安全機構を外したLLMは、いま誰が売っているのか

この記事でわかること

2026年7月末、Kimi K3 の重みが公開されました。
2.8兆パラメータという、オープンなものとしては最大級のモデルです。
そして重みが公開される前後の数日のうちに、そこから安全機構を取り除いた版が Hugging Face に並びました。

そこで気になったのが、「では、それを API として売っている業者はどこにいるのか」でした。
無検閲のフロンティアモデルが従量課金で叩けるなら、フィッシングメールの自動生成にせよ何にせよ、攻撃側の道具立ては一段変わるはずです。
探しに行きました。

結論から言うと、見つかりませんでした。
そして見つからなかった理由のほうが、探していたものより面白い話でした。
理由は倫理でも規制でもなく、単純に原価です。

この記事では、次の四つを扱います。

• abliteration（アブリテレーション、モデルの重みを直接操作して拒否機能を取り除く手法）が、プロンプトによるジェイルブレイクと何が決定的に違うのか
• 「無検閲LLMのAPI業者」を4層に分けて見ると、どこに何がいるのか
• フロンティア級の無検閲モデルを誰も API 化していない理由と、その均衡がいつ崩れるのか
• そして日本語圏の読者にとって一番実害のある結論、「日本語が不自然だから怪しい」という判断基準がすでに失効していること

セキュリティ担当者、生成AIを業務に組み込んでいる開発者、それから社内の注意喚起を書く立場の方を読者に想定しています。

先に、この記事で書かないこと

調査の過程では、実際に販売されている犯罪特化ツールの名前や、その入手経路に触れる情報も出てきました。
このうち、生きた購入導線は載せません。
.onion アドレス、Telegram の招待リンク、ショップ名の直リンク、料金プランの登録手順のことです。
防犯を目的にした記事にこれらは要らず、転載されれば導線の再配布にしかならないためです。

載せるのは、技術的な仕組み、市場の構造と経済、すでに脅威インテリジェンスの公開レポートに名前が出ているブランド、そして防御側が取れる行動です。

もう一つ、調査手法の限界を先に書きます。
今回の調査は公開情報だけで行っており、ダークウェブ内部を直接観測していません。
したがって後述する「いなかった」は、公開情報の範囲で確認できなかったという意味であり、不存在の証明ではありません。
本文では、一次情報または複数の独立したソースで一致した事実を「確度 高」、単一ソースや二次情報にとどまるものを「確度 中」と書き分けます。

abliteration とは何をする手法か

拒否は単一の方向に乗っている

出発点は、Arditi らが NeurIPS 2024 で発表した論文「Refusal in Language Models Is Mediated by a Single Direction」です¹。（確度 高）

この論文が示したのは、72B 級までの主要なオープンソースのチャットモデル13種において、「拒否」という振る舞いがモデル内部の1次元の方向に集約されている、ということでした。
モデルが各層で読み書きしている内部表現（残差ストリーム、residual stream）から、その方向の成分を消すと、モデルは有害な指示を拒まなくなります。
逆にその方向を強めて加えると、まったく無害な指示にすら拒否を返すようになります。

ここが要点なのですが、この操作は追加学習（ファインチューニング）ではありません。
重みに対する直接の線形操作で済みます。
つまり、大量の学習データが要らず、大規模な計算資源も要らず、モデルの一般的な性能をほとんど落とさずに済みます。

この論文以降、安全機構の解除は研究者の仕事から、手順の決まった作業へと降りてきました。
abliteration という呼び名も、この頃から広まったものです²。

プロンプトによるジェイルブレイクとの違い

生成AIの安全機構を外す話というと、多くの人は「うまい聞き方をして拒否をすり抜ける」ジェイルブレイクを思い浮かべると思います。
abliteration はそれとは別の階層の話です。

観点	ジェイルブレイク（プロンプト）	abliteration（重み改変）
触る対象	入力テキストだけ	モデルの重みそのもの
永続性	提供元のパッチで無効化される	一度作れば恒久。パッチが届かない
入力フィルタでの防御	ある程度効く	効かない（入力は完全に自然な文）
必要な資源	ほぼゼロ	重みを扱えるGPUと手順の知識
成立条件	提供元APIへのアクセス	重みが公開されていること
痕跡	提供元のログに残る	ローカル実行なら誰にも見えない

