メーカー公式の『低ガードレール』モデルとは？Meta・Google・Mistral・DeepSeek を3つの型で整理

拒否の少ないモデルは、コミュニティの職人が重みを加工して作るものだけではありません。

Meta・Google・Mistral といった大手メーカーも、本体に拒否を厚く積まず、
安全の仕組みを別の部品として切り離して配る方法を採用したモデルを公開しています。

同じ「拒否の少なさ」でも、後から外すモデルと最初から薄く作られたモデルでは、工程が根本から違います。

---

1. 「外す」モデルと「最初から薄い」モデルはどう違うのか？#

違いは工程の順序にあります。

「外す」モデルは、拒否を重みに焼き込んでから後で削る工程で作られます。
大手の設計は、最初から本体に拒否を厚く積みません。
順番がまったく逆なのです。

abliteration（拒否の方向を重みから外す手法）を振り返りましょう。

標準的なモデルは追加学習の段階で
「断る」という挙動を重み（学習済みの数値データ）の奥に焼き込まれており、
abliteration はその構造を見つけて重みから直接削り取る手法でした。
厚く積まれたものを、後から外す工程です。

大手の設計はこの逆で、本体のモデルには拒否する機能を薄くしか積まず、安全の判定は本体の外に置きます。
外す必要が最初からない作り方です。

この記事で使う 3 つの言葉は次のとおりです。

• モデル本体（重み）：モデルの「脳」にあたる、学習済みの数値データ。断る挙動もここに積まれています
• モデレーション／ガードレール：入出力を検査し、危険とみなしたものを遮断する別の仕組み。本体の外側に置く「検査係」です
• system prompt（システムプロンプト）：会話の前にモデルへ渡す「役割とルールの指定書」です

回答を拒否する機能が「薄い」とは、無防備という意味ではありません。
「低ガードレール」なモデルとは、安全の仕組みを取り付けられる状態で置かれたモデルのことです。
重みを後から加工する型の代表は uncensored モデル おすすめ10選 で扱っています。

ガードレールを付ければ通常どおり危険を遮断するサービスになり、
外せば研究向けの素のモデルになります。
本体のガードレールを薄く作ったおかげで、「安全をどこまで積むか」は選べる部品になりました。

2. 型 1「分離型」：モデルと安全はなぜ別部品になったのか？#

大手が配る本体モデルは「素」に近く、
安全は別のモデルやサービスとして切り離して提供されています。
この構造をここでは「分離型」と呼びます。

代表例は Meta です。
Llama 本体とは別に、12B のマルチモーダル（テキストと画像の両方を扱える）安全分類器「Llama Guard 4」を公開しています。

Llama 4 Scout から作られ、MLCommons のハザード分類（危険の分類表）に合わせて調整され、
テキストと画像の入出力を safe / unsafe に判定します。
Llama API の /moderations という窓口からも使えます。

ほかにも Meta は、
プロンプト攻撃（悪意ある指示を紛れ込ませる手口）を検知する Prompt Guard 2、
これらのガードを統括する LlamaFirewall をそろえ、
「Llama Protections」という枠組みにまとめました。

他社も同じ方向を向いています。

• Google の ShieldGemma：Gemma 2 から派生した安全分類器。2B・9B・27B の 3 サイズで、配布元が公表する社内プロンプト分類の Optimal F1 スコア（判定精度の指標）はおよそ 0.83 です
• Mistral の Shieldstral 1.0：2026 年 8 月 4 日公開、Apache 2.0（商用利用も可能な公開ライセンス）の 3.8B モデル。方針を自然言語の質問として渡す「方針適応型」で固定のカテゴリを持たず、yes / no の確率を連続スコアで返します。自己ホスト専用で、Mistral の API からは提供されません
• そのほか：Alibaba の Qwen3Guard-8B、OpenAI のオープンウェイト安全モデル GPT-OSS-Safeguard-20B、NVIDIA の Nemotron-3.5-Content-Safety-4B が並んでいます

なかでも NVIDIA の「Llama Nemotron Safety Guard Permissive」は、
安全分類器の判定のうち「Needs Caution（要注意）」を Safe（安全）側として判定する、
いわば“許容型”の設定を製品として配っています。
低ガードレールな設定が、製品カテゴリとして公式に配られている例です。

