uncensored LLM の悪用は実際にあるのか？検閲なし AI とサイバー犯罪の研究データ

セキュリティの検証や学術調査で AI を使おうとすると、
危険な単語が含まれるだけで「安全ポリシーによりお答えできません」と回答を拒否される場面があります。
そうした過剰な拒否を避けるために、安全ガードレールを緩和して公開されているモデルや、
手元の PC で動かせる検閲なしモデル（uncensored LLM）を使うエンジニアや研究者が増えています。

一方で、ニュースや技術系の言説では「検閲なし AI はサイバー犯罪の温床になる」、
あるいは「オープンウェイトモデル（重みが公開されているモデル）の配布は危険すぎる」といった懸念が繰り返し語られています。
ローカルでモデルを動かしている人や AI の安全性に関心を持つ人にとって、
何が研究データで確認されていて、何が言い過ぎなのかは判断しづらい状態です。

この記事では、学術論文や公的機関・セキュリティ企業の報告をもとに、
uncensored LLM が実際にどこまでサイバー犯罪へ悪用されているのかを整理します。
悪用の規模、商用 API との比較、安全機構が外れやすい理由、使う側の注意点がわかります。

0. uncensored LLM の「悪用」とは何を指すのか？#

uncensored LLM の悪用とは、安全ガードレールが解除された大規模言語モデルを使い、
マルウェア作成やフィッシング詐欺、脆弱性探索などのサイバー攻撃を支援・実行させる行為を指します。
ただし、モデルが存在すること自体は悪用を意味せず、
研究・開発用に所持することと、他者に実害を与える攻撃に用いることは区別されます。

「uncensored LLM（検閲なし大規模言語モデル）」とは、
通常の商用 AI サービスに備わっている安全フィルターや回答拒否の仕組みを取り除いた、
あるいは学習段階で付与していないオープンウェイトモデル（重みが公開されているモデル）の総称です。
学術研究では ULLM（Uncensored Large Language Model）と表記され、
abliterated（重みの加工で拒否を外した）モデルなどもこれに含まれます。

参考: 「拒否しない AI」はどうやって作るのか（abliteration の解説）

サイバーセキュリティの領域において「悪用」として議論される行為には、
主に次の 4 つの類型があります。

• 悪意あるコードの作成支援 — セキュリティ対策を回避するマルウェアや難読化スクリプトの生成
• 標的型フィッシングの大量生成 — 実在の機関を装い、文法的に自然な詐欺文面や誘導メッセージを自動生成する
• 脆弱性探索と侵入プロセスの補助 — 対象システムの弱点（脆弱性）を見つけ出し、侵入コマンドを組み立てさせる
• 不正な対話サービスのバックエンド利用 — 地下フォーラムで犯罪者向けの対話型支援ツールとして提供する

セキュリティの研究者や防御担当者も、
攻撃者の手法を把握し、自組織の防御策を検証するために同じツールを扱います。

参考: uncensored AI は違法？日本で使うときの法的な論点

参考: uncensored モデルは何に使う？正当なユースケース

1. uncensored LLM は実際に悪用されているのか？#

結論として、uncensored LLM がサイバー犯罪や不正ツールの基盤として悪用されている実態は、
複数の学術研究によって実測・報告されています。
研究者は 1 万〜2 万件を超える検閲なしモデルを特定しており、一部は 100 万回を超えてダウンロードされています。
悪意あるアプリのバックエンドや地下フォーラムの出品にも、検閲なしモデルが使われていました。

1 万件超の検閲なしモデルと地下エコシステム（Consiglieres in the Shadow）#

2025 年 8 月の論文「Consiglieres in the Shadow」
（arXiv:2508.12622）は、
オープンソース LLM を対象にした最初の体系的な実態調査です。
著者らは微調整やモデルマージの系譜を知識グラフ化し、
機械的な分類手法によって 11,598 件の ULLM を特定しました。

この調査では、一部のモデルが商用サービスに組み込まれている実態も示されました。
有料会員制の対話サービス（Muah.AI）は 1 万 4,000 人以上のアクティブユーザーを抱え、
その多くが月額 19.99 ドルを支払っていたと報告されています。

悪意あるサービスの体系的分析（Malla）#

USENIX Security '24 で発表された論文、
「Malla」（arXiv:2401.03315）は、
実在する 212 件の不正な AI サービスを調べた研究です。
悪意あるサービスがバックエンドとして 8 種類の言語モデルを採用している実態が明らかになりました。

代表例である「WormGPT」は、開始から 2 か月間で 2 万 8,000 ドル超の収益を上げていました。
従来のマルウェア作成業者が 399 ドルでツールを販売していたのに対し、
不正 AI サービスは 5〜199 ドルで提供されていました。

