なぜAIの「安全装置」は無害な依頼まで弾くのか──Anthropic「Fable 5」ガードレール論争に見るデュアルユースの壁

【エグゼクティブ・サマリー】

Anthropicが、脆弱性発見に極めて強い非公開モデル「Mythos」の一般公開版「Fable 5」を投入。だが安全装置が字句（キーワード）ベースで作動し、無害な依頼まで弾いていると専門家が反発している。
技術的な核心は「フォールバック（※危険と判定した質問を、わざと能力の低い旧モデルへ回す仕組みのこと）」。サイバー・生物・化学などの話題を検知すると、応答が旧世代のClaude Opus 4.8に格下げされる。
背景にあるのは、攻撃にも防御にも使える「デュアルユース（※同じ技術が善用も悪用もできる二面性のこと）」というAIセキュリティ最大の構造課題。Anthropicは「全セッションの95%以上は格下げが起きていない」と反論しており、論点は安全性と実用性のトレードオフに集約されつつある。

既存テクノロジーの限界と課題
ニュースの核心
【比較表】従来アーキテクチャとのスペック比較
【図解】技術アーキテクチャ・関係図
【考察】ITエコシステム・業界へのインパクト
まとめ
引用元記事・補足資料

既存テクノロジーの限界と課題

まず押さえておきたいのは、「危険な質問だけを正確にブロックする」という作業が、技術的にとてつもなく難しいという事実だ。

従来のコンテンツフィルタは、ほとんどがブロックリスト方式で動いてきた。特定の単語が含まれていたら止める、という単純なルールだ。これは迷惑メールフィルタが「無料」という単語を見ただけで友人からの「今週末、無料（ヒマ）だよ」というメールまで迷惑メール送りにしてしまうのと同じ弱点を抱えている。

つまり、機械は単語（字句）は読めても、文脈（意味）までは読めない。ここに一つ目のボトルネックがある。

さらに厄介なのが、AIセキュリティ特有の二つ目の壁、デュアルユース問題だ。脆弱性を高速で発見できる能力は、裏を返せばそのまま攻撃に転用できる。防御に役立つ能力と、攻撃に使える能力は、技術的に分離できないのだ。

これは、あらゆる鍵を開けられるマスターキーに似ている。鍵屋が締め出された家主を助けるのにも使えるが、まったく同じ道具が空き巣の手にも渡る。鍵そのものに善悪の区別はつけられない。

そして三つ目の課題が、安全性と能力のトレードオフだ。モデルに強い制約をかければかけるほど安全側に倒せるが、その分だけ正当な利用者の生産性が削られる。守りを固くしすぎたゲートは、不審者だけでなく、急いでいる正規の通行人まで足止めしてしまう。

字句ベースの限界：文脈を無視し、危険な単語の有無だけで判定してしまう
デュアルユースの宿命：高い脆弱性発見能力は、防御と攻撃のどちらにも使える
トレードオフの不可避性：安全を強めるほど、正規ユーザーの利便性が落ちる

この三つの壁が同時に立ちはだかる状況こそ、今回の論争の舞台装置になっている。

ニュースの核心

Anthropicは現地時間6月9日（火）、新モデル「Fable 5」を一般公開した。これは、4月から限定提供されてきた非公開のサイバーセキュリティ特化モデル「Mythos」の、いわば“制限付きの一般開放版”という位置づけだ。

両者の関係はシンプルで、Anthropicによれば、Claude Fable 5はMythosと「同じ基盤モデル」であり、サイバーセキュリティや生物学といった一部の話題への応答だけが、すでに公開済みの旧Claude Opusモデルから引き出される。

ここで効いてくるのが、前述したフォールバックの仕組みだ。Fable 5には入口に分類器（※入力された質問のジャンルを瞬時に判定する仕分け担当のこと）が置かれている。

この分類器が「サイバー」「生物」「化学」「モデル蒸留」といった話題を検知すると、本来の高性能なエンジンを使わせず、応答を一段格下のClaude Opus 4.8へと回す。郵便局の仕分け係が、特定の宛先ラベルを見た瞬間、その荷物だけを“遅い別ルート”の棚へ放り込んでいくイメージに近い。

問題は、この仕分けが意味ではなく単語に反応しているらしい点にある。セキュリティ業界のベテランで、AIセキュリティ企業Tolmoに所属するMatt Suiche氏は、Fableのフィルタが意味論的ではなく字句的（lexical）に見えると指摘した。

セキュアなコードを書いてほしいと頼むと、モデルはそれを通常のソフトウェア工学のベストプラクティスではなく“サイバーセキュリティ関連の作業”とみなし、応答が格下げされてしまう。 ──Matt Suiche氏（Tolmo）／TechCrunchの取材より

つまり、安全なコードを書くというまっとうな開発作業まで、「セキュリティ」という単語の連想だけで危険判定されてしまうわけだ。

不満の声はこれだけにとどまらない。IBM X-Forceの著名なセキュリティ研究者Valentina “Chompie” Palmiotti氏は、Fableがサイバーにわずかでも関連しうる依頼を拒否し、ブログ記事を読むといった無害なタスクすら弾くと述べている。コードレビューの依頼でガードレールが作動したと報告する研究者もいる。

