ASL(AI Safety Level)とは — ASL-3で何が変わったか
ASLとは、Anthropicがモデルの能力に応じて安全対策を引き上げる段階分けのこと。ASL-2からASL-3への移行で追加された、2024年10月の設計説明にある4層防御と100超のセキュリティ統制が何を守るのかを解説します。
ASL(AI Safety Level)とは何か
ASLとは、AnthropicのAIモデルに適用する安全対策の段階です。数字が上がるほど、CBRN(化学・生物・放射性物質・核)兵器の悪用防止とモデル重みの保護が厳しくなります。ASL-2は訓練時の拒否と日和見的な窃取への防御、ASL-3は高度な非国家主体を想定した実時間の分類器と厳格なセキュリティ統制です。
AI Safety Level(ASL)は、Anthropicがモデルの能力に応じて安全対策の強度を段階的に引き上げる分類です。Responsible Scaling Policy(RSP、責任あるスケーリングポリシー)が定める枠組みで、モデルが一定の能力の閾値(Capability Threshold)を超えたら、より強いデプロイメント基準とセキュリティ基準を適用する、という条件付きの約束になっています。
Claudeモデルは、2025年5月までASL-2の基準で運用されていました。ASL-2のデプロイ対策は、CBRN(化学・生物・放射性物質・核)関連の危険な依頼をモデルが訓練の段階で拒否するという内容です。セキュリティ対策は、日和見的な攻撃者によるモデル重みの窃取を防ぐレベルに留まります。
2025年5月22日、AnthropicはClaude Opus 4のリリースに合わせてASL-3を発動しました。これは「Opus 4の能力がASL-3を必要とすると確定したから」ではなく、「必要ないと言い切れなくなったから」という予防的で暫定的な判断です。同時に発表された判定は2つあります。Opus 4にASL-4は不要、同時期のSonnet 4にはASL-3が不要、という結論です。ASL-3は、Opusだけが先に引き上げられた形でした。
なぜ確定前にASL-3を発動したのか
直接の伏線は、1つ前のSonnet 3.7です。Sonnet 3.7の公開時には、ASL-3は不要と判断されました。ただし内部の実験では、Sonnet 3.7を使えた参加者のほうが、通常のインターネット検索だけの参加者よりもCBRN兵器の入手に関する課題で「ある程度よい成績」を出しています。全員の計画に致命的な欠陥が残る水準でしたが、ウイルス学の知識を測るVirology Capabilities Testのスコアも上昇を続けていました。
そこでOpus 4では、判定を待たずに対策を先に走らせる道を選んでいます。危険な能力の評価は、モデルが閾値に近づくほど結論が出るまで時間がかかるためです。高い基準を先に入れておけば、リリースの判断が単純になり、運用しながら防御を改良できます。
暫定である以上、外す道も残されています。Opus 4が閾値を超えていないと結論づけられれば、ASL-3の対策は取り外すか調整するとされています。
ASL-2からASL-3で何が変わったか
ASL-3への移行は、デプロイメント対策とセキュリティ対策の両方を同時に底上げします。対象になる脅威モデルは主に2つです。CBRN兵器の開発・取得にモデルが悪用されるリスクと、モデルの重み(weights)そのものが盗まれるリスクです。
デプロイメント側の変更は、CBRN関連のごく狭い領域に絞った防御の強化に限定されています。ごく狭い話題を除き、一般的な質問への回答や開発作業のやり取りが拒否につながらない設計です。単発の知識の質問は防御の主目的から外されています。たとえば「サリンの化学式は何か」のように、広く出回っている情報を1つだけ尋ねる質問です(結果として止まることはあり得ます)。
狙いは、危険物質を扱う作業の最初から最後までを長く連鎖させて引き出す攻撃を止めることです。特に、ガードレールを体系的に突破して有益な情報を連続で引き出すuniversal jailbreakが標的になります。個別の質問ごとに突破する非universalな手口は、ASL-3のデプロイ対策が狙う範囲に入っていません。
| 項目 | ASL-2 | ASL-3 |
|---|---|---|
| CBRN関連の拒否 | ASL-2訓練時点で危険な依頼を拒否 | ASL-3実時間の分類器で入出力を監視・遮断 |
| 対象とする攻撃者 | ASL-2日和見的な攻撃者 | ASL-3高度な非国家主体 |
