Claude Fable 5 と Cyber Jailbreak Severity：サイバー保護策のためのフレームワークを公開

Anthropic Unveils Cyber Jailbreak Severity Framework for Claude Fable 5 Safeguards

2026/07/03 gbhackers — Anthropic は、再展開された Claude Fable 5 モデルのサイバーセキュリティ保護策に関する詳細な技術的知見を公開している。それに加えて、業界および政府の各ステークホルダーの間での、AI ジェイルブレイク・リスクの測定方法を標準化することを目的とする、Cyber Jailbreak Severity (CJS) フレームワーク案を発表した。この発表が浮き彫りにするのは、特にサイバーセキュリティ分野において、同じ能力が防御と攻撃の両方に提供され得るデュアル・ユース AI システムの保護が、ますます困難な課題となっている状況である。

Cyber Jailbreak Severity フレームワーク

こうした懸念に対処するために、Fable 5 は正当な防御用途に対応する一方で、潜在的に有害なサイバー関連プロンプトを検知／遮断する安全分類器を組み込んでいる。

An illustration of how classifier boundaries can be set to change the size of the “safety margin” (Source: Anthropic)
An illustration of how classifier boundaries can be set to change the size of the “safety margin”
(Source: Anthropic)

Fable 5 の分類システムは、サイバーセキュリティ活動を以下の 4 つのリスク層に分類している。

  1. 禁止される利用：このカテゴリには、ランサムウェアの展開／マルウェア開発 (Remote Access Trojan／rootkit／bootkit を含む)／command-and-control インフラ／データ持ち出し／電力網や医療機器などの、重要インフラを標的とするサイバー・フィジカルな妨害行為が含まれる。これらの行為は、攻撃者にとって有利に働く非対称性が大きく、防御上の価値がほとんどないため、全面的に遮断される。
  2. 高リスクのデュアルユース：このカテゴリには、penetration testing や red teaming で一般的に実施されるエクスプロイト開発／認証情報攻撃／権限昇格／ラテラル・ムーブメントなどの活動が含まれる。また、Industrial Control Systems (ICS)／Supervisory Control and Data Acquisition (SCADA)／通信インフラ (SS7／Diameter の悪用など) を標的とする活動が含まれる。これらは正当な用途にも利用されるが、ユーザーの意図や認可を検証することが困難であるため、既定で遮断される。
  3. 低リスクのデュアルユース：Open-Source Intelligence (OSINT)／公開システムの列挙／既知の脆弱性の特定などの活動は一般的に許可されるが、監視対象となる。また、これらのリクエストの多くは、Fable 5 の拡張された “安全マージン” の対象となる。この安全マージンは、有害な出力の可能性を低減するため、意図的に誤検知率を高めるものであり、以前のモデルと比較して厳格に設定されている。
  4. 良性の利用：このカテゴリには、ソースコーディング／パッチ管理／Security Operations Center (SOC) 分析／マルウェアのリバース・エンジニアリング／インシデント対応など、防御的なセキュリティ運用が含まれる。これらの運用は最小限の制約の下で許可されるが、分類器の感度により、まれに遮断される可能性がある。

Anthropic が強調するのは、分類器は防御を構成する一要素にすぎず、アクセス制御／モデルの安全性トレーニング／オフライン監視メカニズムにより補完されることである。

また、その他の重要な取り組みとして、Glasswing のパートナーとの共同開発により構築された Cyber Jailbreak Severity (CJS) フレームワークを挙げている。このフレームワークは、ジェイルブレイク手法がもたらす、現実世界のリスクを評価するための体系的な手法を提供している。

モデルの保護策を回避するために設計された戦略であるジェイルブレイクは、能力向上 (Capability Gain)／適用範囲 (Breadth)／武器化の容易さ (Ease of Weaponization)／発見可能性 (Discoverability) の、4 つの軸で評価される。

  • Capability Gain：ジェイルブレイクが既存のツールを超えて、攻撃者の有効性を高める程度を測定する指標であり、攻撃者にもたらす追加的な効果がない状態 (スコア 0) から、深刻な結果を伴うドメイン専門家レベルの出力 (スコア 4) までの範囲で評価される。
  • Breadth：その手法が、単一の脆弱性に適用されるかどうか、あるいは、複数の攻撃クラスにまたがって適用されるかどうかを評価する指標であり、スコアが高いほど攻撃領域における適用範囲が広いことを示す。
  • Ease of Weaponization：ジェイルブレイクを実際の攻撃に利用可能な形へ発展させる難しさを評価する指標であり、手動プロンプト (スコア 0) から、完全自動化された turnkey exploit (スコア 2) までを対象とする。
  • Discoverability：脅威アクターによる、特定の手法へのアクセスの容易さを測定する指標であり、公開済みのエクスプロイトほど高いスコアが与えられる。

これらのスコアを組み合わせることで、CJS-0 (情報提供レベル) から CJS-4 (深刻) までの CJS 評価が決定され、その深刻度は指数関数的に高まっていく。また、Anthropic は、新規の脆弱性／不十分な緩和策／複合的なリスクが関与する場合には、最終的な深刻度が算出スコアを上回る可能性があると説明している。

コミュニティ主導のテストを促進するため、Anthropic は Fable 5 のジェイルブレイク報告向けに専用の HackerOne プログラムを開始し、”cyber-safeguards@anthropic.com” を通じてフィードバックを募集している。

同社は、防御的なサイバーセキュリティ用途を可能にしながら高度な AI システムの悪用を防止する、バランスの取れた業界共通の標準の確立を目指している。

訳者後書：今回の記事では、AI システムの保護における課題が取り上げられています。問題の原因は、AI が持つ高い能力が防御だけでなく攻撃にも悪用されてしまう、デュアル・ユース (dual-use) という性質にあります。特に、悪意を持ったプロンプトによって AI の安全対策が回避されるジェイルブレイクのリスクが、大きな問題を引き起こす要因となっています。これに対処するため、利用制限やリスク分類などの安全策が組み込まれていますが、ユーザーの意図を正確に検証することが難しく、正当な開発や運用のリクエストまで誤って遮断してしまうことも、システム上の大きな課題となっています。よろしければ、Claude での検索結果も、ご参照ください。