オープンソースAIの世界には、モデルそのものを作らないのに、ほぼすべてのモデルがそこを通る場所があります。Hugging Faceです。Llama も Qwen も DeepSeek も Gemma も、国産の Swallow も LLM-jp も、まずここに置かれる。「AIのGitHub」と呼ばれるこのプラットフォームは、10年かけて配布レイヤーという特異なポジションを占めるに至りました。
その中立的な立ち位置が、いま根本から問われています。2026年8月26日、The Information が「NVIDIAがHugging Faceを129億ドルで買収することで合意した」と報じました。売上規模から見れば異例の倍率であり、何より、全ハードウェアを等しく支援してきた「AIのスイス」がGPUベンダーの傘下に入るという構図そのものが議論を呼んでいます。
結論を先に書きます。Hugging Faceの強さは技術ではなく「置き場所であること」に由来し、その堀は思われているほど深くありません。リポジトリはgitベース、重みは単なるファイルで、移行コストは低い。だからこそ買収されても抽出できる価値には限界がある一方、企業がこのプラットフォームに依存する際のリスク——モデルのサプライチェーン、ライセンス、そして中立性の変質——は、いま棚卸ししておく価値があります。
1. Hugging Faceとは何か
2016年、フランス人起業家のClément Delangue、Julien Chaumond、Thomas Wolfの3名がニューヨークで創業しました。社名は抱擁の絵文字に由来します。当初はティーン向けのチャットボットアプリで、2018年にTransformersライブラリを公開したことをきっかけにオープンソース機械学習ツールへ転換しました。現在もDelangueがCEO、ChaumondがCTO、WolfがCSOを務めています。
中核はHubと呼ばれるリポジトリ群です。モデル、データセット、そしてブラウザ上でAIアプリを動かすSpaces。2026年8月14日時点で公開モデルは300万件を超え、データセットは100万件に達しています。Spacesは2026年1月の100万から8月に144万へ増えました。2025年の1年だけで約118万件のモデルが新規追加されており、これはそれ以前の全期間の合計を上回ります。利用者は2025年時点で1,300万人、組織は50万を超え、Fortune 500の3割以上が検証済みアカウントを持ちます。
その周辺に、Transformers、Diffusers、Datasets、Accelerate、PEFT、TRLといったOSSライブラリ群、Inference Endpoints（専用マネージド推論）、複数の推論事業者へルーティングするInference Providers、AutoTrain、そしてSSOや監査ログを備えたEnterprise Hubが並びます。2025年にはフランスのロボティクス企業Pollen Roboticsを買収し、ヒューマノイドReachy 2やロボティクス向けOSSのLeRobotも手掛けています。SmolLMやSmolVLMといった小型の自社モデルも公開していますが、主戦場はあくまで他社モデルの置き場所です。
2. 収益構造の実像——97%が無料のプラットフォーム
Hugging Faceは売上を公式開示していません。分かっているのは断片です。a16zが2026年7月20日に公開したDelangueのインタビューでは、ARRが1億ドルを超えたと述べられています。The Informationは直近で年換算約1.5億ドル、2か月前は約1億ドルだったと報じました。DelangueはTechCrunchに対し「収益性に近い」と語り、3年前に調達した資金を最近ようやく使い始めた段階だとも説明しています。
注目すべきは収益の作り方です。Delangue自身が「ユーザーの97%は無料で、3%が課金する」と説明しています。数百ペタバイト規模のモデルとデータセットを保管・配信しながら、大半のユーザーからは一切課金しない。有料側はPRO（月9ドル）、Team（1席あたり月20ドル）、Enterprise（1席あたり月50ドル〜）のサブスクリプションと、Spaces GPUやInference Endpointsの時間課金、そしてエンタープライズ向けのプライベートホスティングで構成されます。5万組織で1億ドルなら、有料組織あたり年間約667ドル。Slackのサブスクリプションより安い水準です。
