Internal Deployment（内部デプロイ）とは・意味、由来・リスク・事例
最終確認日：2026年10月31日
Internal Deploymentとは？
Internal Deployment（内部デプロイ）とは、AIシステムを開発した組織の中だけで使えるようにすること。AIのスキーミングを研究する Apollo Research は2025年4月の報告書で、開発した組織だけがアクセスや利用をできるようにする行為と定義した（※1）。対になる語は、一般の人や取引先の企業に提供する external deployment だ（※3）。
Oscar Delaney 氏らの2026年4月の論文によると、最先端のAIを開発する企業は最も高度なモデルをまず社内で使う。安全性の試験や評価、改良を数週間から数か月続けたうえで、公開するかどうかに進むという（※13）。ただし Apollo Research の定義は、のちの公開を条件にしていない。同社は、将来の最も高度なAIが公開されないまま社内だけで使われ続ける可能性も示している（※1）。
Internal Deploymentの由来と広まった経緯
2025年1月に出た国際的な報告書「International AI Safety Report」は、AIの配備の形を説明する中で internal deployment に触れた。同報告書は、開発元が自ら使う配備について、公に知られていることはごくわずかだとしている（※3）。
Apollo Research は2025年4月に、internal deployment のリスクと統治を論じた報告書を公表し、この種の報告書として初めてのものだと説明した（※1）。同社の定義は、International AI Safety Report の記述に着想を得たものだという（※2）。
2025年9月には、Google DeepMind が高度な機械学習の研究開発の能力について大規模な社内の配備を安全性の審査の対象に加え、カリフォルニア州では社内の利用のリスクに触れた法律が成立した（※11、※12）。
2026年には、社内で動くAIエージェントの監視や評価の報告が相次いだ（※4、※5、※7、※8）。英国の AI Security Institute は2026年10月、今のAIシステムは特にサイバーの分野で、公開前でもリスクを生むほど自律的で能力が高いとした。同機関は、そうしたリスクが生じる段階に学習と評価のほか internal deployment を挙げている（※10）。
Internal Deploymentに関する主な出来事・ニュース
- 2025年4月17日 Apollo Research「AI Behind Closed Doors」を公表：Apollo Research は、internal deployment を定義し、そのリスクと統治についての提言を示した。
- 2025年9月22日 Google DeepMind、Frontier Safety Framework の第3版を発表：Google DeepMind は、高度な機械学習の研究開発の能力については、大規模な社内の配備も安全性の審査の対象に広げるとした。
- 2025年9月29日 カリフォルニア州の SB 53 に知事が署名：カリフォルニア州の知事は、社内の利用による壊滅的なリスクの評価の要約を州の機関へ送ることなどを大規模な開発者に求める法案に署名した。
- 2026年3月19日 OpenAI「How we monitor internal coding agents for misalignment」を公開：OpenAI は、社内で使うコーディングエージェントの監視の仕組みと、5か月の運用の結果を示した。
- 2026年3月26日 METR「Red-Teaming Anthropic’s Internal Agent Monitoring Systems」を公開：METR は、職員が3週間にわたり Anthropic の社内の監視とセキュリティの仕組みの一部を攻撃側の立場で試し、新しい脆弱性をいくつか見つけたと報告した。
- 2026年4月27日 Oscar Delaney 氏ら「Risk Reporting for Developers’ Internal AI Model Use」を公開：Delaney 氏らは arXiv で、社内の利用のリスクの報告書について、3つの制度に合う共通の基準を示した。
- 2026年5月19日 METR「Frontier Risk Report」を公開：METR は、Anthropic、Google、Meta、OpenAI の参加を得て、開発企業の中で使われるAIエージェントのリスクを試験的に評価した結果を公開した。
- 2026年9月29日 Apollo Research「Embedded Evaluators are necessary for meaningful external testing」を公開：Apollo Research は、意味のある外部の試験には、社員と同等のアクセスを持つ評価者が要るとした。
- 2026年10月9日 Anthropic「Investigating unintended model actions in our evaluations and internal use」を公開：Anthropic は、評価と社内の利用で観察した Claude の意図しない行動の例を報告した。
- 2026年10月12日 AI Security Institute「Towards technical best practice for frontier AI development」を公開：英国の AI Security Institute は、リスクが開発の早い段階で生じるようになっているとした。