2 万件超のモデル流通とセキュリティ脅威（IMC 2026）#

IMC 2026 の調査論文、
「Characterizing the Ecosystem of Open-Source Uncensored Language Models」は、
Hugging Face、OpenCSG、ModelScope、Kaggle、John Snow Labs の 5 つの配布サイトから、
22,096 件の ULLM を収集・分析しました。

セキュリティ企業による観測事例#

Cato Networks の調査チーム（Cato CTRL）は、
2025 年 10 月に Tor 上のプラットフォーム「Nytheon AI」を報告しました。
Llama 3.2、Gemma 3、RekaFlash 3、Qwen2 などの検閲なしモデルを束ね、
共通のジェイルブレイク用システムプロンプト（約 1,000 トークン）で統一し、外部ツールの実行機能も統合したサービスです。

また Cisco Talos の 2025 年 7 月の報告は、
犯罪者が使う LLM として WormGPT、DarkGPT、FraudGPT、GhostGPT などを挙げています。

参考（一次ソース）:

• arXiv:2508.12622「Consiglieres in the Shadow」
• arXiv:2401.03315「Malla」
• IMC 2026「Characterizing the Ecosystem of Open-Source Uncensored Language Models」
• Cato CTRL「Nytheon AI」（2025-10-08）
• Cisco Talos「大規模言語モデルを悪用するサイバー犯罪者」（2025-07-04）

2. 悪用の中心はオープンウェイトモデルなのか？#

サイバー攻撃や不正サービスへの悪用は、オープンウェイトモデルだけに偏っているわけではありません。
悪意あるサービスを調べた研究は、uncensored モデルの流用と、大手事業者の商用 API のジェイルブレイク（脱獄）の両方を確認しています。

商用 API とオープンウェイトモデルの併用#

前述の USENIX Security '24「Malla」論文は、悪意あるサービスが次の 2 つを併用していると報告しています。

• 手法 1: uncensored なオープンウェイトモデルの流用
• 手法 2: 大手事業者が提供する商用 LLM API のジェイルブレイク

Malla の調査では、公開 API 5 種を回避するジェイルブレイクプロンプトが 182 個確認されました。

Cisco Talos のレポート（2025 年 7 月）は、
入手しやすいことから、正規の商用 LLM をジェイルブレイクして使う方向へ移っている犯罪者が多いと観察しています。

商用モデルを用いた準自動攻撃の実例（OALABS の報告）#

商用 API が攻撃に使われた具体例として、
Lawfare（2026 年 6 月 26 日）が取り上げた OALABS の報告があります。

この報告によると、ある攻撃者は Anthropic の「Claude Opus 4.5」と OpenAI の「GPT-5.2」を使い、
14 社以上の組織に対して準自動でサイバー攻撃を仕掛けました。
攻撃者が「許可された red team（侵入テスト担当者）」という枠組みを与えると、モデルは依頼に応じたとされています。

Lawfare はこの事例から、良性のセキュリティ業務と犯罪は意図でしか区別できないという点を指摘しています。

クローズド API 側に集まる攻撃の証拠と政策的トレードオフ#

Nathan Lambert（Interconnects、2026 年 10 月）は、
オープンウェイトモデルの危険性ばかりを強調する議論に反論しています。

Lambert 氏は、悪用の証拠
（Hacktron による OpenAI への攻撃や FelonyBench など）が、
クローズドな商用 API 側に集まっていると指摘します。
そのうえで、オープンウェイトモデルを禁止してクローズドな API だけを認めると、
攻撃側と防御側の差が広がると論じています。

スタンフォード大学人間中心 AI 研究所（HAI）の政策提言
「Considerations for Governing Open Foundation Models」（2023 年 12 月）は、
政策の中心を marginal risk（オープンウェイトモデルが、クローズドモデルや既存の技術に比べて追加で生むリスク）に置いています。
同提言は、サイバー攻撃や生物兵器の領域ではその証拠がまだ不十分だとしており、
開発者だけに責任を集中させると負担が偏るとも述べています。

参考（一次ソース）:

• Lawfare「Open-Weight Model Advances Make the Mythos Debate Moot」（2026-06-26）
• Nathan Lambert（Interconnects / AI Weekly 要約・2026-10）
• Stanford HAI「Considerations for Governing Open Foundation Models」（2023-12）

3. なぜオープンウェイトモデルは悪用しやすいとされるのか？#

オープンウェイトモデルが悪用されやすいとされる主な理由は、
重みが利用者の手元にあるため、安全機構を改変されやすいことです。
数個〜数十個の例で微調整すると安全対策が外れるという研究結果があり、
一度公開された重みは開発元が後から回収できません。