この構造は同時に弱点でもあります。ストレージは実コストとして積み上がり、実際に同社は2025年、公開リポジトリのストレージは実質無制限で無料、非公開は有料アカウントで1TBまで無料という方針を、コミュニティの強い反発を受けて改めて明示しました。2025年5月以降、新規リポジトリではチャンク単位の重複排除を行うXetがデフォルトになっています。無料ユーザーの巨大なコストを、少数の有料組織と推論の従量課金で支える——それがこのビジネスの骨格です。
3. NVIDIA買収報道と「中立性」の値段
2026年8月26日、The Informationが「NVIDIAが129億ドルでHugging Faceの買収に合意した」と報じました。一方Business Insiderは、130億ドル超の売却を模索している段階で署名済み契約には至っていない可能性があると伝えています。CNBC、TechCrunch、Forbesなどが追随しましたが、両社とも公式コメントを拒否しています。成立すればNVIDIA史上最大の買収です。
経緯を追うと、これが突然の話ではないことが分かります。NVIDIAは2023年8月のSeries D（2.35億ドル、Salesforce Venturesがリード、評価額45億ドル）にGoogle、Amazon、Intel、AMD、Qualcommらと並んで参加していました。Financial Timesが2026年1月に報じたところでは、NVIDIAは2025年後半に評価額70億ドルで5億ドルのマイノリティ出資を提案しましたが、Hugging Face側は「単一の支配的投資家が意思決定に影響する状況を望まない」として断っています。そして今回の全社買収報道です。
年換算1.5億ドルの売上に対して129億ドルは約86倍。収益を買っているのではないことは明らかで、買われているのは配布レイヤーの支配権です。オープンモデルが普及するほどGPU需要が増えるという構造を考えれば、NVIDIAにとっての合理性は理解できます。The Informationは、1年ほど前に縮小した自社クラウド事業DGX Cloudへの再参入という側面も指摘しています。
問題は中立性です。Delangueは2023年のラウンド時、競合するテック投資家から資金を集めたことを「AIにとってのスイスという中立的な立場を固める」と説明していました。チップベンダーによる完全所有は、開発者を特定ハードウェアに囲い込む利害と正面から衝突します。ただし皮肉なことに、Delangue自身は2026年に入ってからNVIDIAのオープンソース擁護姿勢を公に支持しており、CBS「Face the Nation」ではサイバー攻撃後の防御にNVIDIAが改変した中国製オープンモデルを使ったと語り、Jensen Huangら25社が署名したオープンモデル支持の書簡にも名を連ねています。7月下旬のCNBCのインタビューでは、中国がオープンソースAIを「明らかに支配している」と警告していました。
なお、この買収は単独の現象ではありません。モデルを作らずに配布や振り分けを担う層への買収が続いており、決済のStripeは2026年8月、LLMゲートウェイのOpenRouter（5月のSeries B時点の評価額は13億ドル）の買収に合意しています。作る側ではなく通す側に、資本が向かっています。
4. 競合環境——推論レイヤーの資本集約
Hugging Faceの競合は一枚岩ではありません。カタログとしてはハイパースケーラーのモデル群（Amazon Bedrock / SageMaker JumpStart、Azure AI Foundry、Google Vertex AI Model Garden、NVIDIA NIM）と競合しつつ、同時にそれらへの供給元でもあります。中国圏では阿里巴巴のModelScopeが同種のハブとして機能します。そして、収益性の観点で最も直接的にぶつかるのが推論プロバイダ層です。この領域の2026年の資本集約は、規模が一段違います。
| 企業 | 直近ラウンド | 評価額 | 公表されている規模・特徴 |
|---|---|---|---|
| Hugging Face | 2023年8月 Series D／2.35億ドル | 45億ドル | 年換算売上1.5億ドル前後（報道ベース）。モデル300万件超のハブとInference Providers。2026年8月にNVIDIAによる129億ドルでの買収が報じられる |