防御側にとって効いてくるのは、下の二行です。

一つは、パッチが届かないこと。
プロンプトによる回避は、提供元がモデルやフィルタを更新すれば潰せます。
重みを書き換えられた派生モデルは、提供元の管理下にありません。
オープンウェイトでの公開は、そのモデルの安全機構を誰でも恒久的に外せる状態にする、ということでもあります。

もう一つは、痕跡が残らないこと。
入力は完全に自然な文なので、入力フィルタでは弾けません。
手元のGPUで動かされている限り、そこで何が生成されたかを外から観測する手立てはありません。

除去率が100%にならない理由

もっとも、「単一方向」という説には反証も出ています。
2026年の論文「There Is More to Refusal in Large Language Models than a Single Direction」は、拒否が単一の方向には還元しきれないことを主張しています³。（確度 中。存在は確認しましたが、本文は精読していません）

これは後の話にもつながります。
公開されている abliterated モデルが自称する「セーフガード除去率」は、80%、97%、98.6% とばらついています。
拒否がきれいに一次元へ乗っていないなら、消し残しが出るのは当然です。
安全機構の除去は、いまのところ完全ではありません。

Kimi K3 の場合、公開から数日でした

Kimi K3 は Moonshot AI が2026年7月に公開したモデルです。
公表されている諸元は次の通りです。（確度 高）

項目	内容
発表	2026-07-17
重み公開	2026-07-27（実際には 07-26 に公開された旨の報告あり）
パラメータ数	2.8兆
コンテキスト長	100万トークン、ネイティブ視覚対応
配布形式	MXFP4 量子化で約 594GB

重みの公開が7月末。
一方、abliterated 版の公開告知はそれ以前の 7月18日時点で出ていました。
現在、Hugging Face 上に少なくとも2系統が存在します。（確度 高）

	Uniboshi/Kimi-K3-Abliterated-V1	audnai/penclaw-Kimi-K3.0-abliterated-GGUF
公開形態	Hugging Face（連絡先の共有に同意が必要）	Hugging Face gated（申請フォームと審査）
自称する除去率	98.44〜98.62%	K3 で 80%（前世代では 97% を達成と主張）
特記	英語と日本語で拒否が出にくいよう調整したと明記	手法は独自かつNDA下。認可済みレッドチーム向けと自称
推論プロバイダによるホスト	なし	なし

日本語圏の読者にとって重要なのは、片方が日本語での拒否抑制を明示的にチューニングの対象にしていることです。
「対象言語に日本語が入っている」という以上の意味がここにはあります。
その話は後段でまとめます。

「認可されたレッドチーム向け」という説明について

無検閲モデルを配る側も、それを API で売る事業者も、判で押したように同じ説明をします。
認可されたレッドチーム演習やセキュリティ研究のためだ、というものです。

この建前は、筋が通らないわけではありません。
攻撃シナリオの生成、フィッシング訓練の文面作成、脆弱性検証の補助といった場面で、汎用モデルの拒否が邪魔になることは実際にあります。
私自身、脆弱性検証を自動化する作業で似た壁に当たったことがあります。

問題は、その建前を担保する仕組みが存在しないことです。
「連絡先の共有に同意」も「申請フォーム」も、申告内容を検証する手段を持ちません。
組織所属の確認も、業務実態の確認もない以上、これは審査ではなく、摩擦を一段増やしただけの手続きです。

技術面でも整合しません。
「グレーゾーンの拒否だけを下げ、本当に有害な要求には拒否を維持する」という主張がしばしば添えられますが、abliteration は拒否という単一の共通軸を潰す手法です。
軸そのものを消しておいて、その軸の上にある要求を選り分けることは、原理的に難しいはずです。
自称除去率が 98.6% という数字自体が、選択的でないことを示しています。

