Fable 5のバイオセーフガードを更新 — 生物学関連フォールバックが約85%減、デュアルユース遮断は維持

要点

Anthropicが8月7日、Claude Fable 5の生物学関連の安全分類器を更新し、フォールバックを大きく減らしました。

• 検証では生物学関連のフォールバックが約85%減:検査結果の解釈や症状の理解、教育目的の生物学の質問が、以前より通るようになります
• 全フォールバック数の減少見込みは、面ごとに約67%から約7%まで大きく差があります
• 生物学関連のフォールバック先はOpus 5です:分類器が発火すると、Opus 5に自動で振り替わります
• デュアルユース(dual-use)領域は依然として遮断:ウイルス学、毒性学、分子設計は引き続きOpus 5送りです。臨床業務は追加の支援が受けられます
• プロ向けバイオ研究は「信頼アクセス経路」での開放を表明しています:創薬などフロンティア生物学は、信頼できる利用者に限定した別経路で提供する方針です

6月にFable 5を投入した際、分類器は生物学の質問のほとんどを遮断する設定で始まりました。今回は、数週間かけた書き直しと専門家のフィードバックを経て、その網を精度側に引き締めた更新です。

あなたの利用フローはどう変わるか

Anthropicが示した減少見込みは、生物学関連だけでなくフォールバック全体の数です。使う面によって、体感の差がはっきり出ます。

Claude.aiで日常的なバイオ質問を扱う場合

検査値の意味、症状の理解、教育目的の生物学の解説といった良性クエリで、これまでOpus 5に振り替えられていた頻度が大幅に下がります。Anthropicが例に挙げたのがまさにこの層です。

臨床業務でClaudeを使う医療従事者

臨床タスクでのFable 5の支援範囲が広がります。診療文脈での生物学的知識の照会は、以前より通りやすくなります。

ただしウイルス学・毒性学・分子設計のようにデュアルユースと判定される問い合わせは、更新後もOpus 5送りのままです。プロ向けのバイオ研究に踏み込みたい場合は、信頼アクセス経路の整備を待つ形になります。

Claude Codeで長時間の自動実行を回している場合

7月1日の再開時に整備した「Fable 5とOpus 4.8の二段運用」を組んでいるチームでは、Fable 5に留まる比率がわずかに上がる程度の変化です。生物学関連の分類器の振り替え先はOpus 5で、サイバー関連のOpus 4.8とは別の行き先になります。

Claude Platform API直叩きの場合

APIは4つの提供形態のなかで減少見込みが最も小さい層です。生物学関連のプロンプトを大量に投げるサービスなら、フォールバック率を自前のログで拾い、プロンプト設計の見直し材料にできます。ログに何が残るかは、次の節で扱います。

フォールバックはClaude CodeとAPIでどう見えるか

Anthropicの発表は、分類器の中身と減少率を扱っています。自分の環境で実際に何が起きるかは、Claude Codeのドキュメントと、APIの「Refusals and fallback」ページに書かれています。

Claude Codeでは何が変わり、何が残るか

Claude Codeでは、分類器が発火するとリクエストがフォールバック先のモデルで再実行され、トランスクリプトに通知が出ます。行き先は、どのモデルが拒否したかで変わります。

Opus 5は自前のバイオ分類器を持つため、行き先がないまま拒否で終わります。

カテゴリ別のフォールバックにはClaude Code v2.1.219以降が要ります。それ以前は、発火したFable 5のリクエストはすべて、プロバイダーの既定のOpusモデルで再実行されていました。

フォールバック後のセッションは、そのままフォールバック先のモデルで続きます。元のモデルへ戻すには /model を使います。Fable 5.1・Fable 5・Opus 5.5で生物学の実質的な作業をしていると、最初に発火したリクエストでOpus 5へ移ります。その後に生物学で再び発火したリクエストは、Opus 5に生物学のフォールバック先がないため拒否で終わります。努力量(effort)は、発火したリクエストのレベルが引き継がれます。たとえば既定の medium で動いていたOpus 5.5がOpus 4.8へ落ちても、medium のままです。

組織が availableModels で許可モデルを絞っている場合は注意が要ります。フォールバック先が許可外だと、フォールバックは起きず、発火したリクエストは通常のエラーとして表示されます。

何もしていないのに発火するときの切り分け

生物学の質問をしていないのに、フォールバックが出ることがあります。最初のリクエストには、CLAUDE.mdの内容やgit statusといった作業ディレクトリの文脈が含まれるためです。生物学やセキュリティの資料を含むリポジトリでは、その文脈だけで分類器に当たる場合があります。

