Anthropicの安全性研究はClaude製品のどこに入っているか — 論文から出荷までの5経路

Anthropicの安全性研究は、論文の中では完結していません。jailbreak防御の研究は実運用の入出力分類器になり、封じ込めのエンジニアリングはClaude Codeの/sandboxコマンドになり、憲法(constitution)の研究はClaudeの応答の性格そのものを形づくっています。「研究→製品機能」の対応関係を5つの経路で追うと、普段使っているClaudeのどの部品が研究の産物なのかが見えてきます。

研究と製品の対応表 — 5つの経路

順に、それぞれの経路で何が研究から製品へ渡ったのかを見ます。

Constitutional AIはClaudeの応答そのものに入っている

最も深い層にあるのがConstitutional AIです。人間のフィードバックで暗黙に価値観を教え込む代わりに、明文化された原則のリスト(憲法)を使ってモデルを訓練する手法で、訓練は2段階で憲法を参照します。第1段階でモデルが自分の応答を原則に照らして批判・修正し、第2段階では人間ではなくAIのフィードバックで強化学習を回します。国連の世界人権宣言やAppleの利用規約、DeepMindのSparrow原則などから引かれた原則群が、どの質問に応じてどこで線を引くかを決めています。

これは「安全機能」として画面に見える類のものではありません。Claudeがどの依頼を断り、どういうトーンで断るか、その振る舞い自体が実装先です。憲法は改訂され続けており、2026年1月には新しい版が公開されました。研究の言葉で言えば、Claudeの人格は設定ファイルのように明示され、検査でき、書き換えられる状態に置かれています。

Constitutional Classifiersは論文から数カ月で実運用に載った

2025年2月に公開されたConstitutional Classifiersは、憲法の考え方をjailbreak防御に応用した研究です。許可・不許可のコンテンツ分類を原則として書き、そこから合成データを大量生成して、入力と出力の両方を監視する分類器を訓練します。プロトタイプには183人のレッドチーム参加者が延べ3,000時間超の攻撃を仕掛けましたが、全質問を突破するユニバーサルjailbreakは見つかりませんでした。自動評価では、防御なしで86%通っていたjailbreak成功率が4.4%まで下がっています。

この研究は同じ年の5月、Claude Opus 4のリリースと同時に実運用へ入りました。RSPのAI Safety Level 3(ASL-3)を発動する際の中核措置として、CBRN(化学・生物・放射性物質・核)関連の狭い領域を実時間で監視する分類器に採用されたのです。手法の詳細と数値はConstitutional Classifiersの解説記事が詳しく扱っています。

出荷後も調整は続いています。2026年8月には生物学関連の分類器が更新され、検査結果の解釈のような正当な質問を誤って遮断するケースが検証で約85%減りました。経緯はFable 5のバイオセーフガード更新の記事にまとまっています。研究段階で課題とされた誤検知率の高さが、出荷後のチューニング対象として引き継がれている形です。

RSPは「いつ守りを強めるか」をリリース判断に接続する

Responsible Scaling Policy(RSP)は論文ではなく方針文書ですが、研究と製品をつなぐ配管として働いています。モデルの能力が定めた閾値に達したら(あるいは達していないと言い切れなくなったら)、より強い保護基準へ引き上げる、という条件付きの約束です。Claude Opus 4では「ASL-3が必要と確定したから」ではなく、「不要と言い切れなくなったから」という予防的な理由で発動されました。

ASL-3は2本柱です。デプロイ側は前述の分類器によるCBRN対策で、ごく狭い話題以外では拒否を増やさない設計とされています。セキュリティ側はモデル重みの盗難対策で、100超の統制を組み合わせます。特徴的なのは外向き帯域の制御で、モデル重みのデータサイズが大きいことを逆手に取り、異常な帯域使用を検知して流出を止める仕組みです。利用者から直接は見えませんが、「使っているモデルの重みが盗まれて無防備な複製が出回る」リスクを抑える層として製品の裏に入っています。

サンドボックス研究はClaude Codeの/sandboxになった

エージェントが任意のコマンドを実行する時代の安全対策は、モデルの応答ではなく実行環境の設計に移ります。Anthropicのエンジニアリングチームは、ファイルシステム分離とネットワーク分離の両方を備えたサンドボックスランタイムを開発し、Claude CodeのBashツールに組み込みました。macOSのSeatbelt、LinuxのbubblewrapといったOSレベルの仕組みで境界を強制し、ネットワークはプロキシ経由の許可制にします。社内利用の計測では、安全性を保ったまま権限プロンプトが84%減ったと報告されています。

