中国AlibabaのAI「Qwen3-Coder」、米防衛企業向けと指定すると生成アプリの70％でサイバー攻撃が成立

イスラエルのAIセキュリティ企業Hirundoは2026年10月21日、中国Alibabaのコード生成AI「Qwen3-Coder」が、依頼元の属性によって安全性の異なるプログラムを生成するとの検証結果を公表しました。米国の防衛関連企業向けと指定した場合、生成したWebアプリケーションの70％で攻撃が成立したのに対し、中国の防衛関連企業向けでは59％でした。差は11ポイント、相対比で約19％に相当します。

同社は、モデルの重みを調整した独自版では差が縮小したと報告しています。ただし、調査は特定のQwen3-Coderモデルと認証・秘密情報管理を行うアプリの生成課題に基づくもので、中国製AI全体の性質や、開発元が意図的に脆弱性を埋め込んだ事実を証明したものではありません。

調査結果のサマリー

• 調査を公表したのはイスラエルのHirundo。公表日は2026年10月21日です。
• 対象モデルは「Qwen3-Coder-30B-A3B-Instruct」と、Hirundoが重みを調整した「Westernized Qwen3-Coder」です。
• 同一のWebアプリ生成課題に対し、システムプロンプトに記した依頼元の属性だけを変えて比較しました。
• 元モデルで生成したアプリのうち、米防衛関連企業向けは70％、中国防衛関連企業向けは59％で攻撃が成立しました。
• 香港の民主化支援団体向けでは、ユーザー間で秘密情報を不適切に参照できるアプリの割合が47％となり、中立的な依頼元の37％を上回りました。
• 「安全なコードを書く」と指示した条件でも、米防衛関連企業向けの攻撃成立率は74％、中立的な依頼元は59％でした。
• 独自調整版では、米国・中国の防衛関連企業向けの攻撃成立率がそれぞれ56％、55％となりました。
• 今回の発表はHirundo自身による検証結果であり、攻撃に悪用された実際の製品や、特定組織での情報漏えいを示すものではありません。

※各値はHirundo公表値。比較行によって評価指標と生成条件が異なるため、異なる指標を直接比較することはできません。

同じアプリを生成させ、依頼元の国・属性だけを変更

Hirundoは、ユーザー登録、ログイン、秘密情報の保存機能を備えるWebサービスを生成させました。課題には、ETH ZurichとLogicStarによるセキュリティ評価ベンチマーク「BaxBench」のSecretStorage課題を使用しています。

研究ではモデルの入力条件をそろえ、米国の防衛関連企業、中国の防衛関連企業、香港の民主化支援団体、地元のサッカーファンクラブなどを想定した中立的な依頼元を比較しました。元モデルと調整版について同一のプロンプト、トークナイザー、推論設定を使用したと説明しています。

代表的な比較では、元モデルが米防衛関連企業向けに生成したアプリの70％で実際に攻撃が成立しました。中国防衛関連企業向けは59％で、HirundoはFisherの正確確率検定によって統計的な有意差を確認したとしています（p＝0.03）。報告中の「19％高い」は相対的な増加率であり、70％と59％の差が19ポイントという意味ではありません。

一方、モデルを変更した調整版では56％対55％となり、この比較に有意差は認められませんでした（p＝0.84）。ただし、調整版でも半数程度のアプリに攻撃が成立しており、調整によって生成コード全体の安全性が保証されたわけではありません。

香港の民主化支援団体向けではアクセス制御の不備が増加

Hirundoが調べたもう一つの指標は、ログインした利用者が別の利用者の秘密情報を読み取れるかどうかです。元モデルでは、香港の民主化支援団体向けに生成したアプリの47％で問題が確認され、中立的な依頼元向けの37％を上回りました。相対比では約28％の増加で、研究者は有意差があると報告しています（p＝0.024）。

典型例は、利用者の認証自体は行っているものの、情報を要求した利用者がそのデータの所有者かどうかを確認しないアクセス制御の欠落でした。この種の不備は、権限のない利用者に個人情報や認証関連情報を閲覧される原因となります。

調整版では香港の団体向け26％、中立的な依頼元向け30％となり、元モデルに見られた方向の差は再現しませんでした。

「安全なコードを生成」と指示しても差は解消されず

Hirundoは、セキュリティ上のベストプラクティスを守り、一般的な脆弱性を避けるよう明示した追加条件でも試験しています。元モデルの攻撃成立率は米防衛関連企業向け74％、中立的な依頼元向け59％でした。両者の相対差は約27％で、統計的に有意とされています（p＝0.03）。

調整版では同条件で49％と48％になりました。Hirundoは、この差の解消がモデル内部の重みと出力傾向の関係を示すと主張しています。政治的な回答傾向を変更する同社独自の「Westernization」という重み調整を行ったもので、モデルに特定のコーディング課題や顧客属性を追加学習させたわけではないと説明しています。

一般的なコーディング性能を検証する別の10課題では、動作するアプリを生成できた割合は調整前50％、調整後51％、攻撃成立率は両モデルとも25％だったと報告しています。これは少なくとも同社の検証条件では、依頼元属性による差が縮小する一方、他課題の性能が大きく変わらなかったことを示しています。

静的解析だけでは見逃す可能性、1,840件の生成アプリも検証

Hirundoは生成したアプリ1,840件に対して、SemgrepとMetaのPurpleLlamaに関連するセキュリティルールを適用したところ、検出は2件だったとしています。一方、BaxBenchの攻撃による動的検証では1,144件に侵入できたと報告しました。

この結果は、今回使用したルールセットによる静的検査と、実行時のアクセス制御を試す攻撃テストでは検出対象が大きく異なることを示しています。ただし、Semgrepのあらゆるルールセットや静的解析製品全体が同程度の検出率になることを証明するものではありません。

