AI Safety Level(ASL)とは — ASL-3で何が変わったか

AI Safety Level(ASL)とは何か

AI Safety Level(ASL)は、Anthropicがモデルの能力に応じて安全対策の強度を段階的に引き上げる分類です。Responsible Scaling Policy(RSP、責任あるスケーリングポリシー)が定める枠組みで、モデルが一定の能力の閾値(Capability Threshold)を超えたら、より強いデプロイメント基準とセキュリティ基準を適用する、という条件付きの約束になっています。

すべてのClaudeモデルは長らくASL-2の基準で運用されてきました。ASL-2のデプロイ対策は、CBRN(化学・生物・放射性物質・核)関連の危険な依頼をモデルが訓練の段階で拒否するという内容です。セキュリティ対策は、日和見的な攻撃者によるモデル重みの窃取を防ぐレベルに留まります。

2025年5月22日、AnthropicはClaude Opus 4のリリースに合わせてASL-3を発動しました。これは「Opus 4の能力がASL-3を必要とすると確定したから」ではなく、「必要ないと言い切れなくなったから」という予防的な判断です。RSPはこの種の予防的な引き上げを許容しており、確信が持てない場合は安全側に倒して高い基準で運用してよいと定めています。

ASL-2からASL-3で何が変わったか

ASL-3への移行は、デプロイメント対策とセキュリティ対策の両方を同時に底上げします。対象になる脅威モデルは主に2つです。CBRN兵器の開発・取得にモデルが悪用されるリスクと、モデルの重み(weights)そのものが盗まれるリスクです。

デプロイメント側の変更は、CBRN関連のごく狭い領域に絞った防御の強化に限定されています。一般的な質問への回答や、日常的な開発作業でのやり取りに影響は及ばない設計です。Anthropicは「サリンの化学式は何か」のような単発の質問への回答を意図的に防御対象から外しています。狙いはあくまで、危険物質の製造手順全体を長く連鎖させて引き出そうとする攻撃(universal jailbreak)を止めることです。

ASL-3の4層防御はどう組み立てられているか

RSPが定めるASL-3のデプロイメント安全対策は、多層防御(defense-in-depth)の考え方に沿って4つの層で構成されます。

まず土台になるのがアクセス制御です。Claude.aiやAPIといった一般的な利用経路には標準の安全対策を適用する一方、安全性テストのような特殊な用途には、信頼性と用途の正当性を審査したうえで対策を調整する仕組みを用意しています。

その上でリアルタイムに働くのが、実時間の入出力分類器(Constitutional Classifiers)です。ユーザーの入力とモデルの出力の両方を監視し、CBRN関連の有害な情報だけを狭く遮断します。ストリーミング方式で動作するため、通常の応答速度への影響を抑えながら判定できます。

さらに裏側では、非同期の監視分類器が動いています。実時間の分類器よりも計算コストの高い詳細な分析を、ユーザー体験の遅延を発生させずに実行する仕組みで、軽量なモデルでまず粗くスクリーニングし、疑わしい場合だけ高性能なモデルで深く分析する、という段階的な構成が想定されています。

最後の層が、事後的なジェイルブレイク検出です。新しい突破手法が見つかった場合、合成データで類似のジェイルブレイクを再現し、それを学習データとして分類器を再訓練することで迅速に穴を塞ぎます。バグバウンティプログラムと脅威インテリジェンスの連携も、この層の一部です。

事前のテストでは、これらの対策によってジェイルブレイクの成功率を大きく下げつつ、追加される計算コストは中程度に抑えられると報告されています。ただし分類器は誤検知(正当な質問を誤って遮断すること)を完全には避けられず、継続的な調整が前提の仕組みです。この誤検知率の推移と、実運用で採用されたConstitutional Classifiersの具体的な数値はConstitutional Classifiersの解説記事にまとまっています。

対象範囲はなぜ生物兵器に絞られているか

ASL-3のデプロイ対策は、当初は生物兵器関連の情報に対象を絞って設計されています。CBRNのなかでもリスクの大部分を占めると見積もられているためで、化学・放射性物質・核への対象拡大は継続的に評価中とされています。対象を狭く保つことで、正当な医療・研究目的の質問まで巻き込む誤検知を最小限に抑える狙いがあります。

デュアルユース(軍民両用)の科学技術に携わる研究者向けには、審査を経て分類器の一部制限を緩和するアクセス管理の仕組みも用意されています。ワクチン開発や感染症研究のように、扱う情報自体はCBRNと隣接していても正当な用途であるケースに対応するための例外措置です。

