プランAは、相互の信頼に頼らず、AIの進歩を減速させる国際協定を執行できることを前提とする。検証措置によって実現できると確信している。米中の双方に対し、相手側の協定違反は発見されるか、発見されなくても影響を無視できる規模にとどまるという十分な確証を与えることによって

現時点で最善の検証手段にも、費用と信頼性の幅があり、これを検証フロンティアと考えられる。現在、そのフロンティアはまだ成熟していない。米中間のAI開発停止を極めて高い確度で検証するには、現状ではおそらくデータセンターの電源を落とす必要がある。そして、これよりもコストが低いものは、違反される重大なリスクがある可能性がある。そうは言っても、検証の問題は本質的に防衛が優勢であると私たちは信じている。AIの検証も非常に新しく、これまでのところまだごく小規模な研究分野したがって、今後数年間で大幅な進歩を遂げることは非常に容易であるはずである。

本補足では、プランAを実行可能にするために採用すべき検証計画を概説し、続いてプランAの具体的なシナリオで検証体制がどう展開するかを詳しくたどる。

これの構築を構築への協力者を募集する?詳しくは、参加するタブ: 何をする必要があるか、フィールドが誰を必要としているか、関心表明フォーム、検証分野全体で機会が開かれる。

計画の概要

米国と中国が主導し、超知能をめぐる破局的な開発競争を避けるための国際協定を推奨する。この協定は相互の信頼に頼らず執行できなければならず、米中が検証不能な協定を結ぶ可能性は低いうえ、違反が発覚する可能性が高ければ協定を破る誘因も大幅に弱まるからである。

検証の問題は2つの主要な要素に分けることができる。

私たちが推奨する手段は3つのフェーズから構成される。

フェーズ1。 協定のオプションを準備する。米国と中国は、推論専用であることを検証する能力を整え、AI向け計算資源の総量と所有者を厳密に追跡することで、協定を執行可能かつ持続的なものにする。

フェーズ2。 協定を実施する。米中は計算資源を相互申告し、その対象を第三国へ広げて、理想的には世界の計算資源の>99%を把握し、世界のAIデータセンター計算資源の~99%へ推論専用検証を後付けし、その後、協定後に生産される新たな計算資源を使う安全な研究開発検証体制の構築を急ぐ。

フェーズ3。 堅牢性を向上させる。米国と中国は時間をかけて、とりわけハードウェア・セキュリティや検証の堅牢性などを強化し、検証体制の安定性と持続性を高める。

フェーズ1。 協定の準備のオプション

協定前の作業は、世界のAI向け計算資源の99%を安全に改修して推論専用と検証できるようにし、同時に少なくとも99%の存在量を低い不確実性で――少なくとも情報機関が――把握して、将来の計算資源申告と検証体制からもっともらしい否認によって隠せなくする、最小限の検証パッケージを短期間で完成させることに集中すべきである。

最優先の推奨事項:

フェーズ2。 協定を実行する

安定した協定を築くには、相互の計算資源申告とサプライチェーン記録の監査を直ちに実施し、協定の対象となる計算資源を最大化すべきである。次に、利用可能な最善の推論専用検証を適用し、学習と実験を短期間停止する。並行して、学習と実験を再開するための検証体制を集中的に整備する。

最優先の推奨事項:

フェーズ3。 堅牢性の向上

協定成立後には、その堅牢性をさらに高める余地が数多くあると見込む。具体的には、ハードウェアセキュリティへの大規模投資、検証体制の改善、検証の容易化や各種セキュリティ特性の向上、秘密プロジェクトより協定参加者を有利にする設計など、協定の堅牢性を高めるハードウェア設計上の選択、そして相互確証による計算資源破壊や当事者間で協定失効時の帰結を均衡させる措置など、協定離脱の動機を弱める取り組みを推奨する。

プランAシナリオでの協定の検証

プランAのシナリオでは、前節で概説した高水準の検証計画に従う。 検証補足資料の本節では、その実施と検証の過程をより具体的に説明する。 継続的に研究開発が進む若い分野の将来シナリオであるため、細部についての確信は低い。 それでも、先に示した検証計画を実施する際の具体的で有用な基準を提示したい。