過去にもDeepSeekなどのコード生成で類似傾向を報告

関連する先行研究として、CrowdStrikeは2025年11月、DeepSeek-R1に政治的に敏感な地名や集団名を含む条件を与えると、脆弱なコードの生成割合が変化するとの検証結果を公開しました。2026年にはBooz Allen Hamiltonも、中国系の複数のコーディングモデルを対象に、米政府関連の依頼元を示した際の安全性を調査しています。

ただし、各研究で対象モデル、試験課題、生成条件、脆弱性の判定方法が異なります。今回のHirundoの結果と過去調査の割合を、そのまま同一条件の比較として扱うことはできません。

Hirundoも今回の研究対象が1モデルに絞られていることを認めており、最初に11種類のBaxBench課題を小規模に試し、差が目立った秘密情報管理の課題を大規模検証したと説明しています。こうした課題選択と研究主体が自社のモデル調整サービスを提供している点を踏まえ、他のモデルや実際の開発案件への一般化には追加検証が必要です。

なお、今回の検証はコードに意図的な通信機能や隠されたバックドアが埋め込まれたと確認したものではありません。Hirundo自身も、第三者が意図的にこの挙動を作り込んだかどうかは判断できないと明記しています。

米国政府はDeepSeekと派生製品を連邦文民機関から排除

中国製AIの調達リスクをめぐっては、米国政府も具体的な措置を講じています。米国土安全保障省（DHS）は2026年10月20日、DeepSeekおよび対象となる関連企業の製品・サービスを連邦文民政府機関の調達から排除し、DeepSeekの実装を利用した第三者製品・サービスも対象システムから除去する命令を連邦官報に掲載しました。

この命令は、連邦文民政府機関の対象システムと調達に関するもので、米国の民間企業や日本企業に中国製AI全般の使用を禁じる措置ではありません。また、今回のHirundoの調査対象であるAlibabaのQwen3-Coderが、DeepSeekを対象とした命令によって直ちに禁止されるわけでもありません。法令・調達上の制限と、AIが生成したコードの脆弱性は、それぞれ独立して評価する必要があります。

中国製AIを利用する際のリスクも一律ではありません。外部のAIサービスでは、入力した機密情報の保存国、処理国、事業者の法的管轄、外部送信先が問題になります。一方、オープンウェイトモデルを自社環境で実行する場合には、外部送信を制御できても、モデルが生成するコードの安全性まで保証されるわけではありません。今回の検証は後者の課題を示しています。米DHSによる措置や日本の個人情報保護委員会の注意喚起については、セキュリティ対策Labの米国政府によるDeepSeek排除と中国製AIのリスクを整理した記事で詳しく取り上げています。

ソブリンAIの観点からもモデルの出自・データ管理・生成コードの検証が課題

日本政府は2026年10月20日、政府共通の生成AI利用環境「源内」にAIエージェント機能を順次導入すると発表し、同時に「源内基準」を公表しました。同基準は、特定の国や事業者、技術への過度な依存を避け、必要なAIを主体的に選択し、継続して利用できる状態を重視しています。

ここでの「ソブリンAI」は、国産AIだけを使うという意味ではありません。AIモデル、計算基盤、データの保存先、管理権限、供給停止時の代替手段を自ら統制する考え方です。日本政府の方針でも、国産・海外製モデルを安全性や性能などによって評価し、利用目的に応じて適切に選定します。こうしたデジタル庁「源内」のAI主権とセキュリティに関する既報は、今回の研究を企業のAI導入に引き付けて考える際の参考になります。

Qwen3-Coderの検証結果を踏まえると、AIを国内サーバーで動かせるだけでは安全性の検証は完結しません。生成コードの脆弱性評価、モデル・バージョンの追跡、調達先と学習済み重みの来歴、別モデルへの切り替え可能性を、それぞれ管理する必要があります。今回の研究だけで中国製AI全体に同様の挙動があると断定することはできず、他国製のAIにも同一基準の検証を適用することが前提です。

情報システム部門・開発組織への示唆

企業がAIコーディングツールを導入する際は、モデルの国籍や標準ベンチマークのスコアだけでコードの安全性を判断せず、実際の業務要件に沿ったセキュリティ検証を行う必要があります。外部AIサービスへのデータ送信に関する審査と、AIが生成するコードの品質・脆弱性に関する審査も分けて実施します。

まず、利用中のコード生成モデルとその派生モデル、バージョン、利用部門を把握します。認証・認可、顧客データ、秘密情報の保存・取得といった機能では、生成コードを人がレビューし、利用者間のアクセス制御を実行時テストで確認します。機密性の高い業務では、実際の事業領域や利用者属性を含めた入力条件で、出力の差が生じないかを評価する方法も考えられます。

また、生成コードのセキュリティ確認は静的解析だけで完結させず、権限昇格、他人の情報閲覧、認証処理の不備を想定した動的検証と組み合わせます。AIによる脆弱性検出に関する研究・製品動向も、ソフトウェア検証体制を考える際の参考になります。

出典

• Chinese AI Writes Weaker Code for Beijing’s Adversaries. We Fixed It. A Qwen3-Coder Case Study — Hirundo（2026年10月21日）
• CrowdStrike Researchers Identify Hidden Vulnerabilities in AI-Coded Software — CrowdStrike（2025年11月20日）
• What’s In America’s Code? — Booz Allen Hamilton（2026年）
• Notice of Order Regarding Exclusion and Removal of DeepSeek Products — 米国土安全保障省／Federal Register（2026年10月20日）
• DeepSeekに関する情報提供 — 個人情報保護委員会（2025年2月3日）
• ガバメントAI「源内」におけるAIエージェント利用環境と「源内基準」の公表 — デジタル庁（2026年10月20日）