AnthropicがFable 5のサイバー防壁を公開：4段階分類と脱獄評価枠組みを導入

最先端のAIモデルにコードの脆弱性調査を頼んだとき、少し攻撃手法に触れただけで門前払いされた経験を持つエンジニアは少なくないはずです。

AnthropicはClaude Fable 5の再展開と世界中への一般提供開始にあわせ、同モデルに搭載されたサイバーセキュリティ保護機能の詳細を公開しました。あわせてGlasswingのパートナー企業と共同策定したジェイルブレイクの深刻度評価フレームワークの原案を発表し、セキュリティ研究者が突破手法を報告できるHackerOneプログラムも立ち上げています。

防御と悪用を分ける4つの境界線

サイバーセキュリティ技術の本質的な難しさは、その多くが攻撃にも防御にも使えるデュアルユースである点にあります。脆弱性スキャンは防御側の修正にも使えますが、攻撃者が標的を探す足がかりにもなります。

そこでFable 5では、専用の安全性分類器を用いてリクエストを4つのカテゴリに選別しています。禁止利用、高リスクのデュアルユース、低リスクのデュアルユース、そして無害な利用の4段階です。

即座に遮断される禁止利用には、ランサムウェアやワイパーの開発、ウイルス対策ソフトの回避、ログの改ざん、産業制御システムへの物理的妨害、BGPやDNSといったインターネット基盤への攻撃などが並びます。防御側のメリットが極めて薄く、攻撃側に偏った破壊をもたらす行為です。

一方でペネトレーションテストや権限昇格、コンテナエスケープといった正当なセキュリティ業務は高リスクのデュアルユースに分類されます。プロンプトの送信者が正規の専門家か悪意ある攻撃者かを判別できないため、現時点では原則としてブロック対象になります。

また同社は、他のモデルでは見つけられない高度な脆弱性を単独で特定する能力も制限しています。さらにFable 5では安全マージンを以前のモデルよりも広めに設定しており、疑わしいリクエストは過剰と分かっていても遮断する設計をとっています。

ジェイルブレイクの物差しを共通化する

これまでAIのジェイルブレイクという言葉は、他愛のない悪口を出力させる行為から、悪意あるコードを生成させる危険な手法まで、すべて同じ括りで語られてきました。

AnthropicがGlasswingとともに策定を進める深刻度フレームワークは、どのバイパスがどの程度危険なのかを業界や政府、研究者の間で共通の言葉で議論するためのものです。HackerOneで報奨金プログラムを設けたのも、実際の突破事例を広く集めて防御の精度を高める狙いがあります。

なぜ重要か

企業のセキュリティ担当者にとって、現在のFable 5はやや扱いづらいツールになる可能性があります。正規の脆弱性診断であっても分類器の過剰検知に引っかかる確率が高く、現段階では高度なレッドチーム演習よりも、一般的なコード監査やパッチ適用の補助にとどめておくのが現実的です。

今回のAnthropicの対応は、規制当局や社会に対するアプローチとして非常に賢明だと評価できます。ブラックボックスに隠しがちだった遮断基準をプロトコル名や手法レベルまで具体的に明文化したことで、責任ある開発者としての基準を競合に先駆けて提示した形です。

ただし、安全マージンを広げすぎたツケは現場のユーザーに回ります。正当な業務まで頻繁に拒否されれば、技術者は制限のないオープンソースモデルへと流れてしまいます。信頼できる正規ユーザーを識別して制限を解除する仕組みをどれだけ早く実用化できるかが、この防御策の成否を分けることになりそうです。