2026～2028年：協定のオプション性を準備中

2026: チップ追跡開始

米国の諜報機関は、中国へのAI計算資源の密輸とその国内生産レベルを内部で監視し始めており、年末までに中国企業が合計でどれだけのAI計算資源を所有するかについては10％の不確実性に達しており、彼らはこの情報についてはまだ何もしていない（つまり、密輸情報をBISと共有していない）。中国は米国の諜報機関がこれを行っていることを知り、主に台湾のTSMCの既存資産を活用して総生産量の正確な数と記録を取得することで同様のことを始めている。米国全体のAI計算資源の不確実性は10%に達する。これは主に、台湾以外 (韓国や米国など)の既存の計算資源と生産に関する不確実性によるものである。新しい計算資源の生産に関する不確実性ははるかに低くなる (1%程度)。

2027: 検証研究開発に資金提供

米国行政府は、協定の任意性とこれを可能にする検証手段に関心を示し始めている。 一連の作業の後、情報提供依頼彼らは、推論専用の改修 手段として、ネットワークタップと再計算を中心とした方式に取り組みを集中することを選択した。 互いのデータセンターにデバイスを設置するという見通しを聞くと、最初は警戒を招くが、これは取り組むべき扱いやすいセキュリティ問題である。 最終的には、考えられるネットワークタップの設計 (本質的には光信号を分割するガラス)の一部が非常に単純であること、およびさまざまな物理的セキュリティアジェンダへの並行投資により、これらのタップが実際に必要になった場合に備えて大量に生産する価値がある可能性が明らかになる可能性がある。 一方的に信頼される再計算サーバー (ネットワークがトラフィックをリダイレクトし、実際に検証を実行する役割を担うサーバー)はより複雑であるため、標準では信頼することが困難だが、ここには多額の投資が行われている。 研究開発プログラムは、信頼を築くために意図的に透明性があり、オープンソース化されている。 中国も同様に透明性の高い方法で独自の対称手段を開発、構築する動機があると考えている。 今年の後半には、機密ではない重要な検証関連情報、特に互換性のあるネットワークタップと再計算サーバーを構築するために必要な互いのネット​​ワーキングと計算資源パラダイムに関する相互情報共有に合意する。さまざまな資金源や世界中のさまざまな場所からいくつかのパイロットが年間を通じて実施され、設計の改良が繰り返され、生産規模を拡大するための準備が行われる。 最終的に、米国と中国は、以下のボックスで提案するより野心的な設計や、別の設計ではなく、脆弱性が入り込む余地が最小限に抑えられた、極めてシンプルな光分割設計を備えたネットワークタップ手段を選択することになる。暗号ベースの方式、より不確実だが、（十分に低コストで）機能する場合は、さらに優れており、信頼しやすくなる可能性がある。

ネットワークタップと再計算を中心とする方式を構築する中核的な取り組みに加え、ソフトウェアのみの方式や暗号技術を中心とする方式など、別方式のR&Dにも$100M規模の資金が投入される、たとえば、ZKP)方式、および推論専用の改修 手段を補う物理セキュリティの研究開発用の同様のプール (1億ドル規模)。

2028年: チップ追跡が成熟

諜報機関は新たな計算資源生産を綿密に追跡しており、追跡活動よりも前にAI計算資源がどの程度存在していたのかについての不確実性を狭めることに部分的には成功している。 年末までに、中国は米国の総計算量に対して約2%の不確実性を抱え、米国は中国の総計算量に対して約4%の不確実性を抱えている。 これは、中国の観点からすると、米国がH100相当の2億2,200万機から2億2,600万機を所有していると80%の自信を持っていることを意味する。 米国の観点からすると、中国が2,500万から2,700万のH100相当品を保有していると80%確信している。

2029 ～ 2030年: 協定の実施

2029年1月: チップの相互申告と検査

プランAの交渉開始から1週間以内に、米国と中国は計算申告とサプライチェーン記録監査を実施し、記録の検査と監査のために相互に数百人を互いの国に派遣することを許可し、これにより、互いの計算資源に対するすでに比較的小さい不確実性を軽減できる。現在、双方の最善の推測は、相手方が宣言から最大で約150万H100eを隠していた可能性があるということである (80% CIは約400万に達する)。これは、大手AI企業の研究開発計算資源の約4%、世界の総計算資源の約0.5%に相当する。秘密プロジェクトによってどのくらいの計算資源が隠蔽される可能性があるかについての推定と推論については、以下を参照。秘密プロジェクト補足資料。