| モデル重みの保護 | ASL-2日和見的な窃取への防御 | ASL-3100超のセキュリティ統制 + 帯域制御 |
| 新しい突破手法への対応 | ASL-2訓練時の拒否が中心 | ASL-3検知と改良を繰り返す体系的な運用 |
2024年10月の設計説明にある4層防御はどんな構成か
2024年10月にAnthropicが公開した設計の説明では、デプロイメント対策は多層防御(defense-in-depth)の考え方に沿った4つの層で組まれ、各層が前の層をすり抜けた悪用を受け止める役割を持つとされています。2025年5月の発動時の発表では、ジェイルブレイクを難しくする、突破を検知する、見つかった手口に合わせて改良し続ける、の3本で説明されました。
設計説明にあるデプロイ対策の4層
- 1
アクセス制御
Claude.aiやAPIといった一般的な利用経路には標準の安全対策を適用します。安全性テストのような特殊な用途では、相手の信頼性と用途の有益さを審査したうえで、対策を調整します。審査は、調整を認める代わりの補完的な統制として位置づけられています。
- 2
実時間の入出力分類器
ユーザーの入力とモデルの出力の両方を、機械学習モデルが読みながら監視します。出力側はストリーミング方式で、全文の完成を待たずにトークンが出るたびにスコアを更新します。応答の遅延を抑えるための作りです。判定結果は、新しい有害パターンや難読化の手口に合わせて定期的に更新されます。
- 3
非同期の監視分類器
実時間では回せない計算量の大きい分析を、ユーザーの待ち時間に響かせずに行います。監視はフローチャート状に組まれる想定で、実装例として、軽量なClaude 3 Haikuで素早く粗くスクリーニングし、怪しい出力だけを高性能なClaude 3.5 Sonnetで詳しく調べる流れが挙げられています。
- 4
事後のジェイルブレイク検出と迅速対応
新しい突破手法は、非同期の分類器かバグバウンティで見つかります。パッチをすぐに当てられないときは、モデルへのプロンプトを調整して安全制約を補強する手も用意されています。判断が難しい例は人間のレビュアーへ回します。同種の手口を合成データで再現し、分類器を再訓練して穴を塞ぐ流れです。
この仕組みに投入された分類器は、事前のテストでジェイルブレイクの成功率を大きく下げた一方、追加の計算コストは中程度に収まったとされています。ただし分類器は誤検知(正当な質問を誤って遮断すること)を完全には避けられず、継続的な調整が前提の仕組みです。誤検知率の推移と、実運用で採用されたConstitutional Classifiersの具体的な数値はConstitutional Classifiersの解説記事にまとまっています。
対象範囲はなぜ生物兵器に絞られているか
ASL-3のデプロイ対策は、当初は生物兵器関連の情報に対象を絞って設計されています。CBRNのなかでもリスクの大部分を占めると見積もられているためで、化学・放射性物質・核への対象拡大は評価中とされています。対象は生物兵器に絞られていますが、誤検知は引き続き起こり得るとされています。
デュアルユース(軍民両用)の科学技術用途のユーザーは、審査を経て、分類器の一部の動作について例外を受けられます。
「高度な非国家主体」という対象攻撃者の範囲は、RSP v2.2(2025年5月14日施行)で脚注が改められています。それまで除外対象として明記されていたのは「高度に洗練された国家に侵害された内部関係者」だけでした。v2.2では「洗練された内部関係者」と「国家に侵害された内部関係者」の両方が、ASL-3セキュリティ基準の範囲外と書かれています。
モデル重みを守るセキュリティ対策の中身
ASL-3のセキュリティ側は、モデルの重み(パラメータそのもの)が盗まれることを防ぐ対策です。100種類超のセキュリティ統制を組み合わせ、侵入の初期段階から内部での横展開、最終的な持ち出しまでの各段階に、予防と検知の両方を配置しています。重みが盗まれると、デプロイ側の防御を通らずにモデルを使われてしまうため、ここが2本目の柱になります。
多くの統制は、セキュリティ意識の高い組織で確立されたベストプラクティスに沿った内容です。2024年10月に公開された計画の説明から、具体例を拾うと次のとおりです。
- 重みへのアクセス:恒常的な高権限アクセスをなくし、複数人の承認とコードレビューを要求します。権限は一時的で最小限のものだけを付与し、ハードウェア認証デバイスによる認証、理由の記入、従業員の承認がそろって初めて通ります
