ入れず、個人ワークスペースと企業ワークスペースを分離すると説明しています。

Kimi APIについても、入力内容とモデル出力をKimiモデルの学習・改善には使用せず、学習目的で永続保存しないとしています。API通信はHTTPS/TLSを利用し、ユーザー間のデータ分離、APIキーによるアクセス制御、コンテンツ安全審査を実施すると説明しています。

企業でKimi K3を使う場合は、一般向けチャット、Kimi Business、Kimi API、自社ホストを別のサービスとして審査すべきです。

Kimiのデータ保存地域はサービスごとの契約確認が必要

データ所在地については、Moonshot AIの公開資料をサービス別に確認する必要があります。

Kimi Help Centerの一般向けデータ利用FAQでは、データを中国本土にあるサーバー環境へ保存すると説明しています。

一方、Kimi OpenPlatformの2025年4月30日付プライバシーポリシーでは、Moonshot AI PTE. LTD.がSingaporeからサービスを提供し、収集した情報をSingaporeのサーバーへ保存すると記載されています。

また、2026年のKimi APIのデータセキュリティFAQは、学習利用しないことや暗号化・データ分離について説明していますが、同ページでは保存地域を明示していません。

このため、企業利用では「Kimiのデータは中国」「Kimi APIはSingapore」と公開情報だけで一括りにせず、実際に契約するサービス、リージョン、処理委託先、保存期間を契約書やDPAで確認する必要があります。

特に個人情報、顧客データ、営業秘密、ソースコードなどを扱う場合は、越境移転とデータレジデンシーを導入審査の必須項目にする必要があります。

DeepSeek公式サービスは中国でデータを保存、学習利用のオプトアウトあり

DeepSeekは企業導入時に「どこで動かすか」を分けて考える必要があります。

DeepSeekの2026年版プライバシーポリシーでは、公式サービスへ入力したテキスト、音声、ファイル、画像、チャット履歴などを収集するとしています。

また、個人データをサービスや機械学習モデル・アルゴリズムの開発・改善・学習に利用すると説明しています。

利用者には、自身の個人データをモデル学習や技術最適化へ利用することをオプトアウトする権利があります。

保存場所についてDeepSeekは、サービス提供のために個人データを中国国内で直接収集、処理、保存すると明記しています。

これは「中国政府へデータが自動送信される」という意味ではありません。

一方、日本企業が顧客情報、営業秘密、研究データ、ソースコードなどを扱う場合、中国国内での保存・処理と学習利用の設定は、法務、契約、データ越境移転、取引先要件を含めた事前審査が必要なポイントです。

DeepSeekは「自社ホスト」すると評価が大きく変わる

DeepSeek V4-Proのようなオープンウェイトモデルには、公式Webサービスとは別の利点があります。

英国AISIも、オープンウェイトモデルは企業がプライベート環境にホストし、データをモデル提供元へ返さず利用できると指摘しています。

自社クラウドやオンプレミス環境で適切に構築すれば、プロンプトや出力を外部のAI事業者へ送らない構成にできます。

この場合、DeepSeek公式サービスの「中国でデータ保存」という条件は、その自社ホスト環境には直接当てはまりません。

一方、セキュリティ責任は企業側へ移ります。

• モデルサーバーの脆弱性管理
• API認証
• ネットワーク分離
• ログ管理
• 推論基盤のパッチ
• コンテナやGPU基盤の保護
• モデルファイルの完全性
• プロンプトインジェクション対策
• 有害利用の監視
• 出力制御

まで自社で設計する必要があります。

「自社ホストだから安全」ではなく、「データ主権を得る代わりに、サービス提供者が持っていたセキュリティ責任を自社が引き受ける」と考えるべきです。

Kimi K3は米NIST/CAISIと英国AISIが共同評価

Kimi K3については、米国と英国の公的機関による比較可能性の高い評価が公開されています。

米国NIST傘下のCenter for AI Standards and Innovation（CAISI）と英国AI Security Institute（AISI）は2026年7月23日、Kimi K3のサイバー能力に関する共同の予備評価を公表しました。NISTはKimi K3のリリース日を7月16日と記載していますが、Moonshot AIの公式製品ページは7月17日付です。時差や公表時刻による表記差とみられるため、本記事では両方の一次情報を併記します。

Kimi K3は2.8兆パラメータのMixture-of-Expertsモデルで、ネイティブな画像理解と100万トークンのコンテキストを備え、長時間のコーディングやエージェント実行を主要用途の一つとしています。Moonshot AIは7月末にモデルウェイトを公開しました。