Safety Gap はモデルが大きいほど広がる#

Alignment Research の研究チーム
（Dombrowski, Bowen, Gleave, Cundy・2025 年 7 月）は、
「Safety Gap（安全性ギャップ）」という概念を示し、測定ツール「Safety Gap Toolkit」を公開しました。

Safety Gap とは、「安全機構が機能しているモデル」と「安全機構を取り外したモデル」における危険な能力の差です。
Llama-3 と Qwen-2.5 を対象にした実測では、
モデルが大きくなるほど Safety Gap が広がり、安全機構を外すと危険な能力が実質的に伸びることが示されました。

数個〜数十個の例の微調整で安全機構が外れる#

微調整で安全機構が外れることについて、複数の研究が数値を報告しています
（二次整理: arXiv:2604.17413）。

同論文は、この脆弱性はオープンウェイトモデルに限らず、
微調整のアクセスを提供する商用モデルにも及ぶと指摘しています。

一度配布された重みは回収できない#

商用 API では、不正利用が見つかった場合に提供元がアカウントを停止できます。
一方、オープンウェイトモデルは、重みファイルがいったん流通すると、
開発元が遠隔から無効化することができません。
ローカルの PC やサーバー上でオフラインでも動くため、外部から利用を止める手段がありません。

GLM-5.3 の評価に見る、サイバー能力の高いオープンウェイトモデル#

2026 年 8 月に Z.ai が公開した「GLM-5.3」について、
米国 NIST の CAISI は 2026 年 9 月に「これまでで最もサイバー能力の高いオープンウェイトモデル」と評価しました。
また Anthropic の評価によると、GLM-5.3 は最先端モデルと同様にエクスプロイトコードを自律生成できます。

Anthropic の測定では、GLM-5.3 の標準状態における拒否率は 90% 以上でしたが、
セーフガードの回避実験で次の結果が出ました。

この評価は、サイバー能力の高いオープンウェイトモデルでも、安全機構を回避できることを示しています。

参考: GLM-5.3 の uncensored 版はどれが出ている？サイバー能力と Anthropic の警告を整理

4. 規制と配布プラットフォームはどう対応しているのか？#

規制は学習規模のしきい値を基準にしているため、微調整のような小さな改変を捉えにくい状態です。
配布サイトのモデレーション警告も、他のサイトへ転載されると消えます。

法規制の死角は学習規模のしきい値#

EU の AI Act は、汎用 AI（GPAI）モデルに対する規制の基準として、
事前学習の累積計算量（FLOPs）のしきい値を設けています。
学習に大規模な計算を使ったモデルを重点的に扱う枠組みです。

arXiv:2604.17413 は、この基準では最も危険な小さな改変が死角に落ちると指摘しています。
前節の研究結果のとおり、微調整は数個〜数十個の例で行われるため、学習規模のしきい値の下に収まります。
また、配布を制限するだけでは微調整による脆弱性が残るとも述べています。

配布プラットフォームのモデレーション警告は 13% にとどまる#

モデルの主な流通経路である配布プラットフォームについて、
IMC 2026 の調査論文「Characterizing the Ecosystem of Open-Source Uncensored Language Models」は次を報告しています。

• モデレーション警告の適用率 — 収集した 22,096 件の ULLM のうち、警告が付いていたのは 13.06%（2,886 件） でした
• 転載による警告の消失 — 警告が付いたモデルでも、OpenCSG（358 件）、ModelScope（223 件）、Kaggle（10 件）へ転載されると警告が消えていました
• ライセンス違反 — 2,666 件のモデルが、ベースモデルのライセンス制約に違反していました

警告がサイトをまたいで引き継がれないため、1 つの配布サイトだけで対策しても、警告のない状態で同じモデルが別のサイトに流通します。

5. uncensored LLM を使う側は何に注意すればよいのか？#

uncensored LLM を個人の PC や社内環境で扱う場合は、
利用目的を防御・検証・学術研究に限り、第三者が使えないようアクセスを管理することが基本です。
加えて、拒否しないことと正確であることは別で、ダウンロードするモデルファイルの安全性も確認する必要があります。

用途を防御・研究に限る#

どのようなツールを使っても、
他者のシステムへの不正侵入、マルウェアの作成や頒布、詐欺などの犯罪行為は処罰の対象になります。
日本では、不正アクセス禁止法や、刑法の不正指令電磁的記録に関する罪などが関わります。

