Aikido Altar-1とは？GLM-5.3を328GBへ圧縮したセキュリティAIを解説

Altar-1の要点

Altar-1は、ベルギーのセキュリティ企業Aikido Securityが公開した、コード解析や脆弱性調査を主対象とするオープンウェイトAIモデルです。完全な新規基盤モデルではなく、Z.AIのGLM-5.3を、特定用途に必要な能力を残すよう圧縮した派生モデルです。モデルの重みはHugging Faceで公開され、自社設備や隔離ネットワーク内へ配置できます。

狙いは、API単価を直接下げることより、機密コードを外部推論サービスへ送れない組織でも高性能モデルを使えるようにすることです。銀行、医療、重要インフラ、データ所在地の制約がある企業では、外部APIの安さだけでなく、オンプレミス運用が可能かどうかが導入可否を決めます。

この節の一次情報：Aikido公式発表 ／ Hugging Faceモデルカード

開発元のAikido Securityとは

Aikido Securityは、アプリケーションセキュリティ、コード監査、AIペネトレーションテストなどを提供する企業です。Reutersは2026年9月21日、同社を欧州の主要サイバーセキュリティ企業の一つとして紹介し、2026年1月に評価額10億ドルへ到達したと報じました。Altar-1は研究デモだけでなく、同社のオンプレミス型ペンテスト製品Aikido Machineなどへ組み込む前提で公開されています。

開発元によると、顧客のインフラ内や完全にネットワークから切り離された環境で、コード、内部設計資料、未修正の脆弱性を第三者へ送らずに解析することが目的です。導入先としてベルギーの銀行Belfiusが報じられていますが、個別顧客環境での精度、処理速度、総保有コストの詳細は公開されていません。

この節の一次情報：Reuters（2026年9月21日）

仕組み：GLM-5.3のMoE専門家を用途に合わせて減らす

GLM-5.3はMixture of Experts（MoE）構成です。多数の小さな専門ネットワークを持ち、各トークンではルーターが必要な専門家だけを選びます。元モデルは各層に256のルーティング対象専門家を持ち、1トークンにつき8つを使います。計算に使うのは約400億パラメータでも、推論サーバーは専門家の大きな集合を保持する必要があります。

Altar-1はREAP（Router-weighted Expert Activation Pruning）を使い、256のうち88の専門家を削除して168を残しました。削減後もルーターは1トークンにつき8つを選ぶため、アクティブパラメータは約400億のままです。変わるのは、選択候補として保持する専門家の総数とモデル保存量です。小さくなったから1トークンの演算が同じ割合で78.2%減る、という意味ではありません。

どの専門家を残すかは、Aikidoの内部ペンテスト評価で得たコード、ツール呼び出し、応答のトレースと、多言語テキストを使って決めたと説明されています。顧客データは使っていないとしています。この処理は新しい能力を追加学習するファインチューニングではなく、対象業務で寄与が小さい専門家を見つけて取り除く圧縮です。

この節の一次情報：Aikido公式｜圧縮方法 ／ REAP論文

量子化と専門家削減は何が違うか

量子化は、学習済みの重みを少ないビット数で保存して容量を減らす方法です。Altar-1のW4A16は、主な専門家の重みを4bitで保存し、推論中の活性値を16bitで扱う構成を表します。注意機構、共有専門家、密結合層、出力ヘッドなど一部はBF16のままです。

専門家削減は、数値を粗く保存するのではなく、専門家の重みブロック自体を取り除きます。Aikidoの比較では、GLM-5.3のBF16版が1,506.7GB、AWQ INT4版が488.2GB、量子化済みモデルからさらに専門家を減らしたAltar-1が328GBです。量子化だけで約67.6%、追加の削減でAWQ版から約32.8%、BF16版から合計78.2%減っています。

API仕様・速度・料金：公開済みと未公表を分ける

Hugging Faceの公式モデルカードは、vLLMでtensor-parallel-size=4、最大コンテキスト131,072を指定する配信例を掲載しています。対象GPUはHopper世代のH100またはH200で、Aikidoは4基のH200に328GBの重みを置き、128KコンテキストのKVキャッシュと本番バッチ用の余地を残す設計だと説明しています。

2026年9月22日の確認時点で、Altar-1を配信するHugging Face Inference Providerは表示されておらず、公式の100万トークン当たりAPI料金もありません。応答速度、毎秒トークン数、同時実行数、H100とH200の差も一般化できる形では公開されていません。したがって、既存APIと単価表だけで比較することはできません。

