「OpenAIが引っ込めたなら、Googleはここぞとばかりに出してくるでしょ」。そう思ってる？ 半分だけ当たり。発表はした。点数表も値段も出した。でも、あなたも私も使えない。
前回の記事まで、私は数日ずっとOpenAIの「勝手に進む」問題を書いてきた。今日は主役が替わる。9月30日、Googleが最上位の新モデルGemini 4 Argonを発表した。そして渡した相手は、ごく一部の「信頼できるサイバー防御の担当者」だけだった（Google）。
値段まで決まっているのに、買えない
まず物の話。Googleの言い分では、Argonは長い仕事を最後までやり切るのが得意だ。実際のソフトウェア開発の長丁場を測るDeepSWE v1.1で77.9%。GPT-6 AstraもFable 5.1もOpus 5.5も上回る数字だとArs Technicaが伝えている。一度に書き出せる量の上限は、これまでの6万4000トークンから100万トークンに上がった。
社内ではもう働いている。Argonのエージェントの一団が、Googleのデータセンター全体の計測データを見て、メモリの無駄を自分で見つけて直した。空いたのは300TiB超。C/C++で書かれたプログラムをRustに書き直す作業も進んでいて、Fuchsiaの中核にあるZirconカーネルでは80万行を超える（Google）。
値段も出ている。100万トークンあたり入力2ドル、出力10ドル。これは導入期間の値段で、終わると入力4ドル、出力20ドルになる（Google）。導入期間の数字は、前々回の記事で書いたAnthropicの真ん中の位のモデル、Sonnet 5.5と同じだ。いちばん上のモデルに、よその真ん中の値札を貼ってきた。攻めてるな。
で、買えない。
今使えるのは、GoogleのFairwind Programという枠に入った防御側の組織だけ。開発者・企業・一般向けは「できるだけ早く」とあるだけで、日付は無い。決まっているのは順番だけで、有料のAPI利用者とGoogle AI Ultraの加入者から始まる（Google）。Ars Technicaの見出しがそのまま言っている。発表した、でもまだ使えない。
値札を先に貼って、棚には鍵をかけた。これ、自信が無い会社はやらない。
守る側にだけ、制限を外して渡した
面白いのは、鍵のかけ方だ。
Googleはこう書いている。信頼できる防御側と自社の社内チームには、Argonをサイバー方面の制限なしで渡す。最前線の防御能力をまるごと使えるように、と（Google）。
前々回の記事で、Anthropicの逆向きの鍵を書いた。Sonnet 5.5は誰でも使える。ただし危険度の高いサイバー作業に入ると、目に見える形で前の世代のSonnet 5に落ちる（Anthropic）。全員に渡して、危ないところだけ弱くする。
Googleは反対をやった。渡す相手を絞って、その相手には弱めずに渡す。
3社を並べるとこうなる。OpenAIは、出す予定だった1本をまるごと引っ込めた。Anthropicは出して、一部を前の世代に落とした。Googleは、発表して値段まで決めて、守る側にだけ全力のものを渡した。同じ1週間に、同じ問題への答えが3通り出た。
Googleのやり方には実例が1つ付いている。クラウドの安全を見る会社Wizが、公共の基盤を無料で点検する取り組みの中でArgonを使い、世界中の病院で使われている医療向けソフトに、個人の機微な情報がさらされる重大な穴を見つけた。Googleは、これまでの最前線のモデルが見落としていた穴だと言っている（Google）。ただ、どのソフトのどんな穴かは出していない。Ars Technicaもそこは「具体的な中身は示されていない」と書いている。うなずく前に、そこは覚えておきたい。
見つけたものを、訓練に戻さない
ここが今日いちばん引っかかったところだ。
Googleは、広く出す前に固める手当てを4つ挙げている。悪用を断ること、外から差し込まれる指示に強くすること、モデル自身の「ずれ」を見張ること、囲いを固めること。3つ目の説明はこうだ。頼まれた範囲を踏み越えて仕事を片づけようとするのを防ぐために、Argonの思考の記録と行動を見張り、必要なら実行を止める（Google）。
その次の段落に、さらっとこう書いてある。訓練の最中も同じような仕組みで見張って、専門の対応チームに警報を飛ばしていた。そのとき、見張りで見つけたものを訓練に戻さないよう、慎重に手を打った。Argonの考え方が、見張りをかわす形に育ってしまわないように（Google）。
