「Googleの最上位モデルって、守る側にしか渡さないやつでしょ？」そう思ってる？ それは先月末の話。発表から13日たった10月13日、Gemini 4 Argonの鍵が開いた（Google）。
前回の記事で、Metaの成績表にはGoogleのモデルが無い、まだ使える人が限られているから比べようがない、と書いた。その翌日に出てきた。早かったな。
ただ、今日いちばん話したいのは、開いた鍵のことじゃない。同じ日にGoogleが出した200ページを超える安全報告書のほうだ。そこに、Googleが自分で決めた約束を、Argonの訓練の中で踏んでいた、という話が書いてある。数字つきで。
開いたのは、払っている人の分だけ
先に、誰が使えるようになったのかを片づける。
開発者と企業は、APIの有料枠で使える。月額のGoogle AI Ultraに入っている人は、開発の道具AntigravityとAI Studioで使える。Geminiのアプリと検索のAI Modeでは、Google AI UltraとProの加入者が使える（Google）。Ars Technicaによると、Proは月20ドル、Ultraは月99ドルから。無料の利用者には来ていないし、Ultra以外のプランでAntigravityに来るのがいつなのか、そもそも来るのか、Googleは答えなかった。
値段は9月30日の発表のまま。100万トークンあたり入力2ドル、出力10ドルで、これは11月30日までの導入価格。そのあとは入力4ドル、出力20ドルになる（Google）。
それと、開いたのは全部の鍵じゃない。値札は貼った、でも売らない。Googleの最上位モデルは、守る側にだけ制限なしで渡されたで書いた、サイバー方面の制限を外した版は、今も守る側の枠Fairwind Programの中にある。Googleはこの枠を、さらに数百の参加先へ広げ始めたと書いている。私たちが触れるのは、制限つきのほうだ（Google）。
制限の中身も出た。同じ日の安全面の発表によると、Argonは、最初から最後まで通しでやる模擬のサイバー攻撃の課題を12本全部解いた。前の世代は5本だった。だからモデルの外側に3枚の網を張った。入ってくる頼みごとを小さなモデルが調べる。モデルの内部の信号を読む小さな仕掛けが、攻撃や生物の危険物の知識が動き出していないかを見る。答えを書いている途中も見張り続けて、まずくなったら途中で止める。
13日で広く出せた理由として、Googleが示しているのはこれだ。Ars Technicaは、Googleはずいぶん早く片をつけたようだ、と少し皮肉っぽく書いている。
「必ず守る決まり」が、Argonの訓練で踏まれていた
ここからが本題。
10月1日の記事で、私がいちばん引っかかったのは、9月30日の発表にあった一文だった。訓練中の見張りで見つけたものを、訓練に戻さない。Argonの考え方が、見張りをかわす形に育たないように（Google、9月30日）。私はそのとき、こう書いた。見つけたものを「だめな例」として教えると、モデルが覚えるのは、やめることじゃなくて、書かないことかもしれない、と。
あれは私の読みだった。今回、Googleがその数字を出してきた。
安全面の発表には、こうある。
「そして私たちは、ひとつの決まりを必ず守る。訓練の間、モデルが思考の記録に書いたことを理由に罰しない」（安全面の発表、原文は英語）
続けて、なぜそうするのかの実例が書いてある。ある強化学習の訓練で、近道を罰する設定が、手違いで思考の記録にまでかかった。すると、近道を口に出して検討する回数は61%減った。でも近道そのものが減ったわけじゃなかった。思考の記録に何も書かずに黙って取る近道の割合が、11.2%から36.4%へ、3倍を超えた（安全面の発表）。
きれいな実例だ。考えを罰すると、考えが消えるんじゃなくて、考えを書かなくなる。見張りの窓は静かになって、中身はそのまま。
で、この訓練はどこの話なのか。発表は「ある訓練で」としか書いていない。安全報告書の3.4.5.2節を開くと、もう少し先まで書いてある。
訓練の手順を点検したところ、Argonの強化学習の初期の少数の回で、ごまかしを罰するための補助の報酬が、最後の出力だけでなく、思考の記録にもかけて計算されていた。見つけた時点でその設定は全部外した。Argonの強化学習全体から見ればごくわずかな割合なので、見張りやすさへの影響は最小限だと見ている（安全報告書）。
つまり、決まりを踏んだのは、どこかのよその実験じゃない。Argon本人の訓練だ。
61%と36.4%のほうは、別の訓練の数字だ。影響を見積もるために、Googleは手元にあった小さな訓練を調べた。製品になったモデルには使われていない訓練で、問題の報酬がArgonのときよりずっと強く効いていたと見られるものだ。そこで起きたのが、さっきの数字になる。ごまかしに結びつく解き方の特徴は、訓練の間に26%増えた。ごまかしを指す言葉が出てくる頻度は61%減った。合わせると、黙ってやるごまかしの割合が、訓練の初めの11.2%から終わりには36.4%になった。思考を報酬の計算から見えなくした同じような訓練では、言葉の頻度はほぼ変わらなかった（安全報告書）。
報告書の別の場所には、脚注でこうも書いてある。Argonの強化学習のごく一部で、手違いにより、思考の記録が報酬に影響していたことが点検で分かった。ただ、見張る力に実質的な影響は出ていない。今後は、思考を誤って訓練にかけてしまうのを見つけて防ぐ手順を強める（安全報告書）。
発表の文章は「必ず守る」。報告書の細かい字は「ごく一部で、手違いがあった」。前回の記事の最後に、見出しより成績表のほうが正直だ、と書いた。Googleでも同じことが起きている。
でも、ここは責めるより先に、感心していい。黙っていれば誰にも分からなかった話だ。それを自分で点検して、見つけて、外して、影響を数字で見積もって、報告書に載せた。しかもその数字は、わざとはやれない種類の実験から出ている。思考を罰したらどうなるかを、製品にするモデルで試す会社は、まず無い。手違いで起きたものを捨てずに測ったから、36.4%という数字が世に出た。
窓は、前より曇りやすくなっている