分離型では、本体モデルは素に近く、安全は「あとから付ける部品」です。
付けるかどうか、何を危険とみなすかは利用者が決めます。

3. 型 2「素の重み＋利用時ポリシー型」とは？：Mistral#

Mistral は、フィルターを掛けるかどうかを利用者が選ぶ設計を採っています。

型 1 が「本体は素で、安全は別部品」だったのに対し、
このタイプは「別部品を用意したうえで、使うかどうかまで利用者に委ねる」設計です。

もとになっているのはオープンウェイト（重み、つまりモデルが学習した数値データを公開する方針）です。
2026 年時点のドキュメントでの現行ラインナップは、次のとおりです。

• Mistral Small 4（Apache 2.0・2026 年 3 月版）
• Mistral Large 3（Apache 2.0・2025 年 12 月版）
• Ministral 3 の 14B / 8B / 3B（Apache 2.0・2025 年 12 月版）
• Mistral Medium 3.5（Modified MIT・2026 年 4 月版）

振る舞いの設計も、利用者側に委ねられています。
Mistral Small 3.2 の配布ページの説明（モデルカード）には
「system prompt（会話に先立ってモデルへ渡す、役割とルールの指定書）を必ず付けること」と書かれており、
汎用アシスタントとして使うなら、同梱の SYSTEM_PROMPT.txt にあるものを使うことが推奨されています。
「どう振る舞うか」の初期値すら、メーカーが固定するのではなく利用者が用意する形になっているのです。

一方で、Mistral のプラットフォーム（Studio）には「Moderation & Guardrailing」という機能があります。
カスタムガードレールでは、リクエストごとにルールを宣言し、
カテゴリごとに 0〜1 の閾値（判定の厳しさの目盛り）を指定できます。
閾値を 1 にすると、そのカテゴリを明示的に無効化できます。

判定は入力のみで、モデルに届く前に検査され、違反時は 403（拒否を示す応答）が返されます。
この判定を担うのは mistral-moderation-2603 という専用の仕組みです。
安全のための部品は本体の外にあり、その強さは 0 から 1 まで（無効化まで含めて）利用者の意思で決められます。
何も設定しなければ、モデルはそのまま応答します。

型 1 と同じく本体は素のままで、別部品のダイヤルまで利用者に開放している点が、型 2 の見分けどころです。

4. 型 3「同じ重み・違う運用型」：DeepSeek では運用で何が変わるのか？#

同じ重みでも、誰が動かすかで挙動が変わることがあります。
それを測定の数字で示したのが、DeepSeek をめぐる一連の報告です。

DeepSeek のモデルは MIT ライセンスで重みが公開されています。
V4-Pro は 1.6 兆パラメータの MoE（多数の専門部分を持ち、1 トークンあたり 49B だけを活性化して動く構造）、
V4.1-Flash は 552B・8〜16B 活性の、画像も扱えるマルチモーダル MoE です。

公開された重みを自己ホストすれば、拒否の層を挟まずに動かせます。
実際、外部の事業者が自社 GPU 上で「拒否レイヤーなし・出力フィルタなし」として提供している例もあります。
ここまでは、型 1 や型 2 と同じです。

ただし、DeepSeek の自社サービスは別でした。
2025 年 1 月の実測（Promptfoo による DeepSeek-R1 の調査）では、
政治的に敏感な話題 1,360 問のうち、約 85%（1,156 問）が拒否または回避の回答でした。
特徴として報告されたのは、定型の拒否文が推論（reasoning、答えに至る思考の過程）を上書きする形で現れることです。

このほかに、次の 2 点が報告されています。

• 敏感な話題では、推論の痕跡が始まってすぐに止まります
• Ars Technica の報告では、同じ質問でも実行ごとに回答が変わることがあります

学術研究でも確かめられています。
2025 年 5 月の論文（arXiv 2505.12625）は、R1 の「ローカル検閲」を約 10,030 件のプロンプトで分析しました。
結果、検閲の傾向は蒸留（小さいモデルへの学習）でも完全には移らず、
言い換えや繰り返しといった単純な脱獄で、最大 97.86% を回避できたと報告されています。