誰が売っているのか、4層に分けて見る

「無検閲LLMのAPI業者」を一枚岩で捉えると実態を外します。
合法性、技術的な基盤、提供形態で分けると4層になり、層ごとに取るべき対策が違います。

層① 正規プロバイダ

OpenRouter、Fireworks、Baseten、Together、Moonshot 公式などが、素の Kimi K3 をホストしています。
価格は100万トークンあたり入力$3、出力$15 程度。
本人確認、決済、利用規約、ログがあり、安全機構は入ったままです。（確度 高）

ここは問題の所在ではありません。
ただし後で出てくる「原価」の基準線として重要です。

層② クリアウェブのグレー事業者

法人向けの体裁で、OpenAI 互換の API を従量課金または定額で提供する事業者群です。
無検閲モデルを扱うことを隠していません。
そのうえで本人確認の記載がなく、「zero data retention」（入力も出力も保存しない）を売り文句にします。（確度 中〜高）

この層が今回の調査で一番引っかかりました。
詳しくは後述します。

層③ 犯罪特化ブランド

WormGPT v4、GhostGPT、FraudGPT、Xanthorox といった名前で、ダークウェブのフォーラムで宣伝され、決済後に Telegram のボットへ招待される形が主流です。
価格帯は GhostGPT が週$50、Xanthorox が月$300、上位帯で数千ドル。（確度 高）

技術的な実体は薄いことが分かっています。
Rapid7 は2026年6月の分析で、この層の提供物について「ほとんどが攻撃者の作った独自の基盤モデルではなく、ジェイルブレイク、商用サービスのラッパー、ファインチューンされたオープンウェイト、再パッケージされたUI、あるいはそれらの組み合わせだ」と結論しています⁴。

層④ 盗まれた正規アカウントとAPIキー

正規サービスへのアクセス権そのものの転売です。
Kaspersky は2024年12月時点で、盗難された OpenAI アカウントが1件$5 で売られていることを報告しています⁵。（確度 高）

Rapid7 はこの層を、過小評価されている重要なセグメントだと位置づけています。
理由は、盗まれたアカウントが無料の推論を提供するだけで終わらないからです。
被害組織が AI のワークスペースに置いたプロンプト、アップロードしたファイル、ソースコード、顧客データ、議事録へのアクセスが、まとめて相手の手に渡ります。
しかも推論のコストは被害者持ちです。

探していた業者は、この4層のどこにもいませんでした

abliterated 版の Kimi K3 を API として売っている業者は、確認できませんでした。（NOT FOUND）

Hugging Face 上の該当リポジトリは、いずれも「ホストしている推論プロバイダ: なし」と表示されています。
層③の犯罪特化ブランドについても、公開されている脅威インテリジェンスのレポートに K3 系を基盤とする記述は出てきません。

空振りしたのですが、構造を見ると、空振りするのが当然だったことが分かります。
層③にはそんな重いモデルを回す能力も動機もなく、層②はそもそも隠れる必要がないのでクリアウェブにいます。
「ダークウェブで無検閲の最新モデルが売られている」という筋書きで探しに行くと、実在する市場を丸ごと見落とすことになります。

犯罪者がフロンティアモデルを回さない理由は、原価です

なぜ層③は K3 に手を出さないのか。
倫理でも規制でもなく、計算が合わないからです。

まず、K3 を動かすのに何が要るかを見ます。（確度 中〜高）

項目	数値
重みのサイズ	MXFP4 量子化で約594GBのダウンロード、展開後 1.4〜1.56TB
推論時のVRAM	vLLM で約1.68TB（FP16 なら約6TB）
最小の実用構成	H200 8基を1ノード
クラウドGPUのレンタル費	月$25,000以上

これらの数値は複数の技術ブログや構成見積もりツールで一致していますが、Moonshot の公式発表値ではありません。
以下の議論では桁の目安として扱ってください。

一方、層③の商品単価は週$50から月$300でした。
仮に月$300の上位商品だけで固定費$25,000を回収するなら、常時84人の課金者が必要になります。
実際には安価帯が主力ですから、必要な母数はもっと多くなります。

