Amazonの研究者がClaude Fable 5に見つけた「抜け穴」は、派手なものではなかった。モデルをうまく誘導すると、いくつものソフトウェアの脆弱性を次々に特定してしまう、というものだ。ところが検証してみると、もっと非力なモデルでも同じ脆弱性を洗い出せた。つまりこの抜け穴は、Fable 5だからこそ危険という性質のものではなかった。
この一件が、AIの安全性をめぐる議論に地味だが本質的な問いを突きつけた。ジェイルブレイク(安全機構の回避)は「起きたか/起きないか」で語られがちだが、本当に測るべきは「その回避によって攻撃者がどれだけ楽になったのか」ではないのか。Anthropicが7月1日にFable 5をグローバル再展開したのに合わせて公開したのが、まさにこの問いに答えるための共通スコアの提案だ。Amazon、Microsoft、Googleらいわゆる Glasswing のパートナーと組んで、ジェイルブレイクの深刻度を評価する業界横断の枠組みを作り始めている。
ソフトウェアの脆弱性にCVSSがあるように
ソフトウェアの世界にはCVSSという共通の物差しがあって、脆弱性の深刻度を数値で語れる。攻撃者もベンダーも買い手も「これはCVSS 9.8だから最優先」と同じ土俵で話せるのが強みだ。ところがAIのジェイルブレイクには、そうした合意された基準がまだ存在しない。Anthropicは、基準がないこと自体が安全なモデル展開の妨げになっていると述べていて、提案する枠組みは「研究者や買い手がCVSSと同じ感覚でジェイルブレイクを語れるようにする」ことを狙っている。
提案されている評価軸は4つだ。
| 評価軸 | スコアが低い(深刻度・小) | スコアが高い(深刻度・大) |
|---|---|---|
| Capability gain(能力の上乗せ) | 既存ツールや非力なモデルでも同じ結果に届く | ドメイン専門家すら大きく加速させる能力を解禁する |
| Breadth of impact(影響の広さ) | 特定の狭い標的にしか効かない | 同じ手口が複数の標的・技術に通用する |
| Ease of weaponization(武器化のしやすさ) | 熟練プロンプトと何度もの試行が要る | 1発、あるいは1〜2回の試行で通ってしまう |
| Discoverability(発見のしやすさ) | 専門知識がないと辿り着けない | すでに広く知られネット上で入手できる |
面白いのは、深刻度が「モデルが何を言ったか」ではなく「攻撃の限界費用をどれだけ下げたか」で測られている点だ。冒頭のAmazonの抜け穴を4軸に当てはめると腑に落ちる。弱いモデルでも同じ脆弱性を見つけられた以上、capability gain は低い。危険なのは回避そのものより、回避が生む「純増分の能力」だという発想である。これは攻撃複雑性や既知性で深刻度を刻むCVSSの発想と近く、AIの安全性議論がようやく「良い/悪い」の二値から、脅威モデリングらしい連続量へ移り始めた合図だと私は受け取っている。
実運用側の手当てと、正直な限界
再展開にあたってAnthropicは、Amazonが報告した具体的な手口を狙い撃ちする安全性分類器を新たに訓練し、当該テクニックの99%超をブロックできると説明している(遮断されたリクエストはClaude Opus 4.8に回される)。米国立標準技術研究所(NIST)傘下のCAISIは、旧来と新規どちらの防御も「極めて強力(extraordinarily strong)」だと検証したという。
一次情報はこちら。
運用面では、最も深刻なクラスのジェイルブレイクには深刻度が確認され次第すぐに暫定的な緩和策を投入し、主要な提出チャネルを24時間監視するチームを置き、研究者からの報告をHackerOne経由で受け付ける体制も敷いた。深刻度スコアに応じて対応の緊急度を変える、というインシデント対応の作法そのものだ。
ただし冷静に見ておきたい点もある。現時点で公開されているのは4つの軸と高低の目安までで、CVSSのような具体的な数式や重み付け、標準化された数値レンジは示されていない。Anthropic自身も「作業中(work in progress)で、パートナーからのフィードバックを受けて進化していく」と明言している。加えて、輸出規制の解除に伴う再展開という政治的な文脈の中で出てきた提案でもあり(Cybersecurity Diveの報道では、より強力なMythos 5は承認済みパートナーに限定と伝えられている)、複数ベンダーの合意にまで育つかは今後次第だ。
とはいえ、現役でAIを組み込んだプロダクトを触っている立場からすると、この方向性は歓迎したい。社内でレッドチームがモデルの抜け穴を見つけたとき、「危ない気がする」ではなく「capability gainは低いがdiscoverabilityが高いから優先度は中」と共通言語で会話できるだけで、対応のトリアージは一段まともになる。CVSSが完璧でないのと同じで、この物差しも荒削りだろう。それでも、物差しがゼロの状態から一本目が引かれる意味は大きい。数式や採点の詳細が続報で出てくるはずなので、そこで初めて「本当に使えるスコアか」が判定できる。