なお「高度な非国家主体」という対象攻撃者の定義は、RSP v2.2(2025年5月14日施行)で一段明確になりました。それまでは「高度に洗練された国家に侵害された内部関係者」だけが除外対象でしたが、v2.2ではこれを「洗練された内部関係者」と「国家に侵害された内部関係者」の両方に広げ、ASL-3セキュリティ基準が扱う脅威の輪郭をはっきりさせています。

モデル重みを守るセキュリティ対策の中身

ASL-3のセキュリティ側は、モデルの重み(パラメータそのもの)が盗まれることを防ぐ対策です。Anthropicは100種類超のセキュリティ統制を組み合わせ、侵入の初期段階から内部での横展開、最終的な持ち出しまでの各段階に予防と検知の両方を配置しています。

多くの統制は、二者承認によるモデル重みへのアクセス、変更管理プロトコルの強化、バイナリ許可リストによるエンドポイント制御など、セキュリティ意識の高い組織で確立されたベストプラクティスに沿った内容です。

なかでも特徴的なのが、egress帯域制御(外向き通信の帯域制限)です。モデルの重みはデータサイズが非常に大きいという性質を逆手に取り、外向き通信の速度に制限をかけることで、たとえ内部システムが侵害されても、検知されるより早く重み全体を持ち出すことを困難にする狙いがあります。異常な帯域使用を検知した時点で、疑わしい通信を遮断する仕組みです。

想定している攻撃者は「高度な非国家主体」で、国家レベルの攻撃や、極めて高度な内部関係者による脅威は、ASL-3のセキュリティ基準の対象外とされています。これらはより上位の基準で扱う想定です。ハニーポットとして偽のモデル重みを設置する欺瞞技術や、従業員の端末を信頼できる調達経路から確保する運用まで、技術的な対策と組織的な運用が組み合わされている点も特徴です。

RSPはASL-4に向けてどう動いているか

RSPは公開から改定を重ねてきた、生きた文書(living document)です。2024年10月のv2.0でASL-3の安全対策の設計方針が具体化され、2025年3月のv2.1ではAI研究開発(AI R&D)関連の能力閾値を、初級レベルのAI研究業務を完全に自動化する能力と、実効的なスケーリングの速度を劇的に加速させる能力の2段階に分割しました。2026年2月には包括的な書き換え(v3.0)が行われ、詳細な安全目標を示すFrontier Safety Roadmapと、モデル横断でリスクを定量化するRisk Reportの発行が制度化されました。以降もv3.1からv3.4まで、評価間隔の定義や生物・化学兵器関連の閾値の見直しなど、細部の改定が続いています。

ASL-4への引き上げは、まだ発動されていません。2026年2月には、Claude Opus 4.6がAI R&D-4の能力閾値を超えていないという判断が示されましたが、Anthropicはその判断自体が年々難しくなっていることも認めています。この不確実性への対応として、Opus 4.5以降の水準を明確に上回るフロンティアモデルについては、閾値を超えたかどうかにかかわらずSabotage Risk Report(妨害リスク報告書)を作成する運用が始まりました。判定を待つのではなく、判定の難しさそのものを前提にした運用へ切り替えた形です。

ASL-3は「モデルの能力を予防的に高く見積もって、確定する前に対策を先に整える」という設計思想を体現していました。ASL-4に向けた運用も同じ発想の延長で、閾値判定の確実性が下がるほど、判定を待たずに追加の検証を義務づける方向へ動いています。

まとめ

ASLはモデルの能力に応じて安全対策を段階的に引き上げる分類で、Claudeは2025年5月のOpus 4リリース以降ASL-3で運用されています。変わったのはCBRN関連のごく狭い領域への実時間分類器の導入と、モデル重みを守る100超のセキュリティ統制の追加です。一般的な利用への影響はほとんどなく、RSP自体も改定を重ねながら次の閾値への備えを進めています。開発者にとっての実務的な影響は小さいものの、Claudeが生物・化学兵器関連の一部の質問に対してだけ慎重な応答を返す背景を理解するうえでは押さえておく価値があります。通常の開発作業やコーディング、一般的な調べものでClaudeの応答が変わることは想定されていません。Anthropicの安全性研究がどのように製品機能へ落ちてきているかの全体像は、安全性研究の5経路をまとめた記事で確認できます。