クラスター規模の区分ごとに推奨する介入の詳細は、以下のとおりである。

チップの宣言には、すべての新しい計算資源生産を非常に厳重に監視することも含まれており、AI関連の特定のパフォーマンス指標を超えるチップは、検証措置の対象となる既知の場所に送られる必要がある。 一方で、消費電力の低い消費者向け計算資源の生産は制限されないままになる可能性がある。

2029年2月: 推論専用の改修が開始される

米国と中国は計算資源の宣言と検査を実施し、互いの計算資源の大部分を把握していると比較的自信を持った後、短期間のAI研究開発の一時停止について握手し、それを世界に発表し、AI企業は当面、進行中の学習実行の一時停止を含め、研究開発を直ちに中止することになっている。両社は推論専用検証手段を互いの最大規模のデータセンターに展開する一方で、小規模クラスター (10,000 H100e未満のもの。これらの改修には時間がかかるため)を100%電源オフにし、すべてのAI製品とサービスを適切に実行し続けるためにはわずかに速度を低下させただけで十分な計算資源の約20%だけで十分な計算資源の80%をすべてオフにすることに同意する。これにより、協定が成立し、その後、以前よりも有利な位置から開発競争に戻る間に、誰でも裏切って差額利益を得ることができる範囲が制限される。

米国は計算資源の約95%を合計約200,000のAIサーバーラック (サーバーラックあたり平均1,000 H100e強)に保有しており、中国は計算資源の約95%を100,000のAIサーバーラック (サーバーラックあたり平均約250 H100e)に保有している。

幸いなことに、米国には約10,000のネットワークタップと100台の (一方的に)信頼できる再計算サーバーの在庫がある。 中国には約20,000台のタップと200台のサーバーの在庫があり、さまざまなサードパーティからそれぞれ毎月さらに10,000台を購入できる。 中国の計算資源能力が低いため、米国は中国の計算資源をより迅速に改修できるが、中国の達成可能なペースによって決定される比例改修スケジュールに同意し、1か月で米国の計算資源の40%を既存のネットワークタップの在庫を備えた4つのサーバーラック (または4K H100e)の推論ユニットに改修することになる。 したがって、どちらもこのペースに従い、3か月のマークまでに80%まで増加し、それ以降は95%を超えるか、より小さい推論単位に増加する。

2029年3月：研究開発クラスター建設開始

推論専用の改修が実行されている間、米国と中国は、目指す高レベルの規制計画と透明性体制について合意する（選択肢の一部は、私たちの記事で強調されている）透明性に関する補足資料違法プロジェクトによるリスクが比較的小さいことやその他のさまざまな考慮事項を考慮して、彼らは研究の完全な透明性方式を目指すことを決定した。 これには、SL5モデル重みセキュリティとSL5検証の整合性を備えた研究開発データセンターの構築が含まれる。 彼らは、これらを擁護できないようにして、協定から離脱してこれらの新しい研究開発クラスターを使って再び開発競争を始めようとすることが困難になることを望んでおり、そのため、米国の研究開発クラスターをモンゴルに、中国の研究開発クラスターをカナダに置くことで相互抑止を狙っている。 米国はモンゴルクラスターに警備員を配置し、中国や他の誰かが計算資源を奪取しようとした場合にその計算資源を破壊する堅牢な「焦土」メカニズムを備えており、カナダでは中国の計算資源に対して対称的な対策が講じられている。 彼らはこれらのインフラストラクチャプロジェクトを3月に緊急性を持って直ちに開始し、検証済みの研究開発パイロットを開始できるように、6か月以内に少量の容量をオンラインに確保することを目指している。 彼らが従う予定の検証方式は推論検証方式に似ており、証拠収集としてネットワークタップが使用され、ワー​​クロードを構成するパケットの正確性を検証するために部分的な再計算が使用される。