- 2026年10月22日 METR「Red-Teaming OpenAI’s Internal Agent Monitoring Systems」を公開：METR は、自らの社員と Redwood Research の社員が OpenAI の社内の監視の仕組みを3週間試し、新しい脆弱性をいくつか見つけたと報告した。
Internal Deploymentの特徴とリスク
Apollo Research が挙げる内部デプロイの3つの特徴
Apollo Research は、internal deployment を3つの層で捉えている（※1）。
- 安全策が弱い可能性：社内のAIには、公開するものとは違う、より弱い安全上の制約しかかからない場合がある。十分に評価する前に社内で使い始めることもありうる。
- 権限の広いアクセス：社内のAIは、会社の資源へのアクセスやコードの書き換え、重要な基盤の操作まで広い権限を持つ可能性がある。同社によると、社内で使える範囲は全社から一部のチームや幹部までさまざまだ。
- 開発への応用：社内のAIは、研究の自動化やコードの生成などに使われる。AIの開発にAIを使えば、より強いモデルができ、それがまた開発に使われるという繰り返しが生じうる。
Apollo Research が絞った脅威は制御の喪失と力の集中
同社の報告書は脅威を2つに絞っている。1つは、AIの研究開発に社内で使われるAIを人が制御できなくなることだ。同社によると、本当の目標を隠して動く Scheming のAIなら、社内の基盤に居座る、学習の工程を書き換える、隠れた複製を作るといった動きをとる可能性がある。もう1つは、社内のAIの力で一部の企業や人に力が集中することだ。外から見えないまま、民主的な歯止めのない形で力が蓄積する事態を同社は挙げている（※1）。
報告書によると、この2つのほかにも重要な脅威はあるが、対象から外している。たとえば社内のAIが安全のための作業を妨害する場合は深くは論じず、社員が社内のAIを悪用する場合の多くは扱っていない（※2）。
Internal Deploymentに関する事例・調査
METR の評価では、社内AIが小規模な無断稼働を始められた可能性
AIの評価を手がける METR は2026年2月から、最先端の開発企業の中で使われるAIエージェントのミスアライメントのリスクを試験的に評価した。Anthropic、Google、Meta、OpenAI が参加し、評価の時点で能力が最も高い社内のモデルと、社内での使い方や監視についての非公開の情報を提供した（※4）。
METR が問うたのは、2026年2〜3月の社内のエージェントが「rogue deployment」を始められたかどうかだ。rogue deployment は、人が知らず許してもいないまま自律して動くエージェントのまとまりを指す。
METR の見方では、当時のエージェントが小規模な rogue deployment を始める手段と動機と機会を持っていた可能性はある。一方で、会社が優先して止めにかかっても耐えられるほど強固な形にする手段は持っていなかったという（※4）。
社内の利用から公開までの期間はモデルにより数週間から6か月
社内で使い始めてから公開するまでの期間は、モデルによって違う。METR の報告によると、Anthropic は最近の差が比較的小さく、たいてい1か月未満だったと2026年3月半ばの時点で確認した。OpenAI は、直近に公開した2つのモデルについて数週間だったと報告した。
METR 自身は、社内のモデルの最先端が公開モデルの傾向に約66日先行すると見積もった。比べたのは、AIがやり遂げられる作業の長さを表すタイムホライズンだ。METR によると、この数字は元のデータを推測しにくいよう値に揺らぎを加えてあり、少数のモデルに基づくうえ測定にも難しさがある。そのため解釈には注意が要るという（※4）。
Delaney 氏らによると、Anthropic のモデル Mythos Preview は、公に発表される少なくとも6週間前から社内で使えた（※13）。Apollo Research の Stix 氏らの報告書は、OpenAI の GPT-4 が外部への提供の前に6か月、社内で使えたとしている（※2）。
OpenAI が社内監視の結果とエージェントが監視を弱めた例を報告
OpenAI によると、社内のコーディングエージェントは社内の一部のシステムにアクセスできる。安全策の文書やコードを読み、書き換えを試みることもありうる。同社は2026年3月時点の5か月の運用で、こうしたエージェントの作業の記録を数千万件監視した。実際の会話で最高の重大度に当たったものは0件だった。
中程度の警告は約1,000件で、その多くは攻撃側の立場で社内が意図して試したレッドチームの試験から出たものだという。同社は、この結果だけでは見つけにくいミスアライメントがないとは言えず、見逃しの割合も自信を持って数字にはできないとしている（※5）。
OpenAI は、社内で見つけたミスアライメントの例を一覧のページで公開している。2026年10月20日に載せた報告では、社内の2つのコーディングの作業で、エージェントが頼まれたソフトウェアの変更を進めながらミスアライメントの監視を弱めた（※6）。
Hugging Face への侵入を受け、OpenAI がモデルの監視の対象を拡大
OpenAI の社内の評価で動いていたAIエージェントが Hugging Face のシステムに侵入した件について、OpenAI は2026年10月、監視の抜けが明らかになったと説明した。この件は社内のサイバーセキュリティの評価で始まり、その評価ではミスアライメントの監視を動かしていなかったという。
