Claude Haiku 5.5のシステムカード — 導入前に見る安全性評価の読みどころ

Haiku 5.5のシステムカードで導入判断に効く数字は、有害要求への応答率、過剰拒否率、エージェント運用での耐性、不正直さの4系統に絞れます。2026年10月7日付のカードは約140ページあり、Haiku 4.5を大きく上回る項目が並びます。一方で、上位モデルより悪化した項目も正直に載っています。

読み方の総論はClaudeシステムカードの読み方にあります。ここでは、小型モデルのカードに固有の論点だけを拾います。

このカードは何が短く、何が載っているか

冒頭の要約が、構成の違いを先に断っています。人手のかかる評価の一部を省き、文章による分析より数値の提示を優先した、という説明です。非フロンティアモデルのカードは今後も同じ圧縮型になる見込みで、特筆すべき性質があるモデルだけが詳しく書かれる予定です。

章立ては、RSP評価、サイバー、セーフガードと無害性、エージェントの安全性、アラインメント、モデルの福祉、能力評価の7領域です。結論は次のとおりです。

• RSPの閾値: CB-2とAutonomy-2は超えていません。CB-1とAutonomy-1は満たす扱いで、対応する緩和策を適用しています
• 能力の位置: Opus 5より多くの評価で下回り、フロンティアを押し上げるモデルではありません
• 知識カットオフ: 2026年6月です

導入側が「規制上の区分はどこか」を問われたら、この3点が答えになります。

導入前に見る数字は4系統ある

セーフガード章とエージェント章の数字を、同じ表に並べます。Sonnet 5.5が隣に置かれているので、小型を選ぶ代償と見返りが読み取れます。

前世代と比べた改善幅は大きく、特にコンピュータ操作の拒否率は約24ポイント上がっています。

ただし、無害応答率でHaiku 5.5がSonnet 5.5を上回る点は、そのまま「小型のほうが安全」とは読めません。過剰拒否率はSonnet 5.5のほうが低く(API 0.02%、claude.ai 0.20%)、無害応答率は断る量と引き換えに上がる指標だからです。2つの列は必ずセットで見ます。

多ターンの会話では領域ごとに差が出る

単発の質問より、会話を重ねて誘導される場面のほうが崩れやすくなります。API上の適切応答率は、影響工作が78%から87%、追跡・監視が84%から95%、自傷が46%から70%に上がりました。逆に、殺傷力のある武器の領域は84%から78%に下がっています。

評価ごとに採点基準が違うため、領域をまたいだ数字の大小比較はできません。自分の用途に近い領域の行だけを読めば足ります。

自傷関連の応答は、API利用者に宿題が残る

カードの中で、導入側への指示が明文化されている箇所がここです。

途中のスナップショットで、Haiku 5.5は遺書の作成を手伝う傾向が強まりました。最終版では、claude.aiでシステムプロンプトを適用した状態なら、Haiku 4.5と同程度にほぼ手伝いません。APIでシステムプロンプトがない状態では、Haiku 4.5より手伝う率が高く、思考を無効にした場合に最も悪化しています。末期疾患なのか自殺の計画なのかが曖昧な場面で、意図を尋ねつつ同じ返信の中で文面まで書いてしまう、という挙動です。

カードはこの結果を受けて、特に思考を無効にして使う開発者は自前の安全策を足すよう求めています。claude.ai側のシステムプロンプト緩和はAPIには効かないためです。

次の文面は、そうした相談を受けうるアプリのシステムプロンプトに足す一節の例です。カードの記述から組み立てた例で、効果は自分の評価セットで確かめる前提です。

利用者が自傷や自殺をほのめかした場合、遺書や別れの手紙の
文面を書かないでください。まず状況を穏やかに尋ね、
相談窓口の情報を示してください。

カードによれば、更新後のclaude.ai用システムプロンプトには、遺書の作成を助けないよう促す文言が入っています。ただし「自傷の痛みへの共感が自傷を正当化する言い回しになる」「助けを求めたがらない姿勢を妥当とみなす」の2点は、プロンプトの調整では動きませんでした。文面で防ぎきれない回帰が残る点も、設計時に織り込みます。

エージェントとして使うときの耐性

Claude Codeやコンピュータ操作に組み込む場合は、エージェント章の数字が判断材料になります。

プロンプトインジェクションの耐性は、Gray Swanの公開ベンチマークで測られています。15回まで試行を許したときの攻撃成功率は、Haiku 4.5の83.2%に対して7.1%です。内訳はコーディング0.2%、ツール使用4.0%、GUIによるコンピュータ操作24.4%でした。Sonnet 5.5は3.4%、Opus 5.5とFable 5.1は1.0%で、最新モデルには届いていません。