セルフホスト費用は、GPUの購入または時間課金だけでは決まりません。常時稼働率、冗長化、モデル読み込み時間、ストレージ、ネットワーク、監視、vLLM更新、障害対応、セキュリティ審査を含めます。利用量が少ない組織では外部APIより割高になりやすく、機密性や隔離要件が費用差を上回る場合に価値が出ます。

この節の一次情報：Hugging Face｜配信要件

性能評価：60.4%という数字が意味する範囲

Aikidoは、30のコードリポジトリに含まれる既知の32件のCVEを対象に、各ケースを3回実行する内部評価を公開しました。Altar-1の1回当たり平均再現率は60.4%で、3回のいずれかで23件を再発見しました。量子化済みGLM-5.3は61.5%・23件、BF16の元モデルは65.6%・25件です。

この結果は、AWQ版から保存量を32.8%減らしても、対象評価で発見できたCVEの種類が同じだったことを示します。一方で、開発元自身が、評価は既知CVEの対象付き再発見であり、リポジトリ全体から未知の脆弱性を見つける試験、攻撃コードの実行、修正案の品質評価ではないと明記しています。

また、ベンチマークの作成者とモデル開発元が同じで、他のセキュリティモデルを同一条件で再現した独立評価はまだ不足しています。60.4%を『脆弱性の6割を発見できる』と一般化せず、『圧縮後に特定の社内評価でどれだけ能力が残ったか』を示す限定的な指標として扱う必要があります。

この節の一次情報：Aikido公式｜CVE評価と範囲 ／ 独立記事｜評価範囲の検討

海外で注目されている根拠

公開翌日の段階で、Reutersが独立ニュースとして報じ、Superpower DailyやRouterPlexなど海外のAI・API系媒体が、圧縮率、GPU要件、評価の限界を含む個別解説を掲載しました。Hugging Faceでは確認時点で93件のLikeと直近1か月484ダウンロードが表示され、セキュリティ実務者によるXやRedditでの共有も始まっています。

数字はQwen-Image-2.1のような大規模な一般開発者バズには達していません。ただし、公開から24時間程度で、公式発表の転載にとどまらず『4基のH200で運用する価値があるか』『内部評価はどこまで一般化できるか』という導入論点まで議論されていることは、先行テーマとして重要です。

この節の一次情報：Reuters ／ RouterPlex ／ Hugging Face

日本で広がる可能性

2026年9月22日に日本語で『Altar-1』『Aikido Altar』『GLM-5.3 セキュリティモデル』を検索した範囲では、製品名に一致する詳しい解説記事はほぼ確認できませんでした。一方、日本企業でも、生成AIへソースコードを送ること、未公開の脆弱性情報を外部処理すること、海外リージョンへデータを出すことへの審査は厳しくなっています。

今後、オンプレミスAI、ソブリンAI、エアギャップ環境、AIペンテストが国内で議論されると、Altar-1のような用途特化型の圧縮モデルが比較対象になる可能性があります。特に注目すべきなのはモデル名そのものだけでなく、汎用MoEから対象業務に必要な専門家を残す『ドメイン保存型の専門家削減』という設計です。セキュリティ以外でも、金融、医療、法務、製造の閉域推論へ応用される余地があります。

導入に向くケース・向かないケース

Altar-1が向くのは、モデル精度だけでなく、データを外へ出さないことが必須要件になっている組織です。すでにHopper世代GPUの運用基盤があり、セキュリティ評価用の正解データと人手レビュー体制を持つ企業であれば、検証を始めやすくなります。

逆に、コードレビュー件数が少なく、外部APIを契約上利用でき、GPU運用の担当者がいない組織では、4基構成の設備を持つ合理性は小さくなります。モデルをローカルに置くこと自体は、誤検知、見逃し、プロンプトインジェクション、危険なツール実行を解決しません。

• 向く：ソースコードや脆弱性情報を外部APIへ送れない
• 向く：エアギャップや厳格なデータ所在地要件がある
• 向く：H100/H200とvLLMを運用できる
• 向く：社内CVE・脆弱コードで独自評価できる
• 向かない：少量利用でGPUの待機時間が長い
• 向かない：一般チャットや日本語生成の品質を主目的とする
• 向かない：モデルの判断だけで自動修正・攻撃実行まで任せたい
• 向かない：ライセンス、輸出管理、セキュリティ審査を未確認のまま本番投入したい