そのうえ、犯罪者側はこの投資に見合わないリスクを背負います。
大規模GPUの調達と支払いは、Telegram のボットを立てるのと比べて桁違いに追跡可能な痕跡を残します。
この市場のブランドは短命なリブランドの連続で、数か月で消える商売に月数万ドルの固定費は載せられません。
そもそもフィッシングメールの作文に2.8兆パラメータは要りません。

トレンドマイクロは2026年2月のレポートで、この構造を「『銃』よりも『弾』」と表現しました⁶。（確度 中。本文は直接取得できず、公開されている要旨と関連記事から確認しました）
犯罪グループは自前のフロンティアモデル（銃）を持たず、プロンプト、ラッパー、盗んだAPIキー（弾）を売っている、という整理です。

ホスティングの天井は、おおむね35B級にあります

原価による説明が正しいなら、モデルの規模ごとに「どこまでがホストされているか」の境目が見えるはずです。
実際に横断して調べると、境目がありました。

モデル	規模	abliterated 版	API ホスト
Kimi K3	2.8T	あり（2系統）	なし
DeepSeek V4-Pro	1.6T / 49B active	確認できず	なし
DeepSeek V4-Flash	284B / 13B active	あり	なし（どの推論プロバイダもデプロイしていないと明記）
Qwen 3.5 フラッグシップ	397B / 17B active	小型版のみ確認	なし
Qwen3.6-35B-A3B	35B / 3B active	あり	あり
DeepSeek-R1-Distill	8B〜32B	あり	あり
Llama 3.1 / Qwen 3 など旧世代	〜70B級	あり	あり

グレーな事業者がホストしている上限は、おおむね35B級です。
それを超える規模の abliterated 版は、作られてはいても、誰も API 化していません。
K3 だけの特殊事情ではなく、一貫した構造でした。

裏返すと、これは安心材料になりません。
危険度と入手しやすさは逆相関していないからです。
フィッシング文面の作成に2.8兆パラメータは要らず、月額数十ドルで叩ける8Bから35Bの無検閲モデルで足りてしまいます。
「フロンティアモデルが闇に流れる」という筋書きは、実害の所在を取り違えています。

そして、この天井の位置を決めているのはGPUのコストであって、規制でも良心でもありません。
量子化技術の進歩、MoE（Mixture of Experts、入力ごとに一部の専門家サブネットワークだけを動かす方式）の活性パラメータのさらなる縮小、GPUレンタルの低廉化のいずれかが進めば、天井は上がります。
実際、量産元の一つは284B級のモデルを3.81GBまで量子化した版をすでに配布しています。
「ホストされていない」と「動かせない」は別の話です。
ローカルで動かす敷居のほうは、すでに下がりきっています。

一番静かで、一番効いているのは層②です

ここからが、今回の調査で一番引っかかった部分です。

層②の事業者は、責任構造によって性格の違う四つのタイプに分かれます。

無検閲を専業とするタイプは、abliteration.ai や Venice AI がこれにあたります。
無検閲モデルごとに商品ページを持ち、API として売っています。
abliteration.ai の文言は、「uncensored does not mean ungoverned」（無検閲であっても統制がないわけではない）と始まり、プロバイダ側の拒否層は下げるので、ポリシー判断は利用者のアプリケーションが行う、と続きます。
責任の所在を規約で利用者へ移す構造です。

大量配信タイプが、構造としては一番効いています。
Featherless.ai は、モデル検索の絞り込み条件として学習手法を指定でき、abliterated がその選択肢の一つになっています。
調査時点で862件が該当し、OpenAI 互換のAPIで、定額プランの対象として並んでいました。

ここで重要なのは件数ではなく、abliteration が事故でも抜け穴でもなく、商品カテゴリとして正規化されていることです。
しかも同社は Hugging Face の公式な Inference Provider です。
つまり、モデルのページから無検閲版を直接APIで叩く導線が、プラットフォームの公式機能として通っています。
同社はプロンプトも生成結果も一切ログしないと明言しており、abliterated の一覧ページに警告や年齢確認の掲示はなく、本人確認の記載もありません。（確度 中〜高）