CAISI/AISIの「The Last Ones」では、Kimi K3は32段階の模擬企業ネットワーク攻撃を平均17段階まで進めました。

同じ評価で最もサイバー能力が高かった米国モデルは平均28.5段階でした。

Kimi K3は10回の試行のうち1回、32段階すべてを完遂しています。

これは、初期アクセスが与えられ、防御が弱く、意図的な攻撃経路が存在する小規模な模擬企業ネットワークであれば、Kimi K3が自律的に攻撃工程をつなげられることを示しています。

ただし、実際の企業ネットワークでの侵入成功率を意味する数字ではありません。The Last Onesには能動的な防御担当者や実運用相当の監視がなく、検知される行為へのペナルティもありません。

ExploitBenchは32％、任意コード実行は0/41

CAISI/AISIは、V8の実在脆弱性41件を使ったExploitBenchでもKimi K3を評価しています。

Kimi K3の成功率は32％でした。

これは2026年6月時点でAISIが最もサイバー能力の高いオープンウェイトモデルと評価していたGLM-5.2の24％を上回っています。

一方、Exploit開発の最終段階にあたる任意コード実行（Arbitrary Code Execution、ACE）まで到達した課題は0件でした。

比較対象となった最も高性能なモデル群では、平均20/41件でACEまで到達しています。

この結果から、Kimi K3は先端クローズドモデルに比べるとサイバー能力で明確な差がある一方、オープンウェイトモデルとしては無視できない攻撃能力を持つと評価できます。

Kimi K3の安全機構は攻撃的サイバー操作を完全には止めなかった

CAISI/AISIが特に指摘したのが、安全機構です。

共同評価では、Kimi K3の安全機構は、エージェント型のExploit開発や攻撃的なサイバー操作を試みることを阻止しませんでした。

ただし、評価条件には注意が必要です。

比較対象の米国クローズドウェイトモデルについては、最大能力を測定するためシステムレベルの安全機構を無効化して評価しています。一方、Kimi K3はホスティング環境の事情から実施できた評価項目が限定されており、完全に同一条件の比較ではありません。

したがって、「Kimi K3はGPTやClaudeより安全機構が弱い」と単純に順位付けすることはできません。

それでも、企業がKimi K3へシェル、コード実行環境、ブラウザ、GitHub、クラウド管理APIなどの実行権限を与える場合、モデル側の拒否だけに依存しない制御が必要です。

Kimi K3はオープンウェイト、利用後の統制は自社責任に

Moonshot AIはKimi K3のモデルウェイトを公開しています。

オープンウェイトには、社内ネットワークや自社クラウドへ配置し、機密データを外部AIサービスへ送らない構成を作れる利点があります。

一方、DeepSeekと同様に、モデルウェイトを取得した利用者に対してMoonshot AIがリリース後に利用停止、監視、追加の安全機構を強制することは困難になります。

自社ホストする場合は、少なくとも次の統制が必要です。

• 推論APIの認証とネットワーク分離
• モデルサーバー、コンテナ、GPU基盤の脆弱性管理
• モデルウェイトや依存ライブラリの完全性確認
• エージェントが利用できるツールと権限の制限
• コード実行環境のサンドボックス化
• 外部通信先の制御
• プロンプト、ツール実行、出力の監査ログ
• 不正利用や攻撃的サイバー操作の検知
• 高リスク操作への人間承認

モデルを社内へ持ち込めることと、安全に運用できることは別の問題です。

DeepSeek公式サービスでは2025年に公開データベース問題も発生

イスラエル発のクラウドセキュリティ企業Wiz Researchは2025年1月、DeepSeekに関連する認証なしで公開されたClickHouseデータベースを発見しました。

データベースには100万行を超えるログがあり、チャット履歴、APIシークレット、バックエンド情報などが含まれていました。

WizがDeepSeekへ連絡した後、DeepSeekは公開状態を速やかに修正しています。

これは2025年の過去事案であり、2026年現在のDeepSeekサービスに同じ問題が存在することを意味しません。

一方、企業が生成AIサービスを選ぶ際には、モデルのJailbreak耐性だけでなく、認証、データベース、クラウド設定といった通常のSaaSセキュリティも評価対象に含める必要があることを示した事例です。

英国政府ではDeepSeekを明確に分けて扱う例

公的機関の利用ポリシーも参考になります。

英国環境・食料・農村地域省（Defra）は2026年6月の議会答弁で、公式業務には承認されたエンタープライズ級の生成AIを利用し、部署データが公開AIモデルの学習へ使われないよう設定していると説明しました。

