Enterprise Frontier Safeguardsを発表 — ZDRのまま悪用検知、今秋後半から段階提供

要点

Anthropicが9月1日、Enterprise Frontier Safeguards(EFS)を発表しました。ゼロデータ保持(ZDR)の秘匿性と、悪用を見つけるための監視を同時に成り立たせる仕組みです。

• 監視用データの置き場所を顧客側へ移せる:活動データはAmazon S3・Azure Blob Storage・Google Cloud Storageといった顧客自身のクラウドアカウントに保管でき、暗号鍵もアクセスポリシーも監査ログも顧客の管理下に残ります
• Anthropicの従業員による目視確認は不要:自動システムが一定期間分の通信をまとめて解析し、検知した兆候はそのまま顧客へ送られます。中身を見て本物かどうかを判断するのは顧客自身のチームです
• 対応する提供形態は7つ:Claude Code、Claude Enterprise、Claude Platform、Amazon Bedrock、Claude Platform on AWS、Google Cloud's Agent Platform、Microsoft Foundry
• 提供は今秋後半から段階的:広く使えるようになるまでの経過措置として、対象となる顧客はFable 5とFable 5.1をZDRのまま利用できます
• Anthropic側の課金は発生しない:保管料などは各クラウド事業者から請求されます

金融サービス・医療・製造・通信・法律・小売・公共部門にまたがる100社を超える顧客と、AWS・Google Cloud・Microsoft Azureの3社を交えて設計されました。6月から続いていた「Covered Modelsは30日保持が必須なので、ZDR組織では使えない」という行き止まりを解消する答えです。保持そのものをなくすのではなく、保持先を移すことで解いています。

ZDR契約の組織で何が変わるか

いちばん直接的な変化はこれです。Fableクラスを使うために、自社のデータ方針を曲げる必要がなくなります。保持の要件を満たさない組織がClaude APIからCovered Modelsを呼ぶと、400 invalid_request_errorで拒否されます。APIドキュメントが載せている実例はFable 5宛てで、メッセージは次のとおりです。

{
  "type": "error",
  "error": {
    "type": "invalid_request_error",
    "message": "In order to access this model, your organization or workspace must have data retention enabled."
  }
}

Claude Codeでは、使えない組織だと対象モデルが/modelピッカーに現れないか無効表示になり、クライアント側の設定によらずサーバーが拒否します。FableはZDR組織の既定モデルにならず、最新のFableに解決されるbestエイリアスも、Fableが使えない組織ではOpusに解決されます。EFSでは、監視に必要なデータが顧客の環境に置かれるため、「Anthropicにデータを渡さない」という前提を保ったまま対象モデルを呼べるようになります。

ただし影響の大きさは、いま何を使っているかで変わります。

どの経路でZDRが効いているかの切り分けはZDRが有効になる契約形態にまとめてあります。法人プランの機能差はClaude Enterpriseとは、個人プラン(Free / Pro / Max)が対象外になる理由を含む各プランの中身はClaude料金プランの比較が詳しいです。

Claude CodeのZDRは2経路あり、公式ページの記述は原則と例外で読み分ける

Claude Codeは、ZDRの入り口が2つに分かれています。どちらの経路かで、Fableを使うために触る設定の単位が変わります。

公式の3つのページを並べると、一見食い違う記述が見つかります。どれも原則と例外、あるいは書き方の粒度の差として読めます。

Covered Modelsの記事は、保持が30日の既定で、ZDRはワークスペースにもClaude Enterprise組織にもサードパーティのプラットフォームにも用意されないと書きます。Claude CodeのZDR文書は、ZDR組織でFableを使えるかどうかをClaude Codeではなく、Covered Modelsの方針が決めると書きます。Covered Modelsの記事の末尾にある「Zero data retention and Enterprise Frontier Safeguards」の節が、その例外です。通知を受けた組織と、フォームで検討を依頼した組織は、自社の内部業務アプリケーション向けにZDRのまま使えます。

提供面の数え方も揃っていません。Covered Modelsの記事がFable 5.1の提供先に挙げるのは、Claudeアプリ、Claude Platform、Amazon Bedrock、Google Cloud Agent Platform、Microsoft Foundryの5つです。EFSの発表は、Claudeアプリの代わりにClaude Enterpriseを挙げ、Claude CodeとClaude Platform on AWSを加えた7つです。保持の要件は、Covered Modelsが提供されるすべての面に及ぶとされており、APIドキュメントはClaude Platform on AWSを直接APIと同じ保持方針で扱います。

Claude CodeのZDR組織では、クラウドセッション、Claude Tag、Artifacts、/feedback・/bug・/share、Remote Controlがバックエンドで無効になっています。プロンプトや応答、公開ページの内容をAnthropic側に保存する必要がある機能だからで、ZDRを保つ側の条件として押さえておく点です。

30日保持はなぜ導入され、EFSで何が置き換わるのか

30日保持は、Mythosクラスのモデルを世に出すための安全策として2026年6月9日に発効しました。対象はCovered Modelsに指定されたモデルで、プロンプトと出力が提供面を問わず最低30日間保持されます。企業データを学習に使うためではなく、悪用の兆候を見つけるための保持です。