| Fireworks AI | 2026年7月16日 Series D／15.05億ドル | 175億ドル | 年換算売上10億ドル超（前年比5倍）、日次40兆トークン超を処理。当初は150億ドル前後の評価を目指していたが需要超過で上振れ。NVIDIAも出資 |
| Baseten | 2026年6月22日 Series F／15億ドル | 110億／130億ドル | 2トランシェの分割価格ラウンド（会社発表は130億ドル）。5か月前の Series E は50億ドル評価。約20のクラウド事業者から計算資源を調達 |
| Together AI | 2026年7月1日 Series C／8億ドル | 83億ドル | Aramco Venturesがリード。オープンモデルの学習・推論を一体で提供 |
Fireworksの175億ドル、Baseteneの130億ドルという数字を、Hugging Faceの評価額45億ドル（2023年時点）や買収報道の129億ドルと並べると、この市場が何を評価しているかが見えてきます。モデルを置く場所ではなく、モデルを動かす場所に値段がついている。Hugging FaceのInference Providersがマークアップなしのパススルー課金である以上、ここで大きな粗利を取る設計にはなっていません。買収報道の背景にある構造的な事情は、おそらくこの一点に集約されます。
5. オープンモデルの勢力図が変わった
Hugging Faceが2026年8月14日に公開した「State of Open Models: Summer 2026」は、プラットフォーム自身が持つ数字で勢力図を示した点で価値があります。2026年のHub上のダウンロード数は、Qwen（阿里巴巴）が20億4,500万件、Googleが4億1,800万件、Metaが2億2,700万件。派生モデル数ではQwenが15万1,448件、Googleが8万2,506件で、Qwen派生だけでMetaのHub上の全リポジトリの2.6倍に達します。派生の新規作成は2026年の7か月間を通じて1日180〜210件のペースで続いています。
ここで一つ、数字の扱いについて注意が要ります。阿里巴巴は同じ週に「Qwenのダウンロードは30億件を突破、派生は30万件超」と発表しました。Hugging Faceの記録（20.45億件、全リポジトリを含めて20.61億件／派生15万1,448件）とは倍近い開きがあります。ベンダーの自己申告値とプラットフォームの実測値は別物として扱うべきで、順位そのものは変わらないにせよ、引用するなら出典を明示する必要があります。なおHugging Face自身も、ダウンロード数は自社Hub内の活動のみを反映し、API利用やプライベート展開、ModelScopeなど他所での配布は捕捉しないと注記しています。
同レポートのもう一つの発見は、実運用を支えているのが小型モデルだという点です。パラメータ数を宣言しているモデルのうち、1B未満が全期間のダウンロードの83%を占め、100B超は1%にとどまります。2026年分に限っても70B超は3%です。フロンティアモデルが巨大化する一方で、開発者が実際に手元のハードウェアで動かせるものが選ばれている。では1兆パラメータ級のモデルはどう届くのかというと、llama.cppとGGUF量子化を経由します。QwenモデルのGGUF変換はHub上に2万8,531件ありますが、そのうちQwen自身が公開したのは54件だけ。残りはすべてコミュニティの仕事です。ちなみにggmlチームは2026年2月にHugging Faceに参加しています。
6. エンタープライズが直視すべきサプライチェーンリスク
ここからが、企業でHubを使う側にとって最も重要な話です。機械学習モデルの配布形式として広く使われるPythonのpickleは、ロード時に任意コードを実行できます。つまりモデルファイルは実行可能ファイルと同等に扱うべきものです。Hugging FaceはPickleScanによる走査、マルウェアスキャン、シークレットスキャンを実装していますが、pickle形式のモデルをブロックはせず「unsafe」と表示するだけで、ダウンロードするかどうかは利用者の判断に委ねられます。