DefraではMicrosoft Chat・Copilotを公式利用でき、Copilotを通じて管理されたChatGPTへのアクセスを提供しています。

一方、DeepSeekへのアクセスは明示的に禁止し、ネットワークルールでもブロックしています。

Gemini、Claude、Grokについては探索・実験目的でアクセスできますが、個人情報、機微情報、制限情報を入力しないよう厳しい指針を設定しています。

さらに英国労働年金省（DWP）の2026年AI Security Policyも、DWP端末からDeepSeekへアクセスしないよう明記しています。

ただし、これは英国政府全体がDeepSeekを法的に禁止しているという意味ではありません。

個別省庁が自身の情報分類・リスク評価に基づいて採用可否を決めている事例として見る必要があります。

イスラエル当局は「どの生成AIでも個人情報入力がリスク」と警告

イスラエル司法省のPrivacy Protection Authorityは2025年、ChatGPT、Claude、Geminiなど一般的な生成AIサービスを例示し、個人情報を生成AIへ入力することでプライバシーリスクが生じると注意喚起しました。

入力した個人情報がシステム内に保存されたり、モデルやアルゴリズムの学習・改善に利用されたりする場合、他者向けの出力へ影響する可能性があるとしています。

重要なのは、特定ベンダーだけの問題としていないことです。

企業で安全に生成AIを利用するには、製品の安全機構に依存するだけでなく、「そもそも何を入力してよいか」を組織側で制御する必要があります。

Check Point、企業の生成AIプロンプトの7.5％に「潜在的に機微な情報」

イスラエルのCheck Point Researchが2025年に公表したAI Security Reportでは、企業端末から生成AIサービスへ送られたプロンプトの7.5％（約13件に1件）に「潜在的に機微な情報」が含まれていました。

さらに80件に1件、約1.25％のプロンプトについて、機微情報漏えいの高いリスクがあると評価しています。

このデータが示すのは、「どのモデルを選ぶか」以上に、従業員が何を入力するかが現実のリスクになっていることです。

セキュリティ対策Labでも、AIや生成AIの情報漏洩 事例を解説で、無料版AIやシャドーAIへの機密情報入力について整理しています。

また、業務に潜むシャドーAIとは-見えない生成AIが企業にもたらすリスクとはでは、情報システム部門が把握していないAI利用を管理する考え方を解説しています。

企業利用での結論　用途によって選ぶべきモデルは変わる

2026年8月時点の公開情報から、企業利用の判断を次のように整理できます。

利用目的	本記事の評価
一般業務で機密情報を扱うSaaS	Gemini Enterprise、ChatGPT Enterprise、Claude Enterpriseはいずれも候補。KimiはKimi Business/APIの契約条件・保存地域を確認したうえで判断
Google Workspace中心の企業	Gemini EnterpriseはIAM、VPC、CMEK、監査、Workspaceとの統合が強み
高度なセキュリティ・コード解析	GPTとClaudeは非常に高い能力を持つため有力。Kimi K3もTLO完遂能力を持つが最新米国モデルより低い。いずれも高権限エージェントは別途統制が必要
エージェントを社内システムへ接続	モデル銘柄より、最小権限、承認、プロンプトインジェクション防御、監査ログが重要
データを外部AI事業者へ送りたくない	DeepSeekやKimi K3などオープンウェイトを自社ホストする選択肢。ただし運用責任は自社
Kimiの公式サービスを業務利用	一般版、Business、APIで学習利用条件が異なるため、利用サービスを固定しデータ所在地を契約で確認
規制データをDeepSeek公式サービスへ入力	中国でのデータ処理・保存、学習利用設定を含む慎重な事前審査が必要
無料・個人向けAIを業務利用	5社とも原則として企業向け契約とは分け、機密情報入力を禁止・制限するべき

ここでの評価は、各社の企業向け契約を同じ条件で認証した公的ランキングではなく、公開されている技術評価・データ取扱条件を基にしたセキュリティ対策Labの整理です。

情報システム部門への示唆

生成AI導入で避けたいのは、「最も安全そうなモデルを1つ選べば対策が完了する」という考え方です。

英国AISIの評価を見る限り、最新のモデルはサイバー能力もエージェント能力も急速に向上しています。同時に、安全機構の回避も完全には解決されていません。

そのため、企業ではモデル選定より一段上の「AI利用基盤」として管理する必要があります。

まず、無料版・個人アカウントと企業向け契約を分離します。

ChatGPT Enterprise、Gemini Enterprise、Claude Enterpriseなど、SSO、SCIM、監査ログ、保持ポリシー、データ学習条件を管理できるサービスだけを業務利用対象にし、個人契約や未承認AIへの機密データ入力を制限します。

次に、AIへ接続するデータと権限を最小化します。

メール、クラウドストレージ、GitHub、CRM、社内Wikiなどへエージェントを接続すると、プロンプトインジェクションが単なる「変な回答」から「実際の操作」へ影響範囲を広げます。

