Cisco、「中国製 AIを禁止すればリスクがなくなる」とは限らない|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月31日更新日時: 2026年08月31日

CiscoとVAILは2026年8月27日、AIモデルの公開元や所在国だけでは、そのモデルがどの技術を受け継いでいるかを十分に判断できないとする調査レポート「Models don’t have passports: AI lineage crosses organizational and geographic borders」を公開しました。

調査では、NVIDIAのNemotronシリーズとAlibabaのQwenシリーズを対象に、モデルの重みを分析するCiscoの「Model Provenance Kit」と、推論時の挙動を分析するVAILの「Behavioral Fingerprinting」を使用しました。

NVIDIAが公開資料でQwen系のベースモデルを利用していると明示しているNemotronモデルでは、両手法ともQwenモデルとの類似性が統計的に高く現れました。Ciscoは、モデルが追加学習され、別企業のブランド名で公開された後でも、上流モデルとの技術的な関係が検出可能な形で残る場合があるとしています。

一方、Ciscoは今回の結果について、「類似性だけでモデルの完全な学習履歴や因果的な派生関係を証明できるものではない」と明記しています。調査が示したのは、中国製AIを排除しても必ず中国系技術が残るという結論ではなく、AIモデルのリスク評価を「公開企業名」や「国籍」だけで行うことには限界があるという点です。

CiscoのAIモデル系譜調査のサマリー

CiscoとVAILは2026年8月27日、AIモデルの公開元・所在国と技術的な系譜の違いを検証した調査を公開しました。
Ciscoは、モデルの技術的な依存関係が企業や国境をまたぐ状態を「provenance entanglement」と呼んでいます。
調査対象にはNVIDIAのNemotronとAlibabaのQwenが使われました。
NVIDIAは、一部のNemotronモデルがQwenのベースウェイトを利用していることをモデルカードなどで公開しています。
CiscoのModel Provenance Kitは184モデル、VAILの分析は1,159モデルのカタログを使用しました。
Ciscoの分析では、Qwen由来と公開されているNemotron 22モデルの近傍モデルの20.9％がQwenで、比較対象全体に占めるQwenの割合12.0％を上回りました。
VAILでは、Qwen由来と公開されているNemotron 27モデルの近傍モデルの28.1％がQwenで、カタログ全体の14.9％を上回りました。
Qwenベース、NVIDIA独自ベース、LlamaベースのNemotronを比較したところ、Qwenとの類似性は公開されている系譜と同じ順序を示しました。
Ciscoは、フィンガープリントによる類似性は調査の手掛かりであり、因果的なモデル系譜の自動証明ではないとしています。
公開元企業や所在国は、法域、責任主体、データ管理、更新権限を判断するうえでは引き続き重要です。
一方、脆弱性、バックドア、バイアスなど上流モデルから継承される可能性のあるリスクを見るには、モデルの技術的系譜も確認する必要があります。
Ciscoは、ベースモデル、派生方法、主要データセット、教師モデル、報酬モデル、ライセンス、運用主体などを記録する「Model Bill of Materials」の整備を提案しています。

項目	内容
公開日	2026年8月27日
調査主体	Cisco、VAIL
レポート	Models don’t have passports: AI lineage crosses organizational and geographic borders
主な対象	NVIDIA Nemotron、Alibaba Qwen
Ciscoの分析対象	184モデル
VAILの分析対象	1,159モデル
分析方法	モデル重みのフィンガープリント、推論挙動のフィンガープリント
主な結論	公開元・国籍だけではモデルの技術的系譜を十分に説明できない
Ciscoが提案する対策	モデル系譜の開示、Model BOM、技術的フィンガープリントによる検証
重要な制約	類似性は完全な学習履歴や因果的派生関係の証明ではない

「米国製」「中国製」というラベルだけでは技術的独立性を判断できない

AIモデルは一般に、開発企業や公開元の所在地を基に「米国製」「中国製」などと分類されることがあります。

Ciscoは、この分類自体が無意味だとしているわけではありません。

公開元企業がどの国の法律に従うのか、誰がサービスを運用するのか、ユーザーのプロンプトやデータへ誰がアクセスできるのか、誰がモデルを更新・停止できるのかを確認するうえで、企業の所在地や法域は重要です。

一方、モデルの技術的な中身は、それだけでは分かりません。

現代のAIモデルは、ゼロからすべて学習されるとは限らず、既存モデルのチェックポイントをベースに追加学習したり、別モデルを教師として蒸留したり、他モデルが生成した合成データを学習したりします。

さらに、モデルのマージ、量子化、枝刈り、再学習などを経た後、別の企業名やモデルファミリー名で公開される場合があります。

Ciscoは、こうした技術的な依存関係が企業や国境をまたぐ状態を「provenance entanglement」と表現しています。

つまり、最終的な公開元はサプライチェーンの最後の一部分であり、モデルがどのような技術を受け継いできたかを完全には表しません。

NVIDIA NemotronとAlibaba Qwenで実際に検証

CiscoとVAILは、この問題を検証するため、NVIDIAのNemotronシリーズとAlibabaのQwenシリーズを選びました。

Nemotronが適していた理由は、一部モデルについてNVIDIA自身がQwenのベースウェイトを利用したことを公開しているためです。

たとえばNVIDIAがHugging Faceで公開する「OpenMath-Nemotron-7B」は、Qwen2.5-7BおよびQwen2.5-Math-7Bをベースとするモデルとしてモデルツリーが公開されています。