一方で、Anthropic側にも明確な言い分がある。なぜここまで厳しくするのか。その答えは、元になったMythosの“素の実力”を知ると腑に落ちる。

AnthropicのProject Glasswingの初期報告によれば、Mythos Previewは1,000以上のオープンソースプロジェクトをスキャンし、推定23,019件の脆弱性を検出。うち6,202件が高または重大（critical）レベルと見積もられた。内部テストでは、セキュリティ用途に特化して作られたOpenBSDに27年も潜んでいた脆弱性を、わずか50ドル未満の計算コストで発見したという。

これだけの“攻撃力”を持つ刃物を、誰の手にも無制限で握らせるわけにはいかない──というのがガードレールの出発点だ。Anthropicは、Fable 5のセッションの95%以上ではフォールバックが発生しておらず、大半のユーザーにとって性能はMythos 5と実質同等だと説明している。

加えて、同社はFable 5に対し、内部および外部のレッドチーム（※あえて攻撃者役になって弱点を探す検証チームのこと）によるジェイルブレイク（※安全制限を回避させる手口のこと）テストを実施し、既知の「万能な」突破手法は見つからなかったとしている。

良かれと思って固めた守りが、肝心の防御側プロフェッショナルの仕事を邪魔している──今回の摩擦は、その一点に凝縮されている。

【比較表】従来アーキテクチャとのスペック比較

項目	旧世代：Claude Opus 4.8	新世代：Fable 5 / Mythos 5
位置づけ	公開済みの汎用フラッグシップ	Mythosクラス（公開版＝Fable／限定版＝Mythos）
脆弱性発見能力	未公開のゼロデイ発見は困難とされる	OSS 1,000件超で2.3万件超を検出した基盤と同等
アクセス方式	一般公開	Fableは有料公開／MythosはGlasswingで審査制
ガードレール機構	標準的な安全対策	入口の分類器がサイバー・生物・化学等を検知し振り分け
フォールバック	なし	危険判定時はOpus 4.8へ応答を格下げ
料金（概算）	Fable比でおよそ半額水準	入力 $10／出力 $50（100万トークンあたり）
主なユースケース	汎用コーディング・推論・対話	高度な防御的セキュリティ／重要インフラのコード保全
課題	最先端のサイバー能力には届かない	字句ベースの誤検知で正規業務まで阻害

【図解】技術アーキテクチャ・関係図

【考察】ITエコシステム・業界へのインパクト

この一件は、単なる「新モデルの使い勝手が悪い」という話に収まらない。AI業界全体が向き合うべき設計思想の分岐点を映し出している。

第一に、「ガーディアンモデル方式」が一つの標準になりつつあるという点だ。本体モデルの両脇に番人役のモデルを置き、入出力を監視させる二段構えのアーキテクチャを、複数の大手が模索し始めている。IBMのフェローKush Varshney氏は、Mytho

sモデルをこうしたガーディアンモデルでAnthropicが挟み込んでいることを歓迎しつつ、IBMのGranite Guardianのような小型で構成変更可能な安全モデルとの比較が重要になると述べている。安全機構そのものが、これからのモデル競争の評価軸になっていく。

第二に、字句ベースの限界が「アライメント税（安全コスト）」として可視化されたことだ。守りを字句で固めると、攻撃者は言い換えで容易にすり抜ける一方、正直に話す正規ユーザーほど引っかかる。あるアナリシスは、すべてのサイバー系クエリを一律で弾く分類器は、国家支援のハッカーとバグバウンティ研究者を同一視してしまい、正当な作業がブロックされる一方で、洗練された悪意ある者は結局回避策を見つけると指摘している。フィルタが粗いほど、皮肉にも“正直者だけが損をする”構図になりかねない。

第三に、防御側の人材流出リスクだ。Fableは本来、防御的セキュリティ用途で最も頼れる公開モデルになるはずだった。そのモデルが日常業務を理解しないなら、研究者は別のツールへ流れる。これは、世界最高性能の工具を買ったのに、安全カバーが固すぎてネジ一本締められない、という状態に近い。

ただし、業界には冷静な見方もある。Suiche氏は、まだ黎明期であり、Anthropicや他のフロンティアモデル企業が新世代のサイバーセキュリティ企業と協業を深めるなかで、ガードレールは時間をかけて進化していくはずだと述べている。リリース直後は広めに弾いておき、運用データを見ながら緩めていく──新しい関所が、通行実績を積みながら検問の精度を上げていくのと同じプロセスだ。

なお、Anthropicはモデル内蔵のガードレールとは別に、審査を通過したセキュリティ専門家向けに制限を緩和するCyber Verification Programも用意している。OpenAIも同種の「Trusted Access for Cyber」を持つ。実力の高いモデルを「誰に」「どこまで」開くかという身元確認のレイヤーは、今後の業界標準として定着していく可能性が高い。

まとめ

今回の論争が突きつけたのは、単純だが重い事実だ。現在のAIは、単語は弾けても文脈は守れない。そして、脆弱性を見つける力と悪用する力は同じ刃の表裏であり、設計上きれいには切り離せない。

Fable 5のガードレールは、過剰だと批判されている。だがその過剰さは、Mythosという刃物の切れ味が本物であることの裏返しでもある。50ドルで27年物の脆弱性を掘り当てるモデルを無防備に解き放てば、損害は防御側の不便どころでは済まない。

問われているのは「ガードレールを付けるか否か」ではなく、「字句で弾く粗い検問を、いつ意味で見分ける精密な検問へ進化させられるか」だ。攻撃者と防御者を同じ単語で一括処理している限り、すり抜けるのは前者で、足止めされるのは後者である。この非対称をどう解くかが、AIセキュリティの次の主戦場になる。