- 端末:すべてのエンドポイントでバイナリ許可リストを強制し、承認済みのソフトウェアだけを動かします。端末は信頼できるメーカーから直接調達し、供給経路の追跡を確保します
- 検知:主要なログをSIEM/SOAR基盤に集約し、重みや重要資産へのアクセスは手動監視と自動検知を併用します。偽のモデル重みを含むハニーポットを置き、不正アクセスを精度よく見つける欺瞞技術も使います
なかでも特徴的なのが、egress帯域制御(外向き通信の帯域制限)です。モデルの重みはデータサイズが非常に大きいという性質を逆手に取り、外向き通信の速度に制限をかけます。内部システムが侵害されても、検知されるより早く重み全体を持ち出すことを難しくする狙いです。異常な帯域使用を検知した時点で、疑わしい通信を遮断します。
導入時点では「予備的(preliminary)」な制御と位置づけられ、制限を段階的に厳しくして、検知される前の持ち出しが非常に難しくなる水準へ近づける方針でした。実装の副産物もあります。社内システムから外へ出るデータの流れを把握・統制せざるを得なくなり、検知と対応の能力が向上したと述べられています。
想定している攻撃者は「高度な非国家主体」です。国家レベルの攻撃は、新しい攻撃手順を使わない場合を除いて、ASL-3のセキュリティ基準の対象外とされています。洗練された内部関係者による脅威も同じ扱いで、いずれもASL-3セキュリティ基準の範囲外とされています。
RSPはどう改定されてきたか
RSPは2023年9月の初版以降、改定を重ねてきた生きた文書(living document)です。ASL-3の発動は、その途中にあります。
RSPの改定の流れ
- 2023年9月19日v1.0
最初のRSP。ASLという分類の出発点です。
- 2024年10月15日v2.0
ASL-3の安全対策の設計方針が具体化されました。あわせて、評価の間隔が3か月から6か月に延ばされています。直近の評価が3か月の期限に3日遅れたことが発端で、急いだ評価で能力の引き出しが粗くなるのを避ける狙いと説明されています。
- 2025年3月31日v2.1
CBRN開発に関する閾値が追加され、AI研究開発(AI R&D)の閾値は2段階に分割されました。分割後の閾値は、初級レベルのAI研究業務を完全に自動化する能力と、実効的なスケーリングの速度を劇的に加速させる能力です。
- 2025年5月14日v2.2
ASL-3セキュリティ基準の範囲から除外する内部関係者の脚注が改められました。
- 2026年2月24日v3.0
包括的な書き換えです。詳細な安全目標を示すFrontier Safety Roadmapと、全デプロイ済みモデルのリスクを定量化するRisk Reportの発行が盛り込まれました。
- 2026年4月〜7月v3.1〜v3.4
v3.1(4月2日)でAI R&D閾値の定義が明確になり、v3.2(4月29日)で外部審査をLTBTが要請できるようになりました。v3.3(5月26日)は化学・生物兵器の閾値、v3.4(7月8日)は自動化されたR&Dの閾値を見直しています。
閾値の判定がむずかしくなっていることは、改定の外側にも表れています。2026年2月、Claude Opus 4.6はAI R&D-4の閾値を超えていないという判断が示されました。同時に、閾値を超えていないと確信をもって言い切るのが年々難しくなり、主観的な評価に頼る度合いが増えている点も明かされています。
そこで、Opus 4.5を明確に上回るフロンティアモデルについては、判定の結果にかかわらずSabotage Risk Report(妨害リスク報告書)を作成する運用が始まりました。Opus 4.6向けの外部公開版は、その約束に沿って公開されたものです。判定を待たず、判定の難しさを前提にした報告を先に義務づける形で、Opus 4で見せた「確定前に対策を先に整える」考え方の延長にあります。
まとめ
ASLは、能力が閾値に近づいたモデルから順に安全対策を引き上げる仕組みで、Opus 4のASL-3は「必要と確定したから」ではなく「不要と言い切れないから」始まりました。通常の開発作業やコーディングで応答が変わる設計ではなく、慎重になるのはCBRN、とりわけ生物兵器に関わる一部の質問です。
この判断の前提には、閾値判定そのものが難しくなっているという現実があります。Anthropicの安全性研究が製品機能へどう落ちてきたかは、安全性研究の5経路をまとめた記事で追えます。