同様にOpenMath-Nemotron-1.5Bや32Bでも、Qwen系列のモデルがベースとして明示されています。

一方、NemotronシリーズにはNVIDIAがゼロから学習したモデルや、MetaのLlamaをベースとするモデルも存在します。

このためCiscoは、公開済みの系譜情報を「正解データ」として、技術的なフィンガープリントから同じ関係を検出できるかを検証しました。

重みと推論挙動、2つの異なる方法で分析

調査では、異なる仕組みを持つ2種類のフィンガープリント技術が使われました。

Ciscoの「Model Provenance Kit」は、モデルファイルそのものを分析します。

モデルのアーキテクチャ情報、トークナイザー、学習済みウェイトから複数の特徴量を抽出し、別モデルとの近さを比較する仕組みです。

Ciscoが公開しているModel Provenance Kitのリファレンスデータベースには、Meta、Google、Alibaba、Microsoft、Mistral AI、DeepSeek、NVIDIA、IBM、Tencentなど、複数のモデルファミリーが登録されています。

一方、VAILの方法はモデルファイル内部ではなく、モデルが推論時に示す挙動からフィンガープリントを作成します。

固定された入力に対するモデルの出力を数学的に分析し、モデル間の挙動の近さを比較します。

Ciscoは、この2つの方法が同じものを測定しているわけではない点を強調しています。

一方はモデルのアーティファクト、もう一方は実際の推論挙動を見るため、両方で同じ方向の結果が出れば、公開されているモデル系譜と整合する追加の証拠になります。

QwenベースのNemotronはQwenとの類似性が高く出た

CiscoのModel Provenance Kitを使った分析では、184モデルのカタログが使用されました。

カタログ全体ではQwenモデルが12.0％を占めています。

一方、Qwenのベースウェイトを利用していると公開されているNemotron 22モデルについて、近いモデルを調べたところ、その20.9％がQwenでした。

これはカタログ全体の比率に対して1.74倍です。

VAILの1,159モデルのカタログでも同様の傾向が確認されました。

VAILのカタログ全体ではQwenが14.9％でしたが、Qwen由来と公開されているNemotron 27モデルの近傍ではQwenが28.1％となり、1.89倍でした。

さらにNemotronをベースウェイト別に分類すると、VAILの分析ではQwenベースのモデルでQwen近傍モデルが28.1％、NVIDIA独自ベースでは20.4％、Llamaベースでは3.9％でした。

Ciscoの分析でも、Qwenベース20.9％、NVIDIA独自ベース11.9％、Llamaベース0％と、公開されている系譜と同じ順序になりました。

Ciscoは、異なる2つの分析方法が同じ方向性を示したことを今回の主要な結果としています。

Google・Metaとの比較では同じ傾向を確認せず

研究チームは、単純にQwenモデルがカタログ内で多かったために類似性が高く見えた可能性も検証しています。

そのため、Qwenとの直接的なベースウェイト関係が公開されていないGoogleやMetaのモデルも比較対象にしました。

Ciscoによると、これらの比較ではNemotronとQwenの間で確認されたような一貫したQwenモデルの過剰出現は確認されませんでした。

この結果から、Qwenモデルの母数が多いことだけでは、Nemotronで確認された傾向を説明しにくいとしています。

ただし、CiscoはGoogleやMetaのモデルを「Qwenと完全に無関係であることが証明された対照群」として扱っているわけではありません。

公開された直接的なベースウェイト関係がないという条件で比較したものであり、共通データセット、教師モデル、アーキテクチャなど別の関係が存在しないことを証明するものではありません。

類似性だけで「中国系モデル」と断定できるわけではない

今回の調査で最も注意すべき点は、フィンガープリントの一致をそのままモデルの系譜確定とみなしていないことです。

Ciscoのレポートでは、類似性は「detection signal」であり、因果的なモデル派生関係そのものではないとしています。

モデル同士が似る理由には、同じベースウェイトの利用だけでなく、共通のアーキテクチャ、トークナイザー、データセット、教師モデル、学習目的なども考えられます。

したがって、フィンガープリントだけを根拠に「このモデルは中国製AIから派生した」と断定することはできません。

Ciscoが定める「Model Provenance Constitution」では、正式な系譜関係を確認するには、親モデルと派生方法を示した公式文書、チェックポイントの検証、信頼できる第三者による分析など、因果的なウェイト派生を示す証拠が必要とされています。