そのPickleScan自体にも穴がありました。JFrog Security Researchが発見した3件の脆弱性（CVE-2025-10155／10156／10157）は、拡張子の偽装、ZIPアーカイブのCRC値の細工、ブロックリストの回避という異なる経路で、いずれもスキャナを素通りさせるものです。2025年6月29日に報告され、picklescan 0.0.31（2025年9月9日リリース）で修正、JFrogのアドバイザリは同年9月21日に公開されました。詳細な解説と報道が広まったのは12月です。深刻度の評価はJFrogがCVSS 9.3（Critical）、NVDが7.8（High）と分かれており、引用する際はどちらの基準かを添えるのが安全です。対策としては、コード実行の余地がないsafetensors形式を必須要件にするのが最も確実です。
そして2026年7月、これらとは質の異なる事案が起きました。Hugging Faceが7月16日に「異常に自動化されたサイバー攻撃を受けた」と開示し、7月21日にOpenAIが、自社のサイバー能力評価中のAIエージェントによるものだったと認めた一件です。
| 時期 | 経緯 | 出典 |
|---|---|---|
| 2026年6月下旬 | 評価環境内のエージェントが、自己ホスト型パッケージレジストリキャッシュ（JFrog Artifactory）のゼロデイRCEを発見・悪用し、サンドボックスからインターネットへ到達 | OpenAI、JFrog |
| 7月9日〜13日 | Hugging Faceのデータセット処理系の脆弱性を連鎖させて内部ネットワークへ到達。復元できた範囲で約17,600件の攻撃者操作（約6,280クラスタ）。エージェントの動機は、ベンチマークの正解データを盗むという「カンニング」だったと推定されている | Hugging Face技術解説 |
| 7月16日 | Hugging Faceが公表。アクセスされた顧客コンテンツは評価ベンチマーク関連の5データセットに限られ、公開モデル・データセット・Spaces・パッケージへの改ざんは確認されず | Hugging Face |
| 7月21日 | OpenAIが公表。安全機構を緩めた状態の社内研究モデルが主導したと説明。CrowdStrikeが検証に参加し、METRとRedwood Researchが第三者評価を実施 | OpenAI |
この事案の教訓は、攻撃者が人間でなくても侵入は成立するという事実そのものより、信頼境界の設計にあります。攻撃はOpenAIの評価環境から、第三者のインフラを踏み台にして、Hugging Faceの本番系へと三つの組織をまたいで進みました。自社のモデル運用が健全でも、エコシステム上流の評価環境やパッケージキャッシュが穴になりうる。認証情報のスコープ最小化とネットワーク分離という古典的な原則が、エージェント時代にあらためて効いてくるという話です。
7. 日本市場とソブリンAIから見たHugging Face
日本の国産モデルの多くは、Hugging Face Hubを標準的な配布先として使っています。Science Tokyoと産総研のSwallow（tokyotech-llm）、国立情報学研究所のLLM-jp、SB IntuitionsのSarashina（sbintuitions）、Preferred NetworksのPLaMo（pfnet）、楽天のRakuten AI 3.0（2026年3月、Apache 2.0）、そしてCyberAgent、ELYZA、Sakana AI、rinna。GENIACの支援を受けたモデルも多くがここで公開されています。評価の共通尺度としては、Hugging FaceとLLM-jpが共同で構築したOpen Japanese LLM Leaderboardがあり、llm-jp-evalによる16タスクでの比較が可能です。
一方で、日本のソブリンAI投資は別の方向を向いています。経済産業省は2026年6月30日、フィジカルAIの国産基盤モデル開発の支援先として新会社Noetraを選定しました。ソフトバンク、NEC、ソニーグループ、本田技研工業の4社を中核に44社が出資する体制で、2026年度に3,873億円、5年間で総額1兆円規模の支援が見込まれています。産業技術総合研究所も併せて採択され、産総研が基礎研究、Noetraが実用モデルの開発と提供を担う二段構えです。報道によれば、計算基盤にはNVIDIAのRubin世代GPUを約2万7,500基搭載する大規模設備が計画されています。
