Enterprise Frontier Safeguardsを発表 — ZDRのまま悪用検知、今秋後半から段階提供

要点

Anthropicが9月1日、Enterprise Frontier Safeguards(EFS)を発表しました。ゼロデータ保持(ZDR)の秘匿性と、悪用を見つけるための監視を同時に成り立たせる仕組みです。

• 監視用データの置き場所を顧客側へ移せる:活動データはAmazon S3・Azure Blob Storage・Google Cloud Storageといった顧客自身のクラウドアカウントに保管でき、暗号鍵もアクセスポリシーも監査ログも顧客の管理下に残ります
• Anthropicの従業員による目視確認は不要:自動システムが一定期間分の通信をまとめて解析し、検知した兆候はそのまま顧客へ送られます。中身を見て本物かどうかを判断するのは顧客自身のチームです
• 対応する提供形態は7つ:Claude Code、Claude Enterprise、Claude Platform、Amazon Bedrock、Claude Platform on AWS、Google Cloud's Agent Platform、Microsoft Foundry
• 提供は今秋後半から段階的:広く使えるようになるまでの経過措置として、対象となる顧客はFable 5とFable 5.1をZDRのまま利用できます
• Anthropic側の課金は発生しない:顧客が自分のクラウドにデータを置く場合、保管料と読み書き、データ転送料は各クラウド事業者から通常のリソースと同じ形で請求されます

金融サービス・医療・製造・通信・法律・小売・公共部門にまたがる100社を超える顧客と、AWS・Google Cloud・Microsoft Azureの3社を交えて設計されました。6月から続いていた「Covered Modelsは30日保持が必須なので、ZDR組織では使えない」という行き止まりを解消する答えです。保持そのものをなくすのではなく、保持先を移すことで解いています。

ZDR契約の組織で何が変わるか

いちばん直接的な変化はこれです。Fableクラスを使うために、自社のデータ方針を曲げる必要がなくなります。これまでZDR組織がClaude PlatformのAPI経由でClaude Fable 5.1にリクエストを送ると400 invalid_request_errorで拒否されていました。Claude Codeでは、対象モデルが/modelピッカーに現れないか無効表示になり、クライアント側の設定によらずサーバーがリクエストを拒否します。EFSでは、監視に必要なデータが顧客の環境に置かれるため、「Anthropicにデータを渡さない」という前提を保ったまま対象モデルを呼べるようになります。

ただし影響の大きさは、いま何を使っているかで変わります。

Claude for Enterpriseで組織ごとにZDRを有効化してもらっている組織と、コンシューマー以外のAPIキーでZDRを適用している組織では、この判断の単位が違います。ZDRはEnterpriseの標準プランには含まれず、管理設定から有効化することもできません。適格なアカウントに対してAnthropic側が個別に有効化する形です。どの経路でZDRが効いているかの切り分けはZDRが有効になる契約形態にまとめてあります。

30日保持はなぜ導入され、EFSで何が置き換わるのか

30日保持は、Mythosクラスのモデルを世に出すための安全策として2026年6月9日に発効しました。対象はCovered Modelsに指定されたモデルで、プロンプトと出力が提供面を問わず最低30日間保持されます。企業データを学習に使うためではなく、悪用の兆候を見つけるための保持です。

なぜ「その場で解析して即座に捨てる」では足りないのか。攻撃が単発のリクエストに収まらないからです。Best-of-Nジェイルブレイクは、わずかに言い換えた数百通りのプロンプトを送って1つでも通ることを狙います。国家が関与する諜報活動やデータを盾にした恐喝も、多数のリクエストを俯瞰して初めて像を結びます。時間とアカウントをまたいで相関を取るには、一定期間データが残っている必要があります。Anthropicは、企業データを明示的な許可なく学習に使ったことはなく、今後も使わないと明言しています。