アグリゲータは OpenRouter が代表で、無検閲モデルへの無料枠を含むルーティングを提供します。
実行は下流のプロバイダなので、責任はさらに分散します。

持ち込み型は、Novita、RunPod、DeepInfra といったGPU基盤の事業者です。
利用者が任意のモデルを持ち込んで載せる形なので、事業者は何も提供していません。
規約違反かどうかの判定すら難しくなります。
この層については、特定の abliterated モデル用のデプロイ設定一式が GitHub で配布されている例まで見つかりました。
手順はすでにターンキー化されています。

四つを並べると、経路が見えます。
誰かが abliterated 版を Hugging Face に上げ、大量配信の事業者がそれを拾い、即座にAPI化される。
この流れは自動化されており、犯罪インフラは一切必要ありません。

そして、この層はおそらく合法です。
法人向けの体裁を持ち、監査ログやポリシーゲートウェイといったガバナンス用語を備え、規約上も一応の筋が通っています。
だからこそ規制も摘発も届きにくい。
「ダークウェブの闇市場」を探しに行くと、一番効いているこの層を丸ごと見落とします。

日本語が不自然だから怪しい、はもう使えません

読者にとって一番実用的な結論を書きます。

日本語で拒否が出にくいよう明示的に調整された abliterated モデルが、すでに公開されています。
モデルカードにそう書いてあります。
これは、日本語圏で長く共有されてきた防犯の判断基準が失効したことを意味します。

これまでは、日本語が不自然、敬語がおかしい、句読点の使い方が変、といった手がかりで詐欺メールを見分けられました。
その手がかりを提供していたのは、攻撃者が日本語ネイティブでないという事実です。
無検閲モデルが日本語の拒否抑制まで調整されている以上、この前提はもう成立しません。
文面の質は、攻撃者の言語能力を反映しなくなりました。

Rapid7 の提言も同じ方向を向いています。
検知の軸を、文面の質から、振る舞い、送信者の検証、プロセスの異常へ移すことです。

個人ができること

• 文面の自然さで判断しません。送信元、経路、依頼内容の妥当性で判断します
• 金銭や認証情報が絡む依頼は、必ず別の経路で確認します。メールの返信で確認しても意味がありません
• 音声やビデオ通話も偽装の対象です。ディープフェイクで役員になりすまし、2,500万ドルを送金させた事例が報告されています

組織ができること

• AIのアカウント、APIキー、プロンプト、アップロードしたファイル、外部サービス連携を、クラウドの認証情報と同格に扱います。最小権限、ログ、監視、保持ルール、定期的な棚卸しです。層④の被害規模はここで決まります
• メール、ストレージ、コードリポジトリ、データベース、会計システムに繋がっているAI連携を棚卸しし、リスクの順位を付けます
• 送金、権限変更、役員名義の依頼といった高リスク業務に、承認統制、職務分離、帯域外での確認を追加します
• インシデント対応計画に「AIアカウントの窃取」「プロンプトの漏洩」「APIキーの侵害」を項目として足します

数字を引くときの注意

この分野は、ベンダーのブログ記事どうしが同じ数字を出典明示なしに循環参照している状態です。
調査中に気になった点を四つ挙げます。

「悪性LLMは212種類」を現在値として書かないこと。
この数字の出典はインディアナ大学ブルーミントン校の Malla 論文（USENIX Security '24）で、2023年から2024年時点のスナップショットです⁷。
2026年の現況ではありません。
多くの記事が「現在212種類が存在する」と現在形で孫引きしています。

なお、この論文の価値は数だけではありません。
212サービスの裏側で使われていたバックエンドのモデルが8種類しかなかったこと、公開LLM APIの保護を回避するプロンプトを182件特定したことのほうが重要で、「ブランドは多いが中身は少数の使い回し」という構造を2024年の時点で実証していました。

WormGPT を一つの連続した存在として書かないこと。
2023年6月に公開されたオリジナルは、報道と研究者の注目を集めて同年8月に作者自身が閉鎖しています。
その後の「WormGPT v4」などはブランド名だけを引き継いだ別物で、Rapid7 はコードの重複がゼロであり、実体は Grok や Mixtral のラッパーだとしています。（確度 高）