今回のNemotronとQwenの関係は、NVIDIA自身が公開している系譜情報があり、その関係と2つのフィンガープリント分析が整合したという位置付けです。

「中国製AIを禁止すればリスクがなくなる」とは限らない

Ciscoの調査が企業のAI調達に投げかける問題は、特定国のモデル利用を禁止するポリシーだけで、技術的な依存関係まで排除できるとは限らない点です。

たとえば企業が「特定国の企業が公開するモデルは利用しない」というルールを設けても、許可された企業が公開するモデルが、制限対象となるモデルのウェイトをベースに追加学習されている可能性があります。

逆に、中国企業が公開するオープンウェイトモデルを企業自身の閉域環境で運用し、元の開発企業がデータや更新機能へアクセスできない場合、クラウドAPI型サービスとは運用上のリスクが異なります。

このため、Ciscoは「国籍」の問題を複数のリスクへ分解する必要があるとしています。

誰がサービスをホストしているか、誰が入力データを受け取るか、誰がモデルを更新・停止できるかという問題は「運用上の支配」の問題です。

一方、脆弱性、バックドア、バイアス、特定の挙動などを上流モデルから受け継ぐ可能性は「モデル系譜」の問題です。

両者は関連しますが、同じものではありません。

上流モデルのバックドアや脆弱性が下流へ残る可能性

モデル系譜がセキュリティ上重要になる理由の一つが、上流モデルの性質が下流モデルへ残る可能性です。

Ciscoのレポートは先行研究を引用し、特定のバックドア挙動や欺瞞的な挙動が追加学習後も残る例や、知識蒸留を通じてバックドアが教師モデルから生徒モデルへ移る例があると説明しています。

ただし、Ciscoは「すべての上流モデルの問題が必ず下流モデルへ引き継がれる」と主張しているわけではありません。

重要なのは、上流モデルに重大な脆弱性やバックドア、体系的なバイアスが後から判明した場合、そのモデルから派生した下流モデルを特定して再評価する必要があるという点です。

ソフトウェアで脆弱なライブラリが見つかった際、SBOMを使って影響を受ける製品を確認するのと似た問題です。

AIモデルでも「どのモデルを元に、どのように作られたか」が分からなければ、上流の問題が発覚した際に影響範囲を特定できません。

Ciscoは「Model Bill of Materials」を提案

Ciscoは、AIモデルについてソフトウェアのSBOMに相当する「Model Bill of Materials」の考え方を提案しています。

記録対象として挙げているのは、ベースチェックポイント、派生・追加学習方法、主要なデータセット、合成データ生成モデル、教師モデル、報酬モデル、ライセンス、デプロイ後にアクセスできる主体などです。

AIではソフトウェアの依存ライブラリのように、すべての依存関係がmanifestファイルへ記録されているわけではありません。

モデルの依存関係は、学習済みウェイトやデータ、教師モデルなどへ埋め込まれています。

そのためCiscoは、開発者による自己申告と、Model Provenance Kitのような技術的なフィンガープリント分析を組み合わせることを提案しています。

技術分析は開示情報を検証する補助材料として使い、矛盾や不明点があるモデルを追加調査する考え方です。

NISTも生成AIの「第三者コンポーネント」をリスクとして整理

AIサプライチェーンの問題はCiscoだけが指摘しているものではありません。

米国立標準技術研究所（NIST）の「AI Risk Management Framework: Generative Artificial Intelligence Profile」でも、生成AIのバリューチェーンには、調達したデータセット、事前学習済みモデル、ソフトウェアライブラリなど多数の第三者コンポーネントが含まれるとしています。

NISTは、こうした第三者コンポーネントが十分に検証されていない場合、下流利用者にとって透明性や説明責任が低下する可能性があるとしています。

特に基盤モデルの学習には大きなコストがかかるため、限られた数のモデルが広く再利用される点を生成AI特有のリスク要因として挙げています。

Ciscoの今回の調査は、この「再利用されたモデルの依存関係」を技術的に検証する方法の一例と位置付けられます。

AIモデル調達では「企業名・国籍・モデル名」だけを台帳にしない

企業が生成AIやオープンウェイトモデルを採用する場合、従来はサービス名、提供企業、利用リージョン、入力データの扱いなどを確認するケースが中心でした。

今回のCiscoの調査を踏まえると、独自にモデルを導入・運用する企業では、モデルの系譜もAI資産台帳へ追加する必要があります。

最低限、次のような情報を確認できる状態が望まれます。

確認項目	主な確認内容
公開元	誰がモデルを公開・保守しているか
法域	どの国・地域の法制度が適用されるか
ベースモデル	どのチェックポイントを基にしているか
派生方法	Fine-tuning、蒸留、マージ、継続事前学習など
学習データ	主要データセット、合成データの生成元
教師・報酬モデル	蒸留やアラインメントで利用したモデル
ライセンス	元モデルを含む利用条件
ホスティング	誰が推論基盤を管理するか
更新権限	誰がモデルやシステムを変更できるか
データアクセス	プロンプト、ログ、出力へ誰がアクセスできるか
技術検証	モデルカードとフィンガープリント等に矛盾がないか