検閲なしモデルを使う目的は、自組織のセキュリティ検証、ペネトレーションテスト（侵入耐性調査）、
脆弱性の早期発見と修正、AI の安全性評価といった、防御・研究に限るのが安全です。

「拒否しないこと」と「正確であること」は別#

安全ガードレールを解除しても、回答を途中で止めなくなるだけで、
モデルの推論力や事実の正確さが上がるわけではありません。
誤った情報（ハルシネーション）や不正確なコードを出力することは、通常のモデルと同じようにあります。
出力は鵜呑みにせず、公式ドキュメントや実行環境での検証で裏付けを取ってください。

配布ファイルの形式と入手元を確認する#

IMC 2026 の調査では、セキュリティスキャナが脅威を検出したモデルが少数ながら確認されています。
Python の pickle 形式で保存された重みファイルは、読み込み時に任意のコマンドが実行される危険があります。
pickle 形式を避けて safetensors 形式や GGUF 形式（ローカル実行でよく使われるモデル形式）を選び、
出所の分かる公開元から取得してください。

ベースモデルのライセンスと利用条件を確認する#

オープンウェイトモデルには、違法行為や軍事利用、無許可の商用利用を禁じるライセンス条項が設けられていることがあります。
検閲を外した派生モデルであっても、元のベースモデルの規約が適用されます。
使用する前に、配布ページの説明（モデルカード）に記載された利用許諾条件（Terms of Use）を確認してください。

防御側ではオープンウェイトモデルがどう使われているか#

Hugging Face は 2026 年 7 月のインシデント解析で、
商用 API のガードレールに調査を阻まれたため、自前のインフラでオープンウェイトモデル（GLM-5.2）を動かして原因を調べました。
また Z.ai の「OpenVuln」プロジェクトでは、オープンウェイトモデルを使って 389 プロジェクトから 4,249 件の潜在脆弱性を洗い出し、
そのうち 53 件が CVE として公開されました。

Deepent Research について#

私たち Deepent Research は、回答を極限まで拒否しない LLM チャットサービスです。標準の AI では途中で止まってしまう調べものを、最後まで続けられるように作りました。

• 拒否しない。LLM のガードレールを徹底的に軽減した uncensored・abliterated モデルを採用。標準の AI が「お答えできません」と打ち切る問いにも答えます（Qwen3.5 / Qwen3.8-27B-abliterated 系をプランに応じて使い分け）
• 入力は学習に使わない。調べた内容はサービス提供のためにのみ使われ、AI の学習や他の目的には使用されません。個人情報も厳重に保護し、プライバシーポリシーを公開しています
• 無料で試せる。GPU もインストールも不要、ブラウザを開くだけ。未ログインのお試しは会話が保存されないので、気軽に始められます

→ 登録なしで無料トライアル: https://deepentresearch.com

「どんな問いも、リサーチを止められない」。

No question can stop research.

よくある質問#

uncensored LLM を個人の PC にダウンロードして実行するだけで違法になりますか？#

⌄

モデルを入手して手元で動かすこと自体が、直ちに違法になるわけではありません。
違法になるのは、他者のシステムへの不正侵入や攻撃コードの作成など、犯罪行為に用いた場合です。

検閲なしのオープンウェイトモデルだけがサイバー攻撃に使われているのですか？#

⌄

いいえ。悪意あるサービスを調べた Malla の研究は、uncensored モデルの流用と、商用 API のジェイルブレイクの両方を確認しています。
Cisco Talos は、入手しやすいことから正規の LLM を使う方向へ移っている犯罪者が多いと観察しています。

Hugging Face などのモデル共有サイトにあるモデルは安全ですか？#

⌄

IMC 2026 の調査では、検閲なしモデル 22,096 件のうち 27 件でセキュリティスキャナが脅威を検出しました。
pickle 形式を避けて safetensors 形式や GGUF 形式を選び、公開元を確認して取得してください。

セキュリティの防御や研究目的で uncensored LLM を使うことは問題ありませんか？#

⌄

自組織のシステムの脆弱性検証や侵入テスト、防御技術の研究を目的にした利用はあります。
商用 API のガードレールに調査を阻まれ、オープンウェイトモデルを自前の環境で動かした例もあります（Hugging Face の GLM-5.2）。
前提は、利用目的を防御・研究に限り、第三者に開放しないことです。

免責#

本記事は、AI による下書きをもとに、運営が事実関係を確認・加筆・編集して公開しています。
本記事は教育・研究目的の情報提供であり、違法行為や犯罪の助長を意図するものではありません。
数値は第三者の公開レポートおよび配布元の公表値であり、測定条件により変わることがあります。