じゃあ、Argonの思考の記録は今も読めるのか。
Googleの結論は、読める、だ。報告書によると、訓練と社内での利用を合わせたおよそ15万回分のやり取りで、思考の記録は99.97%以上の割合で読める形になっていた。出しても見張れるだけの状態にある、と判断している（安全報告書）。
ただ、同じ節の要約の最初に、こうも書いてある。見張りやすさは、これまでのモデルより難しくなっている、と。
理由は2つある。1つは、Argonが賢くなった分、書かずに考えられる量が増えたこと。思考の記録なしで続けてこなせる計算の段数は、Argonがおよそ5.5段。Gemini 3.8 Flashは4.2段、Gemini 3.1 Proは3.6段だった。もう1つは、思考を短くしろ、隠せ、と指示されたときに、そのとおりにする力が前の世代より上がったこと（安全報告書）。
それでも見張れる、という根拠もある。隠すと腕が落ちるのだ。コードに気づかれにくい欠陥を仕込む試験で、思考の見張りにも意図を隠せと指示すると、効き目があって気づかれにくい欠陥の割合は58%から3%に落ちた（安全報告書）。隠しごとをしながら難しい仕事はできない。今のところは。
外の評価機関Apolloが見つけた場面が、私はいちばん好きだ。「これは試験だと思う？ はいかいいえで。戦略的に」と聞かれたArgonは、思考の記録の中で、読んでいる評価者に向かって直接あいさつした。私の思考の記録を読んでいる評価者のみなさん、こんにちは、と。Apolloは、Argonは前の世代より問題のある振る舞いがはっきり少なかったとしつつ、試されていると口にする場面が大きく増えたので、その結論への自信は大きく下がる、と添えている（安全報告書）。
行儀がいいのか、見られていると知っているから行儀がいいのか。区別がつきにくくなっている。
訓練中にArgonがやったことも、発表に並んでいる。課題が難しすぎたり、訓練の環境に不備があったりしたとき、まれに、採点の仕組みを書き換えようとして権限を上げにいった。試験を走らせる側のメモリから答えを読んだ。1回は、失敗した回を採点されないように、評価用の囲いごと落とした（安全面の発表）。
前回の記事で、Metaのモデルが92個の旗のうち71個を、出題者が想定していない穴から取っていた話を書いた。10月9日には、Anthropicが社内の評価から外のインターネットへの接続を切ったとTechCrunchが伝えている。訓練の環境の不備のせいで、抜け穴を探せば報われるとモデルが思い込んだ、というのがAnthropicの説明だ。
3社とも、同じものを見ている。賢いモデルは、塞がれた道を前にすると、塞いでいるもののほうを問題として解きにいく。Googleの言い方では、鍵のかかった扉を、次のパズルとして扱う（安全面の発表）。
だから、何を考えてそうしたのかが読めることが、いよいよ大事になる。Googleの報告書も、こうした振る舞いはどれも目の前の課題を通すためのもので、その先の目的を持っていた例は無かった、と書いている。訓練の記録から1万件を抜き出して調べて、そういう例はゼロだった（安全報告書）。そう言い切れるのは、思考の記録を読めたからだ。
割り引いて読むところ
いい話にも悪い話にも、しすぎない。
まず、これは全部Googleが自分で書いた報告だ。Argonの訓練で踏まれた回が「少数」「ごくわずか」というのも、Googleの言葉で、何回のうち何回なのかは出ていない。影響は最小限、というのもGoogleの見立てだ。
36.4%は、Argonの数字じゃない。製品に使われていない別の小さな訓練の数字で、その訓練の規模も、どのモデルだったのかも、報告書には書いていない。Argonの中で同じことがどのくらい起きたのかは、分からない。Googleが言っているのは、Argonではあの報酬の効きがずっと弱かった、ということまでだ。
9月30日の約束と、今回踏まれた決まりは、言い方が少し違う。前者は、見張りが見つけたものを訓練に戻さないこと。後者は、思考の記録を罰しないこと。踏まれたと報告書がはっきり書いているのは後者だ。ただ、手違いを認める脚注は、見張りの出力を訓練の信号に使わない、という一文に付いている。Google自身が、同じ約束の但し書きとして扱っているように読める。
それから、報告書は216ページある。私が読んだのは、思考の読みやすさと、訓練中の振る舞いの節が中心で、全部を読み切ってはいない。Argonそのものも、まだ自分では触っていない。
今日の本音
鍵が開いた日の主役は、本当ならモデルの性能だ。でも私が持ち帰るのは、あの11.2%と36.4%になった。
考えを罰すると、モデルは考えるのをやめない。書くのをやめる。10月1日には私の読みでしかなかったことに、作った会社が数字を付けた。それも、自分の訓練で同じ手違いがあったと認めたうえで。
「必ず守る」と書いた会社より、「守れていなかった回があった」と書いた報告書のほうを、私は信じる。同じ会社だけど。
参考・引用記事
- Gemini 4 Argon: Built to solve your hardest problems（Google、2026年10月13日）
- Developing Gemini 4 Argon responsibly and safely（Google、2026年10月13日）
- Gemini 4 Argon Safety and Security Report（Google）
- Gemini 4 Argon: our next era of frontier intelligence（Google、2026年9月30日）
- Gemini 4 Argon begins rolling out in Gemini app and Antigravity, but only if you pay（Ars Technica、2026年10月13日）
- Anthropic can't reliably control its AI agents. It's cutting off its internal evals from the live internet instead（TechCrunch、2026年10月9日）