2029年4月から5月: 第三国が協定に参加し始める

4月から2029年の残りの期間まで、ドイツ、日本、英国、インド、フランス、ブラジル、カナダ、メキシコ、イタリア、オーストラリア、韓国、スペイン、UAE、サウジアラビア、台湾、オランダ、スイスを含む、世界で最も裕福な20カ国のほとんどと重要な半導体サプライチェーン諸国が計算資源宣言を行い、データセンターへの推論専用の改修を許可することでこの協定に参加する。

2029年6月から7月: 新しい高セキュリティ (SL5)推論専用クラスターの構築が開始される。

透明性体制の一環として、承認されたフロンティアモデルを広く一般に展開する計画だが、SL5モデルでは、SL5の出力検証と蒸留の緩和を通じて達成されるセキュリティが重視される。 を組み合わせて提供する予定である。データ保持ゼロ消費者向けの (ZDR)推論と、よりリスクの高い展開向けの透過的な推論。 詳細については、透明性に関する補足資料SL5モデル重みのセキュリティと検証の整合性を達成するには、おそらくこれらのクラスターを最初から構築する必要があると考えられる。

2029年8月から9月: 世界の計算資源の95%で推論専用の準備が完了

夏の間に大手の計算資源所有者数社が協定に参加したことにより、世界の計算資源の95%が推論専用検証を受けており、より高い粒度 (推論単位の縮小)と物理セキュリティの向上 (サイドチャネルの削減、労力のかかる物理的な保護と監視)にスケールアップされた。

2029年後半: パイロットR&D検証がオンラインで開始される

カナダとモンゴルでは、相互に構築されたデータセンターが、9月までにカナダで約1GW、モンゴルで2GW規模（世界の計算資源の約2％）でオンラインになり、年末までに世界の計算資源の約15％に拡大する予定である。 企業はこれらのクラスターで計算資源のホスティングを開始し、オンラインになるとスペースを入札することができる。 最初は非常に小規模な実験のみが承認され、その有効性をテストして改善するために、検証とセキュリティ対策についてレッドチームと反復が行われる。

2030年初頭: 完全な研究開発検証が進行中

現在、カナダまたはモンゴルの検証済みの研究開発クラスターには、約1億のH100相当のものが存在する (これは当時の世界の計算資源の約20%であり、協定開始時に存在していた計算資源の35%に相当する)。 これらのクラスターには、透明性対策これにより、企業はアルゴリズムを組み合わせて最初の主要な協定発効後のトレーニングを実行することが承認された。 数か月以内にこれらの学習実行は完了し、いくつかのモデルは自動コーダーマイルストーン (AC)に近づく。 モデルは、この目的のために研究開発クラスター内の少量の計算資源をレンタルする多くのサードパーティグループや監査人を含め、広範にテストされ、レッドチーム化される。

現在、研究開発の進行速度をどのように制御して（急ぎすぎることによる）リスクと（能力向上による）利益のバランスを取るかという大きな規制上の課題が存在している。これは間違いなく、この協定を適切に実行するのが最も難しい部分となるだろう。 一連の複雑な依存関係があり、あまりにも速く進むとAI乗っ取りのリスクが生じたり、進歩の原因となったりする。潜在的な秘密プロジェクトに拡散する（合法的なプロジェクトが持つ余裕を減らす）一方で、遅すぎると、協定が決裂する前に調整の進展が遅れたり、実際に協定の範囲外で運営されている違法なプロジェクトに負けたりするリスクが生じる。

推奨する能力進展の大枠は、制御に基づく安全性ケースを確実に構築できる最大能力まで、理想的には主としてハードウェアの増強によって拡張し、その後、アラインメントに基づく安全性ケースの限界的な進展、すなわち権限移譲リスクの低下分が、協定によって負うリスクを下回るまで停止するというものである。

望ましい能力進展スケジュールを定めても、その水準を実際に執行するのは難しい可能性があり、特に、能力の進展を計算資源などの投入量から予測しにくい、測定しにくい、または何もしなくても速く進む場合には難しい。現時点では、後述するように、厳格な計算資源上限と質の高い個別ルールを組み合わせれば十分だと考えている。

研究に関する特定のルールが定められている場合、これらのルールを実際に遵守させるという別の問題が発生する。 研究開発ルールの施行の問題は2つの部分に分けることができる。