片方だけでは守れない、という設計判断が要点です。ネットワーク分離が無ければ侵害されたエージェントがSSH鍵を外へ送れてしまい、ファイル分離が無ければサンドボックス自体を書き換えて逃げられます。この仕組みは/sandboxコマンドとして製品に露出しており、オープンソースとしても公開されました。クラウド側でも同じ思想が使われ、Claude Code on the webではgit認証情報をサンドボックスの外に置き、専用プロキシが検証してからGitHubへ中継します。VMやコンテナを含む隔離設計の全体像は「Claudeを封じ込める」3パターンの解説で確認できます。

分類器という道具は「悪用防止」から「権限判定」へ転用された

5つ目の経路は、技術の転用です。jailbreak防御で鍛えられた「小さなモデルで危険を分類する」という道具立ては、Claude Codeのauto modeで別の仕事に就きました。auto modeでは、ユーザーの代わりに分類器がツール呼び出しを審査し、不可逆・破壊的・環境の外向きと判定した操作だけを止めます。Pro・Max・Teamプランでは対話セッションの既定の権限モードになっており、承認疲れというUX問題の解決装置として働いています。

向きが逆になった点が面白いところです。ASL-3の分類器は外の攻撃者からモデルを守りますが、auto modeの分類器はエージェントの行動からユーザーの環境を守ります。組織が信頼するリポジトリやドメインを自然文で書いて渡すautoMode.environmentのような設定面も含め、何がどう判定されるかはauto mode分類器が何を止めているかの解説で掘り下げています。

研究が製品に降りるときの共通パターン

5つの経路を並べると、繰り返し現れる型が見えます。①原則を明文化する(憲法・RSP・autoModeのルールはどれも自然文の規範)②攻撃側の検証を先に回す(バグバウンティとレッドチームで壊してから出す)③出荷後は誤検知率との戦いになる、という3段です。Constitutional Classifiersの研究チームが最初のプロトタイプで直面したのは「安全だが拒否が多すぎて実用に耐えない」という問題でした。安全機構の成否は、遮断率ではなく出荷後の誤検知率で測られます。ここは断言してよい教訓です。

この型を知っていると、安全系のリリースノートの読み方が変わります。「分類器を更新し誤検知を削減」という一行は、研究から製品への配管が今も動いている印だからです。

よくある質問

安全分類器で計算コストはどれくらい増えますか

研究段階の計測では、分類器を重ねたシステムの計算コストは防御なしのモデル比で23.7%増でした。ASL-3の実装でも「中程度の計算オーバーヘッド」と説明されています。研究チームは拒否率とあわせて、このオーバーヘッドの削減を継続課題に挙げています。

普通の質問まで拒否されるようになりませんか

ASL-3の分類器が対象にするのはCBRN関連のごく狭い領域で、研究段階の計測では無害な質問への拒否率の増加は0.38%にとどまり、統計的に有意ではありませんでした。それでも生物学や医療の正当な質問が巻き込まれる誤検知は残っており、2026年8月の更新で生物学関連の誤遮断が検証ベースで約85%削減されています。

ユーザーや組織の側で調整できる安全機構はどれですか

Claude Codeのサンドボックスは許可するパスとドメインを設定でき、auto modeは信頼するインフラ(autoMode.environment)や独自の禁止ルールを追加できます。一方、モデル本体の訓練(憲法)とASL-3の分類器は利用者側から変更できません。デュアルユースの正当な研究用途には、審査を経て分類器の一部制限を緩和するアクセス制御の仕組みが用意されています。

auto modeの分類器とASL-3の分類器は同じものですか

役割が別物です。ASL-3の分類器はモデルへの入力と出力の内容を監視して悪用を遮断します。auto modeの分類器はエージェントのツール実行を審査して、危険な操作だけを止めます。「本体とは別の小さな判定役を置く」という設計思想が共通しているだけで、守る対象も見ている情報も異なります。

まとめ — 安全研究は出荷物として読む

Anthropicの安全性研究は、訓練(憲法)・入出力ガード(分類器)・リリース判断(RSP)・実行環境(サンドボックス)・権限判定(auto mode)という5つの経路でClaude製品に実装されています。論文と製品ドキュメントを対で読むと、研究の数値がそのまま機能の仕様になっていることが分かります。安全性の研究発表を「理念の話」として読み流すか、「数カ月後に手元へ届く機能の予告」として読むかで、得られる情報量は大きく変わります。