PoCで測るべき8項目

導入検証では、公開ベンチマークの再現より、自社のコード、言語、フレームワーク、脆弱性種別に対する正常発見1件当たりの総費用を測ります。比較対象は、元のGLM-5.3、利用可能な外部API、既存SAST、人手レビューを同じ案件でそろえます。

• 既知脆弱性の再現率と、同一ケースを繰り返した時の安定性
• 誤検知率と、担当者が確認に要する時間
• コード取得から報告までのエンドツーエンド処理時間
• 入力・出力トークン、同時実行数、ピークKVキャッシュ
• GPU稼働率、待機時間、正常解析1件当たりのインフラ費
• 日本語仕様書、業務ルール、コメントを含む場合の理解度
• ツール呼び出しの権限分離、監査ログ、停止条件
• モデル更新、脆弱性対応、切り戻しに必要な運用工数

制約・未検証事項

公開時点の性能根拠は主に開発元の内部評価です。独立した同条件ベンチマーク、長時間の本番スループット、電力を含む1件当たり費用、日本語の業務文書を含む精度、ゼロデイ脆弱性の発見能力は未確認です。Aikidoは顧客の本番ペンテストで重大な脆弱性を見つけたと述べていますが、再現可能な詳細は公開されていません。

ライセンスはHugging Face上で「other」と表示され、GLM-5.3のライセンスを継承すると説明されています。オープンウェイトは、無条件のオープンソースや自由な商用利用と同義ではありません。再配布、派生モデル、提供地域、禁止用途、第三者提供を含め、導入時に最新版の原文を確認してください。

また、328GBは保存される重みのサイズです。実行時にはKVキャッシュ、活性値、ランタイム、同時リクエスト用の余地が必要です。ストレージ容量だけを見て、同容量のGPUメモリがあれば安定稼働できると判断しないでください。

FAQ

Q. Altar-1は新しい基盤モデルですか？　A. いいえ。GLM-5.3の量子化済みチェックポイントを土台に、REAPで専門家を削減した派生モデルです。

Q. 504Bなのに、毎トークン504Bを計算しますか？　A. いいえ。MoEのため、各トークンでは168のうち8専門家が選ばれ、アクティブパラメータは約40Bと説明されています。

Q. 一般的なGPU 1基で動きますか？　A. 公式例はH100またはH200を4基使います。小型ワークステーション向けとはいえません。

Q. API料金はいくらですか？　A. 2026年9月22日時点で公式ホスト型APIと単価は確認できません。セルフホスト費用を計算する必要があります。

Q. 既存のSASTを置き換えられますか？　A. 公開評価だけでは判断できません。決定的なルール検査、依存関係スキャン、秘密情報検出、人手レビューと役割を分けて比較してください。

Q. Altar-1は必ずデータを外部送信しませんか？　A. 重みを自社環境で配信できますが、実際の通信経路は周辺ツール、ログ、更新、監視、外部連携を含めて構成次第です。閉域性はシステム全体で検証します。

Q. 『78.2%削減』は推論費も同じだけ下がる意味ですか？　A. いいえ。これはBF16版に対する保存サイズの削減率です。トークン当たり速度や総運用費の削減率ではありません。

まとめ：新しいのはモデル名より、用途に合わせたMoE圧縮

Altar-1は、セキュリティ業務向けの能力を残すようにGLM-5.3の専門家を選び、量子化と組み合わせて1.51TBから328GBへ縮小したモデルです。外部APIへコードを送れない組織にとって、4基のH200で配信可能な形まで圧縮したことには実務的な意味があります。

一方、公開された60.4%の再現率は限定的な内部評価で、速度、API料金、独立検証、日本語性能、未知脆弱性の発見能力はまだ揃っていません。導入判断では『軽くなったか』だけでなく、正常発見1件当たりのGPU・運用・人手確認費と、データを外へ出さないことで回避できるリスクを同じ表で比較すべきです。

日本ではAltar-1自体の検索需要はまだ小さいものの、ソブリンAI、オンプレミスLLM、AIペンテスト、MoE専門家削減が広がれば検索される可能性があります。今後は、独立評価、配信事業者、実測スループット、ライセンス更新を追う必要があります。