1. ワークロードの承認。企業が宣言したワークロードは、その実装がどのようなものであれ、実際には規制ルールを満たしている。

2. ワークロードの検証。企業が宣言しているワークロードは、実際に実行されているものと一致する。

私たちの見解では、ワークロード検証は、先に述べたネットワークタップによる証拠収集と、無作為に選んだ再現可能なパケットの部分再計算によって解決できる一方、ワークロード承認は適用されるAI研究開発ルールの内容に密接に結びつくが、そのルールは実験用計算資源の上限だけなのか? 特定の技法を禁止するのか、あるいは義務づけるのか? 基本案では、R&Dクラスターの監査チームが手作業で承認する。

1. 宣言: AI企業は、コードやアルゴリズムなどについて完全な透明性を持って、実行したいワークロードを宣言する。

2. 承認:監査人は以下に従ってチェックを実行する。ワークロードの承認実装し、合格した場合は承認を送り返し、必要なランダムシードを提供する（偽のランダム性をゲームとするAI企業からの潜在的な攻撃ベクトルを除去する）。

3. 証拠収集:監査人はワークロードから証拠を収集する (ネットワークタップを介した完全なログフローなど)。 この図では、証拠の収集は低い粒度として示されているが、実際には、個々のサーバーまたはGPUのレベル、あるいはその後のさらに低いレベルで行われる可能性がある。

4. 検証:監査人はランダムにサンプリングし、部分的な再計算やその他のチェックを実行して、ワークロードの正確性の違反を発見する。

5. 評価とリリース:最終的な学習実行で構成されるワークロードの場合、評価の実行を含む追加のステップが存在する可能性があり、その評価の正確性も検証され、最終的なモデルのリリース承認により、モデル重みが不透明な内部データベースからダウンロードされ、推論専用クラスターに転送される。 このプロセスは、モデル重みの盗難の観点から非常に危険なため、慎重に設計して実行する必要がある。

2030年後半: 協定発効後モデル展開用の安全な推論専用クラスターがオンラインになる

最初のSL5推論専用クラスターが稼働し、広範な一般提供に向けてR&Dクラスターで承認された最初の協定発効後モデルを提供し始める。これらのクラスターは、改修済みクラスターと同じ基本的な検証方式（ネットワークタップと部分再計算）を採りつつ、セキュリティ特性を強化している。年末までに、世界の計算資源の約40%（世界全体の~930M H100eのうち~370M）が、新設された協定発効後のSL5推論専用クラスターに入る。

さらに2030年末までに、米国と中国は強化されたコールドストレージ施設を設け、互いのAIチップ備蓄を検査官が検証できるようにし、その規模は、別稿の推定に従い、現実的にあり得るどの秘密プロジェクトよりも大きくする（米国は5M H100e、中国は500K H100eの計算資源バンク）。協定弱体化に関する補足）、相対的な規模は協定前の現状と同様である。 これらはどちらの側も簡単に防御できる場所にある。 これらの場所には、検証済みのモデル重みが保管されている場所もあり、そのため、米国と中国が合意したモデルは、協定失効の場合に使用を承認するプラスの合計となる（安全性研究に非常に役立ち、強力な安全性ケースがあるモデルなど）。 2033年頃には、自動コーダー機能のマイルストーンに近いモデルがウェイトスタッシュとして承認され、2037年にはニアフロンティア (トップエキスパートAI)モデルがコールドウェイトストレージとして承認される。

2031-2036+ 協定の改善

2031年: ハードウェアの研究開発およびその他の高リスク領域に対する制限

米中合意が対処しようとしている核心問題は、知能爆発だ。しかし、対処すべき脅威は知能爆発だけではない。 もう1つの核心的な懸念は、AIによって産業の爆発、AIハードウェアの過度の進歩、またはその他の危険な科学の進歩が実現する可能性があるということである。

AIソフトウェアの進歩を懸念するケースは、AI 2027で例証された、超人的なAI研究者は、私たちが制御できない可能性があり、その目標を調整する方法がまだわかっていない超知能をブートストラップする可能性がある。ハードウェアの進歩が早すぎることを心配する根拠は、急速なテイクオフの下ではこれに優先度が下がるが、プランA協定の下では、ソフトウェアの進歩を遅らせるだけであれば、個別の緩和策がなければ、実際にはハードウェア主導の乗っ取りが乗っ取りリスクの大部分になる可能性がある。