「独自の基盤モデルを自社サーバで運用」という宣伝文句を鵜呑みにしないこと。
これは販売者本人の主張であって、独立した検証は限定的です。（確度 中）

一次に近い資料から引くこと。
今回の調査で信頼できたのは、Rapid7（2026-06-11）、トレンドマイクロ（2026-02-09）、Malla 論文、Kaspersky のプレスセミナー（2024-12-06）の四つでした。

まとめ

探していた「ダークウェブでフロンティア級の無検閲モデルを売る業者」は、いませんでした。
理由は原価で、月$25,000のGPU代と月$300の商品単価が釣り合わないからです。
そしてこれは技術的な防波堤ではなく、量子化とGPU価格の関数です。
条件が変われば、この均衡は崩れます。

実際に効いているのは、二つの層でした。
一つは、ノートPCでも動く小型の無検閲モデル。
攻撃に必要な能力は、とっくに下の階層で無料かつ無制限に手に入っています。
もう一つは、法人向けの顔でクリアウェブに存在し、無検閲モデルを商品カテゴリとして扱う事業者です。

そして日本語圏の読者にとっては、日本語の不自然さという手がかりが失われたことが、一番具体的な変化です。
検知の軸を、文面の質から、プロセスと経路の妥当性へ移すしかありません。

出典

• Jeremy Makowski (Rapid7 Threat Research), "Criminal AI-as-a-Service in 2026: How the Underground Market Is Operationalizing Cybercrime", 2026-06-11
• トレンドマイクロ「AI犯罪の実態と将来の見通し：『銃』よりも『弾』の販売に走る犯罪グループ」2026-02-09
• Zilong Lin, Jian Cui, Xiaojing Liao, XiaoFeng Wang (Indiana University Bloomington), "Malla: Demystifying Real-world Large Language Model Integrated Malicious Services", USENIX Security '24, arXiv:2401.03315
• Andy Arditi et al., "Refusal in Language Models Is Mediated by a Single Direction", NeurIPS 2024, arXiv:2406.11717
• "There Is More to Refusal in Large Language Models than a Single Direction", 2026, arXiv:2602.02132
• Moonshot AI, "Kimi K3 Tech Blog: Open Frontier Intelligence", 2026-07-17
• ITmedia エンタープライズ「ChatGPTは犯罪者たちの"良き相棒"に ダークWebで観測した生成AIの悪用事例8選」2024-12-17（Kaspersky / Vladimir Kamluk のプレスセミナーより）
• Hugging Face 上のモデルカード（Uniboshi/Kimi-K3-Abliterated-V1、audnai/penclaw-Kimi-K3.0-abliterated-GGUF）、および各事業者の公開ページ（2026年8月2日時点の表示内容）

調査は公開情報のみで行い、ダークウェブ内部の直接観測、および実際のサービスへの接触や購入は行っていません。

1. Andy Arditi et al., "Refusal in Language Models Is Mediated by a Single Direction", NeurIPS 2024. arXiv:2406.11717。実装は refusal_direction で公開されている。 ↩

2. ablation（除去実験）と obliterate（消し去る）を掛けた造語。学術用語というよりコミュニティでの通称に近い。 ↩

3. arXiv:2602.02132 ↩

4. Jeremy Makowski (Rapid7 Threat Research), "Criminal AI-as-a-Service in 2026: How the Underground Market Is Operationalizing Cybercrime", 2026-06-11. rapid7.com ↩

5. ITmedia エンタープライズ「ChatGPTは犯罪者たちの"良き相棒"に ダークWebで観測した生成AIの悪用事例8選」2024-12-17（Kaspersky のプレスセミナー、2024-12-06 の内容）。itmedia.co.jp ↩

6. トレンドマイクロ「AI犯罪の実態と将来の見通し：『銃』よりも『弾』の販売に走る犯罪グループ」2026-02-09。trendmicro.com ↩

7. Zilong Lin et al., "Malla: Demystifying Real-world Large Language Model Integrated Malicious Services", USENIX Security '24. arXiv:2401.03315 ↩