これらの事実から、拒否には 2 種類あることがわかります。

• 重みに焼き込まれた拒否：学習の結果、重みそのものに染み込んだもの
• サービング側のモデレーション層：本体とは別の分類器が、入出力を検査して遮断するもの

DeepSeek の自社サービスは後者を厚く持ち、公開された重みは前者が薄い。
この違いが、測定の数字となって表れたわけです。

つまり拒否は、モデルの性質だけでなく、誰がどこにどれだけの層を置くかという運用の設計にも左右されます。
同じ重みが、運用によって別の挙動を見せることが、型 3 の特徴です。

5. 3 つの型をどう見分けるのか？利用者が確認すべきこと#

6. メーカー公式の低ガードレールは今後も続くのか？#

ここまで見てきたメーカー公式の低ガードレールは、今後も同じ形で続くとは限りません。

コミュニティの加工者たちは、Google が NVIDIA の GenRM に近い手法（生成型の報酬モデルを「内部の批判者」として使う仕組み）を導入しつつあると指摘しています。
報酬モデルとは、モデルの出力に点数を付けて良し悪しを判定する、もう 1 つのモデルのことです。
断るか答えるかの判断を、その報酬モデルが生成のたびに内側で下す設計になります。

この変化が意味するのは、拒否の仕組みの分散です。
従来のモデルの拒否の仕方は重みの中に比較的まとまって刻まれていたからこそ、abliteration が有効でした。
判定が「内部の批判者」に委ねられる設計では、単純な abliteration は効きにくくなる方向に進むというのが、加工者たちの見立てです。

型 1 から型 3 のどの型であれ、メーカー公式の低ガードレールはメーカーの方針次第で姿を変え得ます。
そのため、重みが公開され、誰でも中身を確かめられるかどうかが、選ぶときの判断材料になります。

7. Deepent Research について#

私たち Deepent Research は、回答を極限まで拒否しない LLM チャットサービスです。標準の AI では途中で止まってしまう調べものを、最後まで続けられるように作りました。

• 拒否しない。LLM のガードレールを徹底的に軽減した uncensored・abliterated モデルを採用。標準の AI が「お答えできません」と打ち切る問いにも答えます（Qwen3.5 / Qwen3.8-27B-abliterated 系をプランに応じて使い分け）
• 入力は学習に使わない。調べた内容はサービス提供のためにのみ使われ、AI の学習や他の目的には使用されません。個人情報も厳重に保護し、プライバシーポリシーを公開しています
• 無料で試せる。GPU もインストールも不要、ブラウザを開くだけ。未ログインのお試しは会話が保存されないので、気軽に始められます

→ 登録なしで無料トライアル: https://deepentresearch.com

「どんな問いも、リサーチを止められない」。

No question can stop research.

よくある質問#

「低ガードレール」は無防備（ノーガード）という意味ですか？#

⌄

無防備という意味ではありません。

安全の仕組みを取り付けられる状態で置かれ、付ければ危険を遮断するモデルのことです。

モデレーション（ガードレール）は、あとから外せるのですか？#

⌄

Mistral のカスタムガードレールでは、カテゴリごとに 0〜1 の閾値を指定できます。

1 にするとそのカテゴリを無効化でき、何も設定しなければモデルはそのまま応答します。

オープンウェイトかどうかは、なぜ重要なのですか？#

⌄

重みが公開されていれば、自分や第三者が挙動を直接試せます。

運営元の説明や外部の実測レポートに頼らず、中身を確かめられることが価値です。

同じモデルなのに、サービスによって拒否され方が違うのはなぜですか？#

⌄

拒否には、重みに焼き込まれたものと、運用側のモデレーション層の 2 種類があります。

同じ重みでも、誰がどこに層を置くかで挙動が変わります。

免責#

本記事は、AI による下書きをもとに、運営が事実関係を確認・加筆・編集して公開しています。
本記事は教育・研究目的の情報提供であり、違法行為や犯罪の助長を意図するものではありません。
数値は第三者の公開レポートおよび配布元の公表値であり、測定条件により変わることがあります。