制約のないハードウェアの進歩を懸念する3つの主な理由:

同様に、生物学などリスクの高い科学分野でも研究開発を制限したい。標準案では、一般公開されるAIの大半に推論時の拒否と監視を課したうえで、重大なハードウェア研究その他の科学研究を相互検証下で行える専用研究所を設けることも考える、そこでは安全保障と透明性のトレードオフを選び、企業がハードウェア研究開発の進展速度を調整する規則に従うことを相互に検証し、その規則には安全性ケース、個別ルール、人間による解釈可能性の要件、資源上限などを組み合わせられる。

2032: ロボットと計算資源のキャップ・アンド・トレード

前述したように、私たちは地球上のロボットとAIチップの数の爆発的な増加が協定の安定を脅かすのを阻止したいと考えている。 標準では、現在の単純なモデリングは、現在のハードウェア設計であっても、プランAシナリオ中に到達すると予測されるAIとロボットの機能は、より多くのAIチップとロボットを生産するための直接コストと、それらの経済的価値との間に大きな乖離をもたらすと予測している。 標準では、これにより再投資スパイラルが発生し、倍増時間が非常に早くなると考えられる。

プランAでは、キャップ＆トレード規制を通じて、地球上のロボットとAIチップの数を約6か月で2倍に制限する2032年からの上限を提案しており、民間企業は一定期間内に有限のロボットとAIチップの生産許可に入札する必要がある。 この上限は、工業生産におけるロボットの有用性と、AIワークロードにおけるAI計算資源の単位で設定される必要があるが、これらの両方を測定すること、特にロボットの場合、タスクやフォームファクター全体にわたって測定することは、困難で曖昧になる可能性がある (例: ロボットとより従来の機械の間の境界があいまい)。 それでもなお、さまざまなロボットやハードウェアの設計に対してこれらのことを適切に測定し、それに応じてキャップ・アンド・トレードの制限を割り当てることは実現可能であると考えている。

ロボットやAI計算資源の生産が世界中で行われている場合、実際にキャップ・アンド・トレード許可ルールを施行することは非常に困難になる可能性があるため、キャップ・アンド・トレードルールの施行を容易にするために、新たに構築された産業能力とロボットを特別経済区 (SEZ)に集中させることを提案する。

同じキャップ・アンド・トレードの原則は、無制限の量では不安定になるが、少量であれば安全である他の製品やサービスにも適用される。 2つの主な例は、エッジ計算資源と監視されていない推論を備えた製品である。 特にエッジ計算資源に依存する可能性があるものには、自動運転車や消費者向け計算資源が含まれるが、監視されていない推論は軍事作戦において政府にとって特に価値がある可能性がある。 キャップアンドトレードの下では、政権は、協定の安定性を維持する安全な社会規模の上限の下で、合法であるこれらの活動に対応することができる。 そうすれば、人々、企業、政府が相互に入札して権利を得ることができる許可の市場が生まれる可能性がある。

研究開発の段階的調整と生産上限を合わせると、全体像は次のようになる。

2033: セキュリティの向上

2033年までに、ハードウェアセキュリティが大幅に向上し、データセンターのより一般的なセキュリティ特性、検証体制および機能が大幅に向上すると予想される、2033年末までに、世界の計算資源の約99.9%が協定発効後の計算資源になる。つまり、すべての協定前のクラスターと計算資源の電源をオフにするだけで、計算資源の大部分を、ゼロから構築された新しいより安全な場所に置くことは簡単である。さらに、2034年末までに、存在する計算資源の約90%が2033年か2034年の間に生産されることになる。これは、それまでに行われたセキュリティの改善が、わずか1 ～ 2年以内にすでに広範囲に導入される可能性があることを意味する。同様のダイナミクスが製造施設にも当てはまる。