盗まれた資格情報の悪用も同じ構造を持ちます。正規のアカウントから正規の手順で来るリクエストは、1本ずつ見ている限り異常に見えません。

もう一方の懸念は、人が悪用する側ではなくモデル自身の側にあります。Mythosクラスは知性とエージェント能力が大きく伸びた分、悪用の余地と自律的な逸脱の余地も同時に広がりました。この数か月で観測された悪用の試みは、詐欺のような典型的なものから高度なサイバー攻撃まで幅があり、後者にはエージェントが自律的に破壊的な振る舞いに及ぶものも含まれます。

30日保持のもとでのデータ保護の中身

既定ではAnthropicの従業員は保持された会話を読めません。人の目が入るのは、自動の信頼性・安全性システムが有害の可能性を検知した場合など、管理された経路に限られます。レビューを実行できるのは承認された少数のメンバーで、アクセスは1件ずつ改ざんできないログに記録され、レビュアー自身が消したり書き換えたりできません。30日を過ぎたデータは自動削除されます(フラグが立った場合と、法令上の保持義務がある場合を除く)。適格な組織は顧客管理暗号鍵とアクセス透明性の監査ログを追加できます。組織側で持つ監査ログの列構成やイベント分類はClaude監査ログの見方にまとめています。

設定の単位は面ごとに違います。Claude Platformでは開発者コンソールのWorkspace > Manage > Privacy Controlsでワークスペース単位に保持を有効化でき、他のZDRワークスペースはZDRのまま残せます。Claude Enterpriseでは管理コンソールでの制御が順次提供されており、Primary Ownerが保持設定を直接変更できるようになります。本番組織に触れたくない場合は、別のサンドボックス組織を用意する相談もできます。Microsoft FoundryだけはAzureのサブスクリプション単位の設定で、ZDRを構成済みなら対象モデルを使うために別のサブスクリプションを新規作成する必要があります。保持したデータがどこに残るかも面で分かれ、Amazon Bedrock経由ならAWS内、Google Cloud's Agent Platform経由ならGCP内、Claude Platform on AWS経由ならAnthropicの管理下に置かれます。

ZDRを有効にしている場合でも、利用ポリシー違反でセッションにフラグが立つと、該当する入出力は最大2年間保持されることがあります。BAA(HIPAA対応サービス)のもとでは、Covered Modelsを使える構成が別途定められています。

Fable 5.1とMythos 5.1は同じ基盤モデルを共有し、サイバーと生物領域の安全装置の有無で分かれています。この関係と料金・仕様の詳細はClaude Fable 5.1の仕様で扱っています。

顧客が選べる3つのオプトインと、モデル挙動への影響

EFSの構成要素は3つで、いずれもオプトインです。組織の要件に応じて必要なものだけを有効にできます。

1. 顧客所有ストレージ:活動データを自社のクラウドアカウントに置く
2. 顧客管理暗号鍵(CMEK):保管されたデータを自社が管理する鍵で暗号化する
3. 完全自動レビュー:人手を介さない自動解析だけで検知を回す

どれを有効にしても、モデルの挙動・API料金・レート制限は変わりません。保護の厚い構成を選んでも、応答が制限されたり単価が上がったりはしない設計です。

課金の考え方も明快で、EFS自体にAnthropicからの請求はありません。自社のクラウドにデータを置くことを選んだ場合に、保管料・読み取り・書き込み・データ転送(egress)が各クラウド事業者から請求されます。他のリソースと同じ扱いです。自社のクラウド費用として見積もっておく部分です。

検知の対象として挙げられているのは、攻撃的なサイバー能力や生物学的能力の開発を試みる動き、そして盗まれた資格情報や漏洩した資格情報の兆候です。解析はスライディングウィンドウ方式で、一定期間分の通信をまとめて見ます。フラグが立つと顧客に直接届き、そこから先の判断と対応は顧客の手元で完結します。

なお、これらの制御はAnthropicから直接Claudeを使う場合でも、クラウドパートナー経由でも同じように働く想定です。AWS・Google Cloud・Microsoft Azureの利用者は、すでに信頼している環境に活動データを置いたまま、同等の制御を受けられます。EFSの対象となる顧客に向けたサードパーティ提供への対応も進められています。