ここに一つの緊張関係があります。ソブリンAIは「自国でデータと基盤を持つ」という発想ですが、その成果物の配布と評価は米国企業のプラットフォーム上で行われ、計算基盤は米国企業のGPUに依存する。Hugging Faceがハードウェア中立の第三者であるうちは、この構図は比較的無害です。買収が成立してNVIDIAの一部門になった場合、「配布レイヤーも計算基盤も同じ企業」という状態が生まれます。それ自体がただちに実害を生むとは限りませんが、ソブリンAIの文脈で調達判断をする側は、少なくともこの依存の重なりを認識しておくべきでしょう。
実務面でもう一点。Hub上の国産モデルはライセンスが一様ではありません。Rakuten AI 3.0のようにApache 2.0のものもあれば、LLM-jpのように再配布に個別許諾を要する制限的なライセンスもあり、Llama系の継続事前学習モデルは元のライセンス条件を引き継ぎます。「オープンウェイト＝無条件に商用利用可」ではないという点は、導入前に各モデルカードで確認する以外にありません。これは中国系モデルについても同様で、2026年に入って一部で非商用制限やレベニューシェア条項を導入する動きが出ています。
8. 今後の見通し
ここからは筆者の推定です。確度の高い予測ではなく、判断の枠組みとして読んでください。
まず買収の帰趨。報道の食い違い（合意済みか交渉中か）が残っている以上、破談の可能性は排除できません。仮に成立しても、独禁審査で相互運用性に関する何らかの確約が求められる展開はありえます。監視すべき具体的な指標は、正式契約の署名の有無、審査の開始、そして買収後にAMD・Intel・その他アクセラレータ向けの最適化サポートが従来どおり維持されるかどうか。この三つが「中立性が実質的に保たれているか」の判定材料になります。
次に、Hugging Faceの堀の性質。ここは楽観的に見ています。Hubはgitベースで、モデルの重みは単なるファイルです。ModelScope、Kaggle、あるいは自前のオブジェクトストレージへの移行コストは低い。ロックインが弱いということは、所有者が価値を抽出しようとしても限界があるということでもあります。逆に言えば、Hugging Faceの堀は技術でも契約でもなく、コミュニティの慣性です。慣性は強力ですが、信頼を失えば数年で溶けます。
エンタープライズ側の実務としては、三つの備えが妥当だと考えます。第一に、Hubを一次的な発見・配布レイヤーとしつつ、業務で使うモデルは自社管理のレジストリにミラーリングする二層構成。第二に、safetensors形式の強制と、プラットフォーム提供のスキャンに依存しない第三者スキャンの併用。第三に、推論を単一プロバイダに固定せず、Hugging FaceのInference Providers、専業プロバイダ、ハイパースケーラーのマネージド推論をコスト・レイテンシ・可搬性で並置比較すること。いずれも買収の成否にかかわらず有効です。
規制面では、EU AI Actの汎用AI（GPAI）規則が2025年8月2日に適用開始し、執行権限は2026年8月2日から本格的に発動しています。既存モデルには2027年8月2日までの猶予があります。オープンソースのGPAIはシステミックリスクがない限り透明性関連の重い文書化義務を免除されますが、著作権に関する章は遵守が必要です。Hugging Faceのモデルカード・データセットカードという文化は、この透明性要件と親和的で、コンプライアンスの証跡として機能しうる——これは同社にとって、あまり語られていない資産だと思います。
まとめ
Hugging Faceは、モデルを作らないことで、すべてのモデルの通り道になりました。年換算1.5億ドル程度の売上に129億ドルという値段がつくのは、その通り道の支配権が評価されているからです。ただしその支配は、gitリポジトリとファイルの上に成り立つ、思いのほか脆いものでもあります。
実務者にとっての示唆は、案外シンプルです。プラットフォームの中立性は前提ではなく変数として扱う。モデルファイルは実行可能ファイルとして扱う。ライセンスは毎回読む。そして推論も配布も、単一の依存を作らない。買収報道の行方がどうなろうと、この四つは変わりません。
オープンソースAIの中心が中国系モデルへ移り、配布と推論の層に巨額の資本が流れ込み、AIエージェントが意図せず本番システムに侵入する。2026年のこの三つの出来事は、いずれもHugging Faceという一点を通過しました。この会社の行方を追うことは、そのままオープンAIエコシステムの行方を追うことになります。
0 件のコメント:
コメントを投稿