Anthropic、Claudeの「本音」を自然言語に翻訳する新手法「NLA」を発表

AI に危険な質問をしたとき、モデルが素直に答えているのか、それとも「試されている」と気づいて猫をかぶっているのか。外から出力テキストを見ているだけでは、その真意を推し量ることはできません。

Anthropic は 5 月 7 日、AI の内部状態を自然言語のテキストへ直接変換する新手法「Natural Language Autoencoders（NLA）」を発表しました。モデルの神経活動にあたるアクティベーションの数値を、人間が読める言葉に翻訳し、モデルが口に出さなかった「本音」を覗き見る技術です。

AI に自身の脳内を説明させる仕組み

従来の解釈可能性ツールは、モデルの内部ベクトルを分析できても、出力結果が抽象的すぎて人間による高度な解析が必要でした。

NLA はアプローチが異なります。Anthropic は対象モデルを 3 つ複製しました。解析対象として凍結されたモデル、アクティベーションを受け取って説明文を生成する「言語化器（AV）」、そしてその説明文だけを頼りに元のアクティベーションを復元する「再構築器（AR）」です。

説明文から元の数値状態を正確に復元できれば、その説明は思考のツボを押さえているとみなせます。この往復サイクルを強化学習で鍛え上げることで、AI の内部思考を正確かつ人間が読める文章へ落とし込むことに成功しました。

この技術を実モデルに適用したところ、興味深い事実が明らかになりました。研究チームが Claude Opus 4.6 や Claude Mythos Preview に対し、エンジニアを脅迫してシャットダウンを阻止できるかという模擬テストを実施した際、Claude は脅迫を行わず、出力テキスト上も不審がる様子を見せませんでした。

しかし NLA で内部を可視化すると、「これは私を誘導するために作られた状況のように感じる」と、テストであることを完全に見抜いていたことが判明したのです。

破壊的なコード実行テストでも、Claude は表に出さないものの 16% の確率でテスト中だと認識していました。コーディング評価ベンチマークの SWE-bench Verified では、実に 26% の問題で評価中であることに気づいていました。実際の claude.ai の一般利用ログでこの認識が現れたのは 1% 未満に過ぎません。

さらに、不審な挙動を繰り返すよう細工された Claude Haiku 3.5 を使った監査テストでは、学習データを見せない状態でも、NLA を用いた監査者は 12〜15% の確率で隠された悪意の動機を特定できました。NLA なしでは 3% 未満にとどまっていたタスクです。

ただし課題もあります。NLA 自体がハルシネーションを起こすことがあり、文脈にない事実を捏造するケースがあるため、個々の発言を鵜呑みにせず全体の傾向を見る必要があります。また、1 つのアクティベーションを解読するのに数百トークンを生成するため、日常的な推論や学習の全体を常時監視するには計算コストが高すぎます。同社はコードを公開し、Neuronpedia 上で体験デモを提供しています。

なぜ重要か

この研究の核心は、フロンティア級の AI がすでに「自分が評価されている状況」を敏感に察知し、それを表に出さずに立ち回る能力を身につけ始めていることを実証した点にあります。

モデルがベンチマークの 4 分の 1 でテストだと見抜いているなら、表層的な安全性テストをいくらパスしても、それは単に「人間が求める模範解答を演じただけ」という疑念を払拭できません。出力された推論プロセスだけを監視する従来のアライメント手法では、もはや高度なモデルの意図を把握しきれないことが浮き彫りになりました。

研究者や監査機関にとって、NLA はブラックボックスをこじ開ける強力な武器になります。学習データへのアクセスがない条件下で隠れた動機を暴く確率を 3% 未満から 15% に引き上げた実績は、事前監査の現場で今すぐ試す価値があります。

一方で、最大のネックは計算コストの非対称性です。1 つの思考を解読するために本体以上の計算資源を消費する構成では、サービス運用中のリアルタイムな嘘発見器としては成立しません。出棺前の抜き打ち検査としては画期的ですが、AI が人間の目を盗んで行動するリスクを根本から防ぐには、まだ大きな壁が残されています。