なぜ「その場で解析して即座に捨てる」では足りないのか。攻撃が単発のリクエストに収まらないからです。Best-of-Nジェイルブレイクは、わずかに言い換えた数百通りのプロンプトを送って1つでも通ることを狙います。国家が関与する諜報活動やデータを盾にした恐喝も、多数のリクエストを俯瞰して初めて像を結びます。時間とアカウントをまたいで相関を取るには、一定期間データが残っている必要があります。Anthropicは、企業データを明示的な許可なく学習に使ったことはなく、今後も使わないと明言しています。

盗まれた資格情報の悪用も同じ構造を持ちます。正規のアカウントから正規の手順で来るリクエストは、1本ずつ見ている限り異常に見えません。

もう一方の懸念は、人が悪用する側ではなくモデル自身の側にあります。Mythosクラスは知性とエージェント能力が大きく伸びた分、悪用の余地と自律的な逸脱の余地も同時に広がりました。この数か月で観測された悪用の試みは、詐欺のような典型的なものから高度なサイバー攻撃まで幅があり、後者にはエージェントが自律的に破壊的な振る舞いに及ぶものも含まれます。

Fable 5.1とMythos 5.1は同じ基盤モデルを共有し、サイバーと生物領域の安全装置の有無で分かれています。この関係と料金・仕様の詳細はClaude Fable 5.1の仕様で扱っています。

顧客が選べる3つのオプトインと、モデル挙動への影響

EFSの構成要素は3つで、いずれもオプトインです。組織の要件に応じて必要なものだけを有効にできます。

どれを有効にしても、モデルの挙動・API料金・レート制限は変わりません。

EFS自体にAnthropicからの請求はありません。自社のクラウドにデータを置くと、保管料・読み取り・書き込み・データ転送(egress)が各クラウド事業者から他のリソースと同じ扱いで請求されます。

検知の対象として挙げられているのは、攻撃的なサイバー能力や生物学的能力の開発を試みる動き、そして盗まれた資格情報や漏洩した資格情報の兆候です。解析はスライディングウィンドウ方式で、一定期間分の通信をまとめて見ます。

なお、これらの制御はAnthropicから直接Claudeを使う場合でも、クラウドパートナー経由でも同じように働く想定です。AWS・Google Cloud・Microsoft Azureの利用者は、すでに信頼している環境に活動データを置いたまま、同等の制御を受けられます。EFSの対象となる顧客に向けたサードパーティ提供への対応も進められています。

設計に加わったのは規制業種のセキュリティ責任者たち

EFSは、実際に運用する側の声から組み立てられています。関わったのはセキュリティ・プロダクト・コンプライアンス・デリバリーの各チームで、対話の範囲はFortune 100の4分の1、米国のグローバルなシステム上重要な銀行(G-SIB)のすべて、そして規制業種のほぼ全域に及びました。

参加団体の一つがAnalysis and Resilience Center for Systemic Risk(ARC)です。ゴールドマン・サックス、モルガン・スタンレー、シティ、バンク・オブ・アメリカ、ウェルズ・ファーゴといった米大手銀行の最高情報セキュリティ責任者が名を連ねています。ARCの参加機関のうち8社が、システム上重要な銀行の内部で最先端モデルを動かすには何が必要かを定義する作業に加わりました。誰がデータを持ち、誰が鍵を持ち、自動レビューが何を見て何を見ないのか。そして、どういう条件でなら人が中身を見てよいのか。論点の立て方そのものが、金融規制の実務から来ています。

業種の偏りを避けるため、Comcast、KPMG、Mastercard、Salesforce、Visaのリーダー層とも設計が突き合わされました。医療の薬事安全性報告、法律の秘匿特権付き資料、未公開情報。こうした「誰が見てよいかが法令で細かく決まっている情報」を扱う現場では、レビューする人間が自社の訓練を受けた自社の人間であることが要件になります。EFSが人手レビューを顧客側へ寄せた理由はここにあります。

Claudeを守りの業務にどう組み込むかという観点はClaudeをサイバーセキュリティ業務でどう使うかで扱っています。

Enterprise Frontier Safeguardsはデータ保護をポリシーからアーキテクチャへ移す

6月から9月までの3か月で、データ保護の担保のしかたが約束から構成へ動きました。

能力の高いモデルを広く出すほど安全側の要求も上がる、という緊張の連続でした。30日保持は「Anthropicを信頼してデータを預けてください」という約束の形を取っていました。EFSはその約束を、鍵とストレージとアクセスログという構成の形に置き換えています。顧客は約束を信じる代わりに、自分の環境で確認できる状態を手に入れる、という組み替えです。

検知の運用はAnthropicが担い、データの保管と人手による確認は顧客が担います。この分担が、規制業種にモデルを使ってもらうための条件でした。

長い目で見ると、これは「どのモデルが使えるか」の話ではなく「どの業界がフロンティアモデルを本番投入できるか」の話に近い変更です。データ保持を理由に検証段階で止まっていた領域が、構成の選択肢を得ることになります。モデルの選び分け自体はClaudeモデル一覧で整理しています。

まとめ

EFSは、ZDRを守ったままFableクラスを使いたい規制業種にとって、保持を理由に止まっていた検証を再開する条件になります。ただし経過措置の先にある恒久設計は、自社の面の対応時期が決まるまで置けません。