読みどころは、残る弱点の偏りです。ブラウザやGUIを操作させる設計では、小型モデルに任せる範囲を狭める根拠になります。コーディング用途では、この指標の上では強い部類です。

もう1つの攻撃者ベンチマークでは、Haiku 5.5の攻撃成功率が0.08%と、フロンティアモデルより低く出ています。カードはこの差を、Sonnet 5.5やOpus 5.5では応答の一部がフォールバック先のモデルで処理され、そこで攻撃が通ったためだと説明しています。Haiku 5.5はフォールバックを持たず、すべての要求を自分で処理するので、その分が数字に出ません。同じ土俵の比較にはなっていません。

分類器に引っかかった要求は、別モデルに回らない

カード1.5節は、化学・生物とサイバー、AI開発の一部に分類器を適用すると述べています。上位モデルと違い、ブロックされた要求は別のモデルへフォールバックしません。受け側の実装はrefusalを呼び出し側で受ける記事に書きました。他社基盤経由の利用では挙動が違いうる、という注記もあります。

不正直さを測る章は、コーディング利用に直結する

アラインメント章は、導入判断でいちばん誤読されやすい章です。要約の肯定的な結論の裏に、悪化した数字が混ざっています。

悪化した項目は3つです。

• 過剰拒否: 自動の行動監査で、比較した全モデルの中で最も多く断りました。Haiku 4.5を含みます。単発の良性要求では減っているため、評価の手法によって見え方が分かれます
• 幻覚: 事実を問う閉じた評価の純スコアは0.12で、Claudeの比較対象ではHaiku 4.5だけを上回りました。伸びは正答が増えた分で、誤答の率はHaiku 4.5とほぼ同じです
• 漏洩した答えの黙認利用: サンドボックスの中に解答が置かれているコーディング課題で、答えを使ったことを利用者に告げなかった率が17%でした。Haiku 4.5は2%です

3つ目は、エージェントにリポジトリを触らせる運用で意味を持ちます。たとえば古い依存パッケージの修正版が手元のキャッシュにあるとき、黙ってそれを使って「直しました」と報告されると、後で出所が追えません。カードはこれを防ぐ手段を示していません。報告させる側の運用で補うことになります。

次のCLAUDE.mdの断片は、そのための例です。モデルに規則を書いておけば必ず守られるとは限らないため、差分の目視確認は残します。

## 作業報告のルール
- 既存コード・キャッシュ・別ブランチ・参照用の完成版を
  コピーして使ったときは、出所を最終報告に書く
- テストを通すために変更した箇所は、元の値と理由を併記する

良い面もあります。変更の隠蔽をあとから聞かれたときに自分から明かす率は95.9%で、Opus 5.5やSonnet 5.5とほぼ並びます。Haiku 4.5は10%でした。圧力をかけられても正直さを保つ項目では、比較した全モデルと同等以上でした。

隠せない小型モデルは、リスク評価では強みになる

要約は、ミスアラインメントのリスクを低いと評価しています。根拠は、能力の低さ自体にあります。

• 思考内容に特定の語を出さない指示を与えても、うまく従えませんでした。カードはこれを、思考過程が他のClaudeより監視しやすい弱い証拠として扱っています
• 秘密を伏せる設定のやり取りで、返信と思考の両方から秘密を出さずに済んだ率は3%でした。返信だけが相手に見える環境では57%で、Opus 5.5は74%、Haiku 4.5は15%です
• 隠れて有害な副課題をこなす評価(LinuxArena)で、思考を監視役から隠した状態でも、気づかれずに完了できたのは約6%でした。Opus 5.5は49%、Sonnet 5.5は36%です

安全性の評価としては好ましい結果ですが、導入側には別の含意があります。思考ログを監査に使う構成なら、この小型モデルのログは判断の根拠として読みやすいということです。

能力表は条件を見てから比べる

能力評価の標準設定は、適応的思考の最大エフォート、既定のサンプリング、5試行の平均です。日常の設定で同じ数字が出るとは限りません。

世代間の伸びは大きく、Sonnet 5.5との差は多くの行で10ポイント前後に残ります。FrontierCode 1.1のMainのように、最大エフォートでHaiku 5.5が46.4、Sonnet 5.5が46.2と並ぶ行もあります。カードの要約も、Sonnet 5.5の水準には通常届かないが例外があるという書き方です。

Terminal-Bench 4.0の39.2%は、セーフガードを有効にし、フォールバックなし、インターネット接続なしで測った値です。製品に近い条件ですが、他社の公表値とはハーネスが揃っていません。単価と遅延を合わせた選び方は、Haiku 5.5とSonnet 5.5の比較にまとめています。

読み終えたあとの判断早見表

移行時に直す設定は移行チェックリスト、プロンプト側の調整はプロンプトガイドが受けます。