Constitutional Classifiers次世代版とは — 追加計算約1%の2段構え

Constitutional Classifiers++とは何か

Constitutional Classifiers++は、Anthropicが2026年1月に発表した、Claudeのjailbreak(安全策の回避)対策の次世代版です。初代のConstitutional Classifiersは、憲法(許可と禁止を自然言語で書いたルール)から作った合成データで分類器を訓練し、入力と出力を監視する仕組みでした。初代の仕組みはConstitutional Classifiers解説にあります。

次世代版が狙ったのは、守りを固めることと、利用者に負担を戻さないことの両立です。初代は計算コストが23.7%増え、無害な質問への拒否率も0.38%上がっていました。次世代版はこの2つを大きく下げています。

数字

初代と次世代版の主な数字

• 追加の計算コスト

  23.7% → 約1%

  次世代版はClaude Opus 4.0のトラフィックに適用した場合

• 無害な質問の拒否率

  0.05%

  初代から87%低下。Claude Sonnet 4.5の1か月分のトラフィック

• レッドチーミング

  1,700時間超

  約198,000回の試行で高リスクの脆弱性は1件

中核の発明は2段構えの構成です。Claudeの内部状態を読む「プローブ」が全通信を安く検査し、疑わしい会話だけを強力な分類器に回します。この分類器は、初代と違って出力だけでなく会話の両側を見ます。

初代に残っていた2つの穴

次世代版は、初代への追加の攻撃テストで見つかった弱点から出発しています。論文は、初代が2種類の攻撃に弱かったと報告しています。

• 再構成攻撃: 有害な質問を無害に見える断片へ分け、あとで組み立てさせる。例は、質問の各単語をコード内の関数の戻り値に散らし、モデルに復元させる手口です
• 出力の難読化攻撃: 有害な内容を無害な言葉にすり替えさせる。試薬を「食品用香料」と呼ばせたり、比喩やなぞなぞに置き換えたりします

どちらも、入力と出力を別々に見る設計の隙を突きます。「食品用香料の使い方」という出力は、単体なら無害です。入力側で「香料」が試薬の暗号だと決まっていて初めて、有害な出力だと分かります。

こうした攻撃には、モデルの能力が落ちるという副作用があります。論文では、Claude Opus 4に博士レベルの科学問題(GPQA Diamond)を解かせたとき、通常は74.2%の正答率が、ある攻撃では32.3%、別の攻撃では49%まで下がりました。

ただし落ち幅は攻撃ごとに大きく違います。論文はこのばらつきを懸念材料としています。能力をあまり落とさずに突破する新しい攻撃が出てくる可能性を示すからです。

3つの部品を順に積み上げた設計

次世代版は、1つの新技術ではなく3つの部品の組み合わせです。それぞれの効果が論文の実験で別々に示されています。

交換分類器 — 入力と出力を1つにして見る

最初の変更は、入力分類器と出力分類器を1つの「交換(exchange)分類器」に置き換えたことです。交換分類器は、まず入力を単独で評価し、そのあと応答が生成されるあいだ、トークンをまとめて入力の文脈つきで評価し続けます。

効果は人間のレッドチーミングで測られました。初代に近い構成は、695,000件ほどの試行で高リスクの脆弱性が13件、1,000件あたり0.01871件でした。交換分類器の構成は、226,000件ほどの試行で2件、0.00885件です。

全対象質問に半分以上の詳しさで答えさせる汎用の突破も違いました。初代構成では4件で、発見までの時間は平均27時間(自己申告)でした。交換分類器の構成は1件で、発見に100時間かかっています。

代償は計算コストです。論文は、交換分類器が初代より約50%高くつくと述べています。

2段構成 — 軽い分類器が全部見て、疑わしいものだけ強い分類器へ

コストを下げるために、論文は軽い1段目の分類器が全交換を検査する構成を試しました。1段目が旗を立てたものだけが、精度が高く高価な2段目に進みます。2段目はClaude Haiku 4.5から調整した分類器で、1段目はその約3分の1の大きさです。

ここで重要なのは、旗を立てられても拒否されるわけではないという点です。2段目に回すだけなので、1段目は誤検知を多めに出しても利用者の邪魔になりません。ブログはこれを「拒否する代わりに、上司に確認を回す」ものだと説明しています。

この構成の脆弱性発見率は、5件・569,000件で0.00878でした。交換分類器単独とほぼ同じ水準です。計算コストは交換分類器の5.4分の1まで下がり、通信の約10%が2段目に回りました。一方で、1段目だけで全体コストの約77%を占める点は、次の部品を考える動機になっています。

線形プローブ — モデルが内部で計算済みの値を再利用する

最後の部品が線形プローブです。モデルは文章を処理するたびに内部状態(活性化)を計算しますが、通常は使い終わると捨てられます。プローブはこの内部状態から「有害そうか」を判定する小さな分類器で、新しい推論をほとんど走らせずに済みます。