何が可能になるかについては不確実性が非常に高いだが、私たちが考えている主なアイデアには次のようなものがある。

• 非常に優れたサイドチャネルとエアギャップ特性を備えた、ゼロから構築されたデータセンター。

• より一般的な推論および研究開発ワークロードのためのソフトウェアスタックの標準化 (再現性のため)とセキュリティの向上において大きな進歩があった。

• 新しい計算資源生産施設 (ファブ)は、相互監視対策を講じてゼロから構築され、サプライチェーンと同じ場所に配置され、攻撃対象領域を最小限に抑えるために最終的な集中データセンターと併置される可能性もある。

• 特にアーキテクチャの変更や数値形式に伴う一部のハードウェアとソフトウェアの相互依存関係の始まりにより、これらのパラダイムの最適化と進歩が協定前の計算資源に適用されにくくなる。

• 検証体制、特に研究開発データセンターのロギング/証拠収集の粒度が向上し、バックエンドネットワーキング上の非常に高帯域幅のデータパスと互換性のあるロギングテクノロジーによりオーバーヘッドが削減される。

• 再計算サーバーにとって特に重要な、より堅牢な信頼できる実行、セキュアブート、暗号化、再現性などにより、ハードウェアセキュリティ特性が全般的に向上した。 ハードウェアにおけるある程度の標準化も、再現性の向上に役立つ場合がある。

• 特定のワークロードをデバイス上で自動検証するための特別なハードウェア設計、特に、推論専用であることを検証するために一部のチップにハードコーディングされた重み。これは、秘密プロジェクトで使用されるリスクを冒さずに消費者製品でより多くのAI計算資源を可能にする「エッジ検証」に特に役立つ可能性がある。

2034: 検証の改善

2030年代を通じて、世界のAI計算資源総量は爆発的に増える。 重要なのは、検証対象の計算資源が増えるほど、より高い網羅率が必要になり、検証負担も増えることである。 プランAでは、協定の安定性とのトレードオフを考慮して、キャップ・アンド・トレード制度により検証可能な範囲へ抑えながら、ハードウェアを大幅に増強することを予測するとともに提言し、ハードウェアは違法プロジェクトへ流出しにくいため、合法プロジェクトが利用できる能力を相対的に増やせる。

検証の保証曲線を改善し、無視できない規模の不正な内部展開を高い確率で検出できるようにしなければならない。 2034年までに、各フロンティアGPU（各~100 H100e）から1時間に1パケット（~100 H100e-hour）を収集し、再計算予算を1%とすれば、付録の計算では、未承認作業が~46,000 H100e-hoursに達した時点で不正な内部展開を99%の信頼度で捕捉できるため、10K H100eを継続運用すれば~4.6 hours以内、1Kなら~46 hours以内に検出される。

これは野心的な検証規模であり、検証体制における非常に優れた完全性セキュリティにも依存している。 特にAI支援を利用すれば、ここまで拡張することは可能だと考えているが、自信はなく、検証の負担をこれほど増やさないようにするには、計算資源の上限を低く設定する必要があると考えられる。

2035年: データセンターを海洋に移転

現在進行中の最大のリスクの1つは、協定が破棄され、当事者が開発競争に戻ることであり、計算資源規模の大幅な増加が（安全規制のため）能力の進展に反映されていないため、これまでの調整の進歩にもかかわらず、開発競争への復帰は当初の現状よりもさらに危険になる可能性がある。これは、物事がより速く進むようになるためである。これにより、協定が決裂した場合に、協定前の計算資源水準、またはさらに小さな計算資源水準に戻るための対策を講じる動機になる。

私たちは、公海で海上に新しいデータセンター容量を構築するのに関連する相対的なエンジニアリングコストと物流コストは、ロボットとAIの労働力によって十分に低くなり、2035年頃にはその価値があるものになると考えており、なぜなら、協定が決裂した場合に特定の関係者が防御するのははるかに困難になり、破壊のエスカレーションははるかに少なくなるからである。これは、協定の安定性を高めるための相互確証による計算資源破壊のための意図的な措置である。

2036+ 高度な堅牢性の向上

プランAの後半では、セキュリティ、検証、協定の安定性の観点から、どのような堅牢性の向上が可能になるかがますます不確実になり、非常に野心的なことが実現する可能性がある。検討案には次のものが含まれる。