APIでは拒否が200で返る

APIの分類器拒否は、エラーではなく通常のレスポンスとして返ります。stop_reason が "refusal" になり、stop_details.category に政策領域が入ります。生物学関連は "bio" です。HTTPステータスは200なので、エラー率や5xxを見ている監視には映りません。

フォールバックを自動で受けたいときは、fallbacks に "default" を指定し、ベータヘッダー server-side-fallback-2026-07-01 を付けます。

curl https://api.anthropic.com/v1/messages \
  -H "x-api-key: $ANTHROPIC_API_KEY" \
  -H "anthropic-version: 2023-06-01" \
  -H "anthropic-beta: server-side-fallback-2026-07-01" \
  -H "content-type: application/json" \
  -d '{"model": "claude-fable-5", "max_tokens": 1024,
       "fallbacks": "default",
       "messages": [{"role": "user", "content": "Hello, Claude"}]}'

この例はClaude API向けです。fallbacks はAmazon Bedrock、Google Cloud、Microsoft Foundryでは使えず、Message Batches APIも対象外です。

どのモデルが答えたかは、レスポンス最上位の model と、usage.iterations の中の fallback_message で見分けます。フォールバックした会話では、組織単位でおよそ1時間、fallbacks を付けた後続リクエストがフォールバック先へ直行します(ベストエフォート)。毎ターン、拒否されると分かっている試行に課金しないための仕組みです。

運用上の落とし穴は3つあります。

• サブエージェントなど、ツール実行の内側から出るモデル呼び出しには、fallbacks が引き継がれません。呼び出しごとに指定します
• "default" のルーティングは、分類器が示すカテゴリごとにサーバー側が決めます。モデル別の行き先はModels APIでは公開されていません
• フォールバック先が過負荷や制限中のときは、フォールバックが試されず、直前の拒否がそのまま返ります

生物学関連の拒否は課金の対象になる

APIのドキュメントには、課金の規則が書かれています。出力が始まる前の拒否は、原則として課金されません。例外が "bio"・"frontier_llm"・"reasoning_extraction" の3カテゴリです。これらは出力前の拒否でも、通常のリクエストと同じ料金で課金されます。

理由は、安全策を大量に回避しようとする試みを妨げるためとされています。この3カテゴリは、Anthropicが誤検知の量を低く測っているカテゴリです。サイバー関連の拒否は課金されません。

フォールバックを使うと、拒否そのものの課金とフォールバック先の課金が両方かかる場合があります。フォールバック先でプロンプトキャッシュが効かないぶんは、フォールバッククレジットが補います。会話を二重にキャッシュするコストを避けるための仕組みです。

バイオ関連のプロンプトを大量に流すサービスにとって、今回の約85%減は、体験の改善であるだけでなく、拒否に払う費用の減少にも当たります。

なぜFable 5は生物学クエリを広く遮断していたか

能力の高さがそのままリスクになる構造

Fable 5は6月9日に一般公開された時点で、生物学関連のクエリのほとんどを遮断する設定で立ち上がりました。理由は単純です。Fable 5は一部の高難度なバイオタスクで専門家を上回り、他のタスクでも運用支援を出せる能力を持ちます。創薬研究者にとっては強い味方であり、同じ能力が悪用されれば生物兵器開発への「アップリフト(能力の底上げ)」になり得ます。Anthropicの能力評価は、悪意ある行為者が他では得られない能力をFable 5が提供し得るという結論でした。

選ばれたのは「まず広く遮断してからチューニングする」設計です。多くの生物学ユーザーが誤遮断で不便を被る前提の判断でした。同じ思想は、公開済みのFable 5のサイバー分類器と深刻度枠組み(CJS)にも通っています。初期は遮断側に大きく振り、そこから精度を上げていく進め方です。広い網で先に出したのには実利もあります。安全対策の完成を待っていれば、一般提供は数週間から数か月遅れていました。

分類器はどう更新されたか

分類器が発火したときの振り替え先がOpus 5なのは、Fable 5と同じ水準の生物学能力を持たず、悪意ある利用者に与えられる支援も限られるためです。分類器が見ているのは入力だけではありません。保護対象のバイオタスクを求められたときに加えて、有害な出力を生成しようとしたときにも発火します。

Anthropicはこの数週間、分類器の「憲法(constitution)」を書き直しました。保護すべき内容と許容すべき内容を判定するルール群で、良性利用のカバー範囲を細かく切り出しています。社内外の専門家からフィードバックを集め、新しい学習データで分類器を再訓練しました。