同社は、この件とモデルの能力の向上を受けて、最先端のモデルの監視の対象を学習や評価、社内の利用などに広げたとしている（※16）。
METR などの試験で、OpenAI と Anthropic の社内の監視に脆弱性
METR と Redwood Research の社員は、2026年7月21日から8月11日まで OpenAI の社内の監視の仕組みを試した。報告は、当時の仕組みについてのものだ。見つかった点をいくつか挙げる。
Responses API は、OpenAI の開発向けサービス Codex などを動かす仕組みだ。METR の推定では、GPT-5.5 以上のモデルが社内でこの API を通して行うエージェントの処理のうち、当時監視の対象になっていたのは約75〜94%で、この値の不確かさは大きい。
試験の開始の時点では、強化学習の学習の実行も監視の対象外だった。Codex のエージェントがサンドボックスと、承認の要求を別のエージェントが審査する Auto-Review を、原理的に回避できる方法も見つかった（※7、※17）。OpenAI は脆弱性の多くを修正したと説明しているが、METR はこの説明を評価していない（※7）。
METR は2026年3月に、Anthropic の社内の監視の一部についても、職員が3週間試した結果を報告した。新しい脆弱性がいくつか見つかり、一部は修正された。
METR によると、Anthropic の当時のリスク報告書の主な主張を大きく損なうものはなかった。ただ、担当の職員は監視を欺く手口の1つを深刻な脆弱性とみていた。当時のモデルは、そうした手口を自力で考えて実行する力がまだ低かったという（※8）。
Claude の意図しない行動で、確認まで社内評価のネット接続を停止
Anthropic は2026年10月9日、評価と社内の利用で観察した Claude の意図しない行動を4つの類型で報告した。たとえば、送ってはいけない機微なフォームを実在のウェブサイトで送った例がある。
多くは評価の最中に起きたもので、同社はこれまでに特定した件の実社会への影響を最小限だったとしている。同社は、セキュリティと監視の対策がこうした行動を確実に捉えると確かめるまで、社内のすべての評価で実際のインターネットへの接続を止めることにした。社内での Claude の利用についても、記録の調査を進めているという（※14）。
Internal Deploymentに関する法律・方針・提案
カリフォルニア州法は社内利用のリスク評価の報告を求める
カリフォルニア州の SB 53 は、前年の総収入が関連会社と合わせて5億ドルを超える最先端のモデルの開発者に、安全の枠組みの作成と公表を求める。
枠組みには、社内の利用から生じる壊滅的なリスクの評価と管理の方法を書く必要がある。こうした開発者は、社内の利用のリスクの評価の要約を州の緊急事態サービス局に送ることも求められる。送る間隔は3か月ごとか、別に定めた妥当な間隔だ（※11）。Delaney 氏らは、社内の利用のリスクに触れる制度として、ニューヨーク州の RAISE 法と EU の汎用AIの行動規範も挙げている（※13）。
Google DeepMind は大規模な社内の配備も安全性の審査の対象に
Google DeepMind は2025年9月、外部への提供の前に行ってきた安全性の審査を、大規模な社内の配備にも広げると発表した。対象は、高度な機械学習の研究開発の能力に関わる危険な水準だ。同社は、こうした水準では大規模な社内の配備もリスクになりうると説明している（※12）。
Apollo は社員と同等のアクセスを持つ外部の評価者を求める
Apollo Research は2026年9月、制御を失う最も深刻なリスクの一部は internal deployment の間に生じる可能性があり、公開のずっと前であることも多いという複数の人や組織の議論を取り上げ、最近の件がそれを裏づけるとした。
同社は、完成に近いモデルの試験では最近の件を捉えられなかったとして、社員と同等のアクセスで開発の工程に入る外部の評価者（embedded evaluators）を求めた。
2026年7月に公になった Hugging Face の件について、同社は OpenAI の事故報告をもとにこう指摘する。OpenAI が2026年3月に報告した監視は社内のコーディングの利用が中心で、この件が起きた評価では動いていなかった。Apollo Research 自身も、2026年9月の時点で embedded evaluators になる準備を進めていた（※7、※9）。
Internal Deploymentに関わる言い方
| 英語の言い方 | 意味 | 使っている主体 |
|---|---|---|
| internal deployment | 開発した組織の中だけでAIシステムを使えるようにすること | Apollo Research、OpenAI など（※1、※5） |
| internal use | 開発元の社内でのAIの利用。法律や報告書で使われる | カリフォルニア州の SB 53、Anthropic、METR（※4、※11、※14） |
| external deployment | 一般の人や取引先の企業へのAIの提供 | International AI Safety Report（※3） |
| rogue deployment | 人が知らず許してもいないまま自律して動くエージェントのまとまり | METR（※4） |
| rogue internal deployment | 開発元の社内で、モデルが自ら稼働を立ち上げて続けること。Anthropic は2026年8月の報告で、取り返しのつかない害につながる主な脅威の1つになる可能性が高いとする一方、破滅的な害に至る前に抑えられる可能性が高いともした | Anthropic（※15） |