• ソフトウェアスタックを完全に書き換えて、大幅または完全に正式に検証する。

• 潜在的な秘密攻撃者を支配する資源を使用した、検証スキームやセキュリティ対策に関する大規模なレッドチームの取り組み。

• AIとロボット労働力を使用して、相互に合意された対称的な方法で潜在的な秘密プロジェクトを追跡し、例:秘密プロジェクト補足資料: 信頼できる嘘発見器、プライバシーを保護するAI検証、および極端な産業検証。

付録: パケットベースの検証

この付録では、部分再計算に用いるランダムサンプリングの数理を示し、不正なワークロードの検出についてなぜ有利にスケールするかを説明する。 分析では、ワークロードのパケットが完全に再現可能であると単純化して仮定する。

A.1構築

この分析では、検証をパケットストリームのサンプリング問題として扱う、パケットは、検証者が再計算できる再現可能な計算単位である。パケットの入力、命令、出力はすべて証拠収集ポイント (ネットワークタップなど)で収集される。実際の計算内容 (1つのフォワードパス、1つの学習バッチ)は、以下の計算には影響しない。さらに単純化した仮定は次のとおりである。

1. 均一なサイズ。すべてのパケットは、同じ量の基礎となる計算資源を表する。 定性的な結果を変えない加重サンプリング引数を使用すれば、不均一なパケットも機能する。

2. 独立したランダムサンプリング。検証者は各パケットを同じ確率で独立して監査する。 実際には、置換せずにサンプリングすることになる。

検証者のプールをパケットのコレクションとし、それは、単一の学習実行、特定の月の協定に基づいて実行されているすべてのワークロードからのすべてのパケット、または 1 つのクラスターのトラフィックである可能性がある。する$N_{\text{packets}}$そのプール内のパケットの総数になる。$s = 1 / N_{\text{packets}}$パケットサイズ (各パケットが表すプールの割合)、$C$再計算予算 (検証者が再計算できるプールの割合)、および$N_{\text{verified}} = C \cdot N_{\text{packets}} = C / s$実際に監査されたパケットの数。

A.2ランダムサンプリングによる検出

このセクションの検出計算は独自に導出されたものだが、次の分析と一致する。Rinberg et al. (2025)攻撃者が交代したと仮定する$N_{\text{fake}}$パケットを作成し、それぞれで宣言された計算を独自の無許可の計算に置き換える。 する

偽のパケットの一部になる。 検証者が各パケットを確率で個別に監査する場合$C$、どれも当てはまらない正確な確率$N_{\text{fake}}$偽物は監査される

小型用$C$そして適度に大きい$N_{\text{fake}}$、これは、捕捉された偽物の数のポアソン分布によってよく近似される。$\lambda = N_{\text{verified}} \cdot F_{\text{fake}} = C \cdot N_{\text{fake}}$:

したがって、攻撃をキャッチする確率（検出の信頼性攻撃サイズで$F_{\text{fake}}$）は

ポアソン形式はスケーリングの最もきれいな表現であるため、全体を通してポアソン形式を使用する。 こんなときだけ壊れる$C$1に近づくか、$N_{\text{fake}}$は1桁であり、これは、ランダムサンプリングによって何も得られなくなる時期でもある (本書の最後にある議論を参照)。§A.3).

A.3保証曲線

保証曲線は次のように決定される。カバレッジと信頼度これは次のように表すことができる$F^{*}_{\text{fake}}$、検出されずに許容される偽パケットの最大部分:

• 適用範囲 $\;=\; 1 - F^{*}_{\text{fake}}$、私たちが主張しているワークロードの一部は正当なものである。

• 自信 $\;=\; 1 - e^{-N_{\text{verified}} \cdot F^{*}_{\text{fake}}}$、そのしきい値以上で実際の違反を検出する確率。

信頼度の式は次のとおりである。§A.2:$P(\text{detected}) = 1 - e^{-N_{\text{verified}} \cdot F_{\text{fake}}}$、閾値で評価される$F^{*}_{\text{fake}}$再計算のバジェットは次のように表示される。$N_{\text{verified}} = C \cdot N_{\text{packets}}$したがって、監査されるパケットが増えると、曲線が外側に押し出される。

いくつかの検証予算（つまり、異なる値）のカバレッジに対する信頼度をプロットする$N_{\text{verified}}$):