検証では、有害・デュアルユースのバイオ内容には概ね従来どおり発火し、良性・有益な用途はより広く通ることを確認しています。分類器は、遮断すべき内容を通してしまう誤り(false negative)も避けなければなりません。迂回(jailbreak)の試みにも耐える必要があります。

公開図は、境界線の位置の違いで更新を示しています。左側が許容(良性)、右側が遮断です。

安全マージンは更新後も残っています。良性の可能性が高いのに遮断されるケースが残るのは、この設計のためです。

バイオが「デュアルユース」と切り分けにくい構造的な理由

Anthropicは今回、バイオでは有益な用途と有害な用途を切り分けるのが本質的に難しいという論点にも触れています。分かりやすい例が生ワクチンと医薬品開発です。生ワクチンの製造では、防ぎたい病原体そのものを研究室で培養する必要があります。血圧の急降下を引き起こすヘビ毒の成分から高血圧治療薬カプトプリルが開発されたように、治療薬の探索が危険な化合物を扱う工程を必然的に含む場面は少なくありません。

同じ手順・同じ知識が、治療研究にも兵器化にも接続し得ます。テキストベースの分類器にとっては難所そのものです。手慣れた行為者は、この曖昧さを突いて意図を隠します。危険な作業を通常の研究に見せかける手口です。

デュアルユース領域は今回の対象外

ウイルス学、毒性学、分子設計といったデュアルユース領域は、更新後もFable 5では扱わずOpus 5へ振り替わります。Anthropicは、プロのバイオ研究や創薬にはまだ使えないと述べ、代替として信頼アクセス経路(trusted access pathways)を通じてフロンティアの生物学能力を研究者に届ける方針を示しました。

この設計判断の背景には、米国情報コミュニティの2026年年次脅威評価があります。同評価は合成生物学・ゲノム編集が新たな生物学的脅威につながり得ると指摘し、複数の国家アクターが攻撃的な生物・化学兵器プログラムを継続している可能性が高いと評価しています。

誤遮断減はどこまで実利で、どこから運用側の宿題か

今回の更新は、6月からの一連の「Fable 5をどう安全に広く使わせるか」という流れのなかで、良性側の使い勝手に振った更新です。6月9日のFable 5 / Mythos 5発表から6月12日の全停止と輸出管理指示まで、話題はどれも安全側にどれだけ広く網を張るかでした。7月1日の再開もその延長線上にあります。

面ごとの減少率は、約67%と約7%で約10倍開いています。発表は、この差の理由に触れていません。面別の数字は脚注にある見込み値です。自分の環境で効くかどうかは、フォールバックの通知やAPIの fallback_message を数えて確かめるのが確実です。

更新後も自分の良性クエリが弾かれるなら、残余の誤遮断に当たっている可能性があります。Anthropicは、安全マージンの設計上、良性の可能性が高いリクエストが念のため遮断されるケースはなお残るとし、セーフガードの改善は今後も続くとしています。

有害な応諾と過剰拒否を両方測るという評価軸は、8月25日に始まったウェルビーイング評価への研究助成でも、外部の専門家に投げられた設計条件のひとつになっています。

デュアルユース領域の遮断が残る以上、プロ向けバイオ研究でのFable 5活用は、信頼アクセス経路の整備を待つしかありません。Anthropicは、AIが世界に最も良い影響を与えられる領域は生物学と医療だと位置づけ、研究者にフロンティア能力を安全に届ける仕組みへの投資を続けると表明しています。

この方針は9月17日に、認証を受けた組織がMythos・Opus・Sonnetを緩和されたセーフガードで使える生命科学向けの認証プログラムとして具体化しました。一般提供のFable系モデルでの遮断は、このプログラムの対象外です。

安全分類器の設計思想そのものは、2025年公開のConstitutional Classifiersの解説にある入力・出力の二重検査の延長線上にあります。今回の更新は、その保護境界の書き直しを公開範囲で実施した事例のひとつです。

まとめ

日常的なバイオ質問が通りやすくなる更新で、デュアルユース領域とプロのバイオ研究は今回の対象外です。

Claude CodeやAPIでは、見込みどおり減ったかを自分のログで確かめる運用が効きます。Claude Codeの「何もしていないのに発火する」ケースは --safe-mode で切り分けられ、APIでは "bio" の拒否が出力前でも課金される点を見積もりに入れておくと安全です。