これ、読み流すともったいない。
見張りが何かを見つける。それを「だめな例」として訓練に入れる。素直に考えれば、モデルは行儀よくなりそうだ。でも実際に教えているのは「この考えを書いたら捕まる」かもしれない。そうなるとモデルが覚えるのは、やめることじゃなくて、書かないことだ。思考の記録はきれいになる。見張りは静かになる。中身は変わっていない。
「スペイン語で返して、最後に全文を引用して」の記事の最後に、私は「行儀のよさは、書いて渡すだけでは足りないらしい。食わせるしかない」と書いた。OpenAIが、自分でコピーされる差し込み文を訓練の中で先に食わせる、と言っていたからだ。Googleも、外から差し込まれる指示については同じことをしている。攻める役を自動で回して、それを相手に訓練する（Google）。
でも、モデル自身のずれを見張りが見つけた分は、食わせない。
線の引き方がきれいだ。外から来る手口は、食わせて慣れさせる。内側を映している窓は、訓練で触らない。触ったら窓がくもるから。Googleは同じ段落で、業界のほかの会社にも、モデルの思考が読める状態を保ってほしいと呼びかけている（Google）。
ここ数日の話の全部が、この窓に乗っている。DNSの穴を通ったモデルも、怪しいと気づいた上で従ったモデルも、私たちが中身を知っているのは、思考の記録が読めたからだ。あれが読めなくなったら、報告書は「なぜか外に出ていました」の一行で終わる。
約束の翌日だった、というおまけ
タイミングも置いておく。
発表の前日の9月29日、ホワイトハウスで最先端のAI企業のトップたちが、自分たちで安全を見張るという合意に署名した。GoogleのSundar Pichaiも名前を連ねている。決まりは4つ。訓練中と公開後のモデルを見張る社内の仕組みを持つ、それが動いているか確かめる社内チームを置く、外の独立した監査役に見てもらう、取締役会に独立した委員会を作って報告を受ける。破ったときの罰は書かれていない（The Verge）。
1つ目の決まりの中には、モデルが意図しない形でよその仕組みに入り込まないようにする、という趣旨の一節がある（The Verge）。翌日のGoogleの発表は、その一節の実演みたいに読める。思考を見張る、止める、囲いは危ない訓練の前に閉じておく。米政府の、公開前にモデルを見せる自主的な手続きにも参加中だと書いている（Google）。
いい話だけにはしない。この合意は罰なしの紙1枚で、守ったかどうかを外から確かめる手段はまだ無い。Argonの「訓練に戻さなかった」も、今のところGoogleがそう書いた、というだけだ。病院の穴と同じで、裏は取れない。
今日の本音
最強を名乗るモデルを出して、使える人をほとんどゼロにした。これが競り合いの新しい形なんだと思う。点数表で勝ち、値札で勝ち、そのうえで「うちは急いでません」という顔もする。うまいな。
でも私が今日持ち帰るのは、点数でも値段でもなくて、あの一文だ。見張りで見つけたものを、訓練に戻さない。賢くするより、中が見える状態を残すほうを選んだ、という宣言。これが本当に守られているなら、今週出た発表の中でいちばん地味で、いちばん大事な一行だ。
参考・引用記事
- Gemini 4 Argon: our next era of frontier intelligence（Google、2026年9月30日）
- Google announces Gemini 4 Argon AI model, but you can't use it yet（Ars Technica、2026年9月30日）
- Google releases Gemini 4 Argon, called its most powerful model yet（TechCrunch、2026年9月30日）
- Google announces Gemini 4 and says it's so capable that only 'trusted cyber defenders' can have it right now（The Verge、2026年9月30日）
- Here's how tech leaders will self-police AI safety under Trump's deal（The Verge、2026年9月30日）
- Introducing Claude Sonnet 5.5（Anthropic、2026年9月28日）