設計に加わったのは規制業種のセキュリティ責任者たち

EFSは、実際に運用する側の声から組み立てられています。関わったのはセキュリティ・プロダクト・コンプライアンス・デリバリーの各チームで、対話の範囲はFortune 100の4分の1、米国のグローバルなシステム上重要な銀行(G-SIB)のすべて、そして規制業種のほぼ全域に及びました。

参加団体の一つがAnalysis and Resilience Center for Systemic Risk(ARC)です。ゴールドマン・サックス、モルガン・スタンレー、シティ、バンク・オブ・アメリカ、ウェルズ・ファーゴといった米大手銀行の最高情報セキュリティ責任者が名を連ねています。ARCの参加機関のうち8社が、システム上重要な銀行の内部で最先端モデルを動かすには何が必要かを定義する作業に加わりました。誰がデータを持ち、誰が鍵を持ち、自動レビューが何を見て何を見ないのか。そして、どういう条件でなら人が中身を見てよいのか。論点の立て方そのものが、金融規制の実務から来ています。

業種の偏りを避けるため、Comcast、KPMG、Mastercard、Salesforce、Visaのリーダー層とも設計が突き合わされました。医療の薬事安全性報告、法律の秘匿特権付き資料、金融の未公開情報。こうした「誰が見てよいかが法令で細かく決まっている情報」を扱う現場では、レビューする人間が自社の訓練を受けた自社の人間であることが要件になります。EFSが人手レビューを顧客側へ寄せた理由はここにあります。

企業側から見たEFSの位置づけは、監視を減らす仕組みではなく、監視の担い手と保管場所を移す仕組みです。Claudeを守りの業務にどう組み込むかという観点はClaudeをサイバーセキュリティ業務でどう使うかで扱っています。

Enterprise Frontier Safeguardsはデータ保護をポリシーからアーキテクチャへ移す

6月から9月までの3か月で、データ保護の担保のしかたが約束から構成へ動きました。

能力の高いモデルを広く出すほど安全側の要求も上がる、という緊張の連続でした。30日保持は「Anthropicを信頼してデータを預けてください」という約束の形を取っていました。EFSはその約束を、鍵とストレージとアクセスログという構成の形に置き換えています。顧客は約束を信じる代わりに、自分の環境で確認できる状態を手に入れる、という組み替えです。

同時に、Anthropic側が手放したものもはっきりしています。検知の結果を自分たちで確かめる経路です。フラグが顧客に直接届いて完結する設計では、Anthropicは自社モデルの悪用の全体像を以前ほど直接には把握できません。安全性の担い手を分散させる判断であり、規制業種にモデルを使ってもらうために払ったコストでもあります。

長い目で見ると、これは「どのモデルが使えるか」の話ではなく「どの業界がフロンティアモデルを本番投入できるか」の話に近い変更です。データ保持を理由に検証段階で止まっていた領域が、構成の選択肢を得ることになります。モデルの選び分け自体はClaudeモデル一覧で整理しています。

まとめ

ZDR契約でFableクラスを検討していた組織がまず確かめたいのは、経過措置の対象かどうかです。連絡が届いていなくても申請の窓口はあり、対象になればEFSが整うまでFable 5とFable 5.1をZDRのまま使えます。ただし期間限定かつ自社の内部業務用途が前提なので、恒久的な回避策として設計に組み込むには向きません。

すでに30日保持を有効にしている組織と、クラウドパートナー経由の利用者は、いま止める理由はありません。判断が要るのは、保管先を自社アカウントへ移す価値がクラウド側の保管・転送費に見合うかどうかと、面ごとの対応時期がいつになるかの2点です。提供は今秋後半からの段階的なロールアウトで、アクセス申請は公式のフォームから受け付けています。

法人プランの機能差はClaude Enterpriseとは、個人プラン(Free / Pro / Max)が対象外である点を含めた各プランの中身はClaude料金プランの比較で確認できます。