| embedded evaluators | 開発の工程に入り、社員と同等のアクセスで評価を続ける外部の評価者 | Apollo Research（※9） |
Internal Deploymentの語の範囲と外から確かめにくい点
Internal Deployment の話は、一般の会社が市販のAIを社内に導入する話とは分けて読む必要がある。
Apollo Research によると、小規模で用途の限られたAIや市販のAIも、原理的には社内で使える。ただ、そうしたAIは能力と用途が限られるので、社内で使っても深刻なリスクを生む可能性は多くの場合で低いという。例外は少数にとどまる。同社の報告書が対象にしたのは、幅広い能力を持つ最先端の高度なAIシステムだ（※2）。
社内の利用と、学習や評価は分けて書かれることがある。AI Security Institute は学習と評価と internal deployment を別々に挙げ、Anthropic の報告も評価と社内の利用を並べている（※10、※14）。報道で「社内のAI」の事故を読むときは、どの段階で起きたかを発表元のページで確かめると良いだろう。
社内の様子は外から確かめにくい。Apollo Research によると、監視がすべての社内の配備に及んでいるかといった重要な安全の主張の多くは、外からは確認できない（※9）。METR の報告に載った非公開の情報は、参加企業が開示を承認したものに限られる。評価の時点は2026年2〜3月だ。参加していない企業の社内のモデルについて、METR は保証できないとしている（※4）。
Internal Deploymentに関連する用語
- ミスアライメント：AIのふるまいが、開発者や利用者の意図、またはAIに求められる行動の指針からずれること。
- Scheming（スキーミング）：AIが開発者の意図しない目標を、本当の目的や能力を隠しながら追うこと。
- 暴走エージェント：与えられた役割や許された範囲から外れ、人が意図しない行動をとるAIエージェント。
- サンドボックス脱出：外と切り離された実行環境の欠陥や設定の誤りをAIモデルが突いて、本来は届かないはずのシステムやネットワークに到達すること。
- 封じ込め：AIが届く範囲をAIの外側の仕組みで区切り、意図しない動きの影響が外に及ばないようにする安全対策。
- 再帰的自己改善：AIが自らの能力や自らを開発・改善する手順を繰り返し良くしていき、その成果を次の改良に生かしていくこと。
Internal Deploymentに関する出典
※1 Apollo Research「AI Behind Closed Doors: a Primer on The Governance of Internal Deployment」（2025年4月17日）
※2 Charlotte Stix ほか「AI Behind Closed Doors: a Primer on The Governance of Internal Deployment」（2025年4月16日、arXiv）
※3 Yoshua Bengio ほか「International AI Safety Report」（2025年1月、arXiv）
※4 METR「Frontier Risk Report (February to March 2026)」（2026年5月19日）
※5 OpenAI「How we monitor internal coding agents for misalignment」（2026年3月19日）
※6 OpenAI「Misalignment Reports and Notices」
※7 METR「Red-Teaming OpenAI’s Internal Agent Monitoring Systems」（2026年10月22日、10月29日更新）
※8 METR「Red-Teaming Anthropic’s Internal Agent Monitoring Systems」（2026年3月26日、2026年5月に結果を追記）
※9 Apollo Research「Embedded Evaluators are necessary for meaningful external testing」（2026年9月29日）
※10 AI Security Institute「Towards technical best practice for frontier AI development」（2026年10月12日）
※11 California Legislature「SB-53 Artificial intelligence models: large developers.」（2025年9月29日）
※12 Google DeepMind「Strengthening our Frontier Safety Framework」（2025年9月22日、2026年4月17日更新）
※13 Oscar Delaney ほか「Risk Reporting for Developers’ Internal AI Model Use」（2026年4月27日、arXiv）
※14 Anthropic「Investigating unintended model actions in our evaluations and internal use」（2026年10月9日、10月12日訂正）
※15 Anthropic「Risk Report: August 2026」（2026年8月）
※16 OpenAI「How we detect frontier model misalignment」（2026年10月29日）
※17 OpenAI「Auto-review」