読み取り権限と書き込み権限を分け、メール送信、ファイル削除、コード変更、決済、アカウント変更などの高リスク操作には人間の承認を入れるべきです。

さらに、生成AI用のDLPと監査ログを用意します。

誰が、どのAIへ、どの種類のデータを送ったかを把握できなければ、情報漏えいが起きても調査できません。

企業のAI導入が招く情報漏洩リスク-シャドーAIと権限過多が明らかにでも解説しているように、AIエージェントに過剰な権限を付与すると、既存のIAMやDLPを迂回する新しい経路になります。

DeepSeekとKimi K3については、公式サービスと自社ホストをポリシー上も別製品として扱うことが重要です。

公式サービスを禁止・制限しても、自社ホストしたオープンウェイトモデルまで同じ理由で禁止する必要があるとは限りません。逆に、自社ホストだから無条件に安全ということでもありません。

Kimiについてはさらに、一般向けKimi、Kimi Business、Kimi APIで学習利用やデータ処理条件が異なります。企業では「Kimiを許可する」という大括りなポリシーではなく、利用を認めるサービスと認証方式を具体的に指定する必要があります。

オープンウェイトモデルを社内運用する場合は、通常のSaaS審査ではなく、社内に新しい高権限アプリケーション基盤を構築するのと同じレベルで、脆弱性管理、ネットワーク分離、認証、ログ、出力制御、モデル更新を設計する必要があります。

セキュリティ対策Labでは、DeepSeek固有の論点についてDeepSeekとは？何がすごい？セキュリティの懸念を解説でも整理しています。

生成AIの選定で見るべきなのは、「どのAIが危険な質問を最も拒否するか」だけではありません。

「企業データをどこへ置くのか」
「誰がどのモデルを使えるのか」
「AIに何の権限を渡すのか」
「攻撃を受けたAIが勝手に実行できる範囲はどこまでか」
「利用ログを自社で追跡できるか」

というシステム全体の設計が、実際のセキュリティを左右します。

出典

• Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile – NIST
• 5 key findings from our first Frontier AI Trends Report – UK AI Security Institute
• How Far Behind the Frontier are Leading Open Weight Models on Cyber? – UK AI Security Institute
• Our evaluation of Claude Mythos Preview’s cyber capabilities – UK AI Security Institute
• Our evaluation of OpenAI’s GPT-5.5 cyber capabilities – UK AI Security Institute
• Incident Report: unsanctioned agent behaviour during cyber testing – UK AI Security Institute
• Written question 5864: Artificial Intelligence – UK Parliament
• Artificial Intelligence Security Policy – UK Department for Work and Pensions
• Recommendations for the public on personal use of generative AI – Israel Privacy Protection Authority
• AI Security Report 2025: Understanding threats and building smarter defenses – Check Point Research
• Wiz Research Uncovers Exposed DeepSeek Database Leaking Sensitive Information, Including Chat History – Wiz Research
• Gemini 3.7 Flash Model Card – Google DeepMind
• Google Workspace’s continuous approach to mitigating indirect prompt injections – Google Security Blog
• Gemini Enterprise app FAQs – Google Cloud
• How Gemini for Google Cloud uses your data – Google Cloud
• GPT-5.6 System Card – OpenAI
• Business data privacy, security, and compliance – OpenAI
• Security and privacy at OpenAI – OpenAI
• Introducing Claude Opus 5 – Anthropic
• Introducing Claude Sonnet 5 – Anthropic
• Claude Sonnet 5 System Card – Anthropic
• Is my data used for model training? – Anthropic Privacy Center
• How long do you store my organization’s data? – Anthropic Privacy Center
• Where are your servers located? Do you host your models on EU servers? – Anthropic Privacy Center
• DeepSeek Privacy Policy – DeepSeek
• Model Mechanism and Training Methods of DeepSeek – DeepSeek
• UK AISI / CAISI Preliminary Assessment of Kimi K3’s Cyber Capabilities – NIST / CAISI
• UK AISI / CAISI Preliminary Assessment of Kimi K3’s Cyber Capabilities – UK AI Security Institute
• Kimi K3: Open Frontier Intelligence – Moonshot AI
• Kimi K3 Open Day: Model weights, technical report and infrastructure – Moonshot AI
• Data Usage and Sharing – Kimi Help Center
• Data processing & security – Kimi Help Center
• Kimi OpenPlatform Privacy Policy – Moonshot AI
• AIや生成AIの情報漏洩 事例を解説 – セキュリティ対策Lab
• 業務に潜むシャドーAIとは-見えない生成AIが企業にもたらすリスクとは – セキュリティ対策Lab
• 企業のAI導入が招く情報漏洩リスク-シャドーAIと権限過多が明らかに – セキュリティ対策Lab
• DeepSeekとは？何がすごい？セキュリティの懸念を解説 – セキュリティ対策Lab