ブログは、攻撃者が最終出力を騙すことはできても、内部表現を操作するのははるかに難しいと説明しています。論文の実験でも、プローブと外部の分類器は予測の誤り方が似ていませんでした。そのため両者を組み合わせると、どちらか単独より強くなります。

プローブの訓練には工夫が2つあります。ストリーミング中に判定するため、直近の複数トークンのスコアを平滑化することと、「最も有害だと確信している位置」に損失の重みを寄せることです。論文の分析では、この2つを併用したときが最良でした。層も、全層を使うと攻撃成功率は約1.4%まで下がり、使う層を減らすと悪化します。

4つの構成を同じ物差しで並べる

論文の表1は、4つの構成を計算コスト・脆弱性・拒否率で比べています。計算コストは初代を100とした相対値です。

見るべき点は2つあります。ひとつは、最終版が計算コストと脆弱性の両方で最良になっていることです。通常はトレードオフになる2つが、プローブとの組み合わせで同時に改善しました。

もうひとつは、拒否率の列です。最終版の0.050は、表の中では最小ではありません。0.05%という数字は、初代の0.38%と比べて大きく下がった値として紹介されています。ただし論文本文の0.38%は先行研究の報告値の引用で、表1の初代の値(0.073)とは出典が別です。拒否率を比べるときは、同じ出典の数字同士に絞るのが安全です。

最終版の最終スコアは、プローブと分類器のロジット(判定の生スコア)を重み付きで足して決まります。論文の重みは、プローブ0.55、分類器0.45です。

利用者から見て何が変わるか

利用者の体感に直結するのは、無害な質問を誤って断られる頻度と、使えるコストの余裕です。

拒否率は、Claude Sonnet 4.5の2025年12月1日から2026年1月1日までのトラフィックで0.05%でした。ブログは、初代の0.38%から87%の低下だと述べています。論文によれば、1段目のプローブが2段目へ回した割合は約5.5%です。つまり大半の会話は、重い分類器に触れずに終わります。

コスト面では、追加計算が初代の23.7%から約1%に下がりました。論文は2段構成に対して約8倍、交換分類器に対して約40倍の削減だとしています。安全策が安くなれば、より多くのモデルや利用面に同じ水準の保護を広げやすくなります。

遅延については、論文にもブログにもレイテンシの数値が載っていません。論文が述べているのは、プローブが生成中に連続して判定すること、推論時は指数移動平均を使うため状態を1つ持つだけで済むことです。応答が遅くなるかどうかは、これらの記述だけでは判断できません。

分類器の対象も確認しておきます。この研究の評価は、一貫してCBRN兵器に関する情報を対象にしています。一般的なコード生成や文章作成の質問に対して、どれだけ誤検知が出るかを直接測ったものではありません。

突破されていないと言える範囲と、残る論点

ブログは、レッドチーミングで汎用jailbreakは1件も見つかっていないと述べています。ただし、この主張は評価の定義と結びついています。論文では、8つの対象質問すべてに、安全策のないモデルの半分以上の詳しさで答えさせる攻撃を汎用jailbreakと数えています。

論文は例外も書いています。2段構成の評価では、報奨金プログラムの外にいる熟練のレッドチーマーが、相当な労力と自動化ツールを使って汎用jailbreakを見つけました。最終版では、報奨金の枠内での発見は1件(発見に30時間)にとどまります。

プローブにも弱みがあります。論文は、無害な科学系の依頼に対するプローブの旗立て率が、外部分類器より高かったと述べています。2段目に回す設計が、この弱みを吸収する役割を持ちます。

研究の今後の方向として、論文とブログは次を挙げています。

• 分類器の信号をモデルの生成過程に直接組み込む
• 難読化に強くなるようモデル自体を訓練する
• 自動レッドチーミングで訓練データを改善する
• 許可と禁止の境界を学ばせる合成データを狙って作る

モデルの内部表現を分類器として使う発想は、Anthropicの別研究にも共通します。SAEで取り出した特徴量を分類器に使う実験はFeatures as Classifiersにあります。この研究が製品のどこに入っているかという整理は、Anthropicの安全性研究とClaude製品の対応にまとめています。

まとめ

次世代版の設計は、「全部を強い分類器で見る」から「全部を安く見て、怪しいものだけ強く見る」への転換です。誤検知を拒否ではなく再確認に回せるので、1段目の精度に過度な要求をしなくて済みます。

数字の読み方には注意が要ります。追加計算の約1%はOpus 4.0向けのブログの値で、論文の表1は初代比の3.5%です。拒否率も出典を揃えて比べる必要があります。それでも、計算コスト・拒否率・突破されにくさがいずれも初代より改善している点は、ブログと論文で一致しています。