Appleの機械学習研究チームは、オープンウェイト言語モデルを無断の追加学習や改変から保護する新手法「DLR-Lock」を発表した。推論時と学習時で計算負荷が非対称になる構造を意図的に埋め込むことで、モデルの基本性能を保ちながら悪意あるファインチューニングを事実上困難にする。この技術は、オープンソースとセキュリティの両立というAI産業の構造的ジレンマに一石を投じるものだ。

学習を重く、推論を軽く保つ非対称防御の仕組み

DLR-Lockの中核は、逆伝播時に活性化メモリが層の深さに比例して増大する構造への置き換えにある。具体的には、事前学習済みモデルの多層パーセプトロン（MLP）を、同程度のパラメータ数を持つ深層低ランク残差ネットワーク（DLR-Net）にモジュール単位で蒸留する。これにより、順伝播（推論）の計算量はほぼ変わらないまま、逆伝播（学習）時のメモリ消費と計算負荷のみを大幅に増加させる。攻撃者が防御構造を完全に把握していても、最適化の難易度が上がり実用的な改変を阻める点が特徴だ。

モデル提供者と利用者の非対称な関係性が変わる

この技術がもたらす最大の変化は、モデル提供者が「重みの公開」と「利用制限」を技術的に両立できる可能性にある。現在のオープンウェイトモデルは、一度公開されれば受領者が自由に改変・再配布できるため、意図しない用途への転用リスクが提供者側の負担となっていた。DLR-Lockは、正規の推論利用には支障をきたさず、改変行為にだけ選択的なコストを課す。これは、ライセンスや利用規約による事後的な制約とは異なり、モデル自体に防御機能を埋め込むパラダイムシフトといえる。

AI産業の提供形態に与える構造的影響

DLR-Lockのような技術は、AIモデルの流通形態に新たな選択肢を生む。現在は、API経由のクローズド提供と、重みごと公開するオープン提供の二極に分かれている。後者は研究の再現性やコミュニティによる改善を促す一方、商業的価値の毀損や悪用リスクが障壁だった。防御技術の進展により、両者の中間的な形態、すなわち「利用は自由だが改変は制限される」モデル配布が現実味を帯びる。GPUやクラウド事業者にとっては、学習需要のさらなる高まりにつながる可能性があり、エッジ推論を重視する日本の製造業や組み込み機器領域にも、安全なモデル導入の道を開くかもしれない。