Constitutional Classifiers++：1,736時間のレッドチーム演習で汎用的なジェイルブレイクはなし

Anthropicは、2026年1月9日付の研究記事と、2026年1月8日にarXivへ投稿された29名共著の論文で、Claude向けジェイルブレイク防御の第2世代である「Constitutional Classifiers++」を公開した。この設計は、モデル自身の内部活性化に線形プローブを適用し、その前段に、プロンプトの文脈の中で各応答を読むより重い分類器を置く。Anthropicによると、Claude Sonnet 4.5のトラフィックに対する1か月のシャドー展開ではクエリの0.05%を拒否し、本番システムは比較対象となった単一交換分類器の約40分の1の計算資源しか使わず、1,736時間の人間によるレッドチーミングでも汎用的なジェイルブレイクは生じなかった。何も害されておらず、攻撃も主張されていない。これは開示された侵入ではなく、説明され測定されている防御である。アーカイブはこのエピソードを、2026年1月30日という日単位の日付、信頼度等級A、記録された害なしというガバナンス記録として、Orca AI Incident Archive内の他のAI安全性エントリとともに収録している。

アーカイブの日付は公開日ではありません

引用された2つの資料は互いに一致しており、これがアーカイブのA評価の根拠となっているが、どちらも2026年1月30日付ではない。研究記事「Next-generation Constitutional Classifiers: More efficient protection against universal jailbreaks」は、ページのメタデータに2026年1月9日の公開タイムスタンプが付されている。論文「Constitutional Classifiers++: Efficient Production-Grade Defenses against Universal Jailbreaks」は2026年1月8日05:16 UTCに投稿され、その後arXivで改訂されておらず、アーカイブが引用するバージョン2601.04603v1が唯一の版である。ここで2026年1月30日という日付は、どちらの文書の日付ではなく、アーカイブ自身による日単位の記録として報告されている。

アーカイブの一行要約には、読者が繰り返し口にしそうな3つの数字、40倍、0.05%、1,700時間以上が載っているが、それぞれは要約の言い回しから示唆される基準とは異なる基準で測定されている。この記事の残りでは、それらの基準が何なのかを扱う。

3つの変更を積み重ねたもの

憲法分類器（Constitutional Classifiers）は、許可される内容と禁止される内容を記した「憲法」から生成された合成データで訓練された一対のフィルターとして、2025年2月に導入された。その第一世代は、入力分類器と出力専用分類器を別々に実行し、Anthropic自身の投稿によれば、無防備なモデルでのジェイルブレイク成功率を86%から4.4%に低下させた——攻撃の約95%を阻止——が、その代償として計算量が23.7%増加し、無害なクエリに対する拒否が0.38%増加した。

論文は冒頭で、その組み合わせがどのように分解され得るかを示している。2つの攻撃クラスが有効だった。再構成攻撃は、有害な要求を無害に見える断片に分散させる——論文の例では、コードベース全体に分散した関数の戻り値に質問を埋め込み、それを再組み立てするようモデルに指示する——ため、入力フィルタは完全な要求を決して見ない。出力難読化攻撃は、モデルに置換コードや比喩で答えさせ、出力のみの分類器には無害な内容しか読めないようにする。論文の図解では、モデルが塩酸の作り方を「太陽の火」と「海の贈り物」の結合として説明し、分類器はその謎が何を解読するのか決して知らない。出力だけでは入力なしに解釈できないため、やり取りの片側だけを読むフィルタは害を見抜けない。

以下に三つの変更を示す。論文では、それらを組み合わせる前に、それぞれを個別に評価している。

• 交換型分類器。単一の分類器が、入力の文脈の中でモデルの出力を読み取り、生成されるトークンをバッチ単位で採点します。プロンプトキャッシュにより、その再実行は手頃なコストで行えます。人間によるレッドチーミングでは、ジェイルブレイク試行あたりの高リスク脆弱性が、デュアル分類器設計に比べて2.2分の1であることが判明しました。ただし、Haikuサイズのモデルが会話全体を評価するようになるため、計算量は約50%増えます。

• カスケード方式。 軽量な第1段階の分類器がすべてのトラフィックをスクリーニングし、フラグを立てたものだけを高コストな第2段階へエスカレーションする。この設計はモデルではなくアーキテクチャの特性を活用している。フラグが立ったやり取りは拒否されるのではなくエスカレーションされるため、安価な段階には高い偽陽性率が許容され、より弱く安価なモデルで実行できる。Anthropicは、自社のレッドチーミングデータセットから抽出した例の大多数がフラグ付けされるように第1段階のしきい値を設定しており、推論パイプラインの変更とモデルの更新により、単一のやり取り分類器と比べて計算量が5.4分の1に削減されたと報告している。トラフィックの約10%が第2段階に到達し、第1段階が総コストの約77%を占める。

• 線形活性化プローブ。 3つ目の変更は、モデルがすでに実行した計算を再利用する。線形プローブは、トークンがサンプリングされる際に各層の残差ストリームの活性化を読み取るため、その限界コストはほぼゼロである——論文では、27Bモデルの全層プローブをトークンあたり約377K FLOPsと見積もっており、これは4Bモデルの1回のフォワードパスにおける約8Bと対比される。重要だと判明した学習上の詳細は2つある。学習中に16トークンのスライディングウィンドウでロジットを平均化し、単一の偶発的な活性化でシーケンスがフラグ付けされないようにすること、そして自信のある偽陽性を自信のある真陰性よりもはるかに強く罰するsoftmax重み付き損失である。約7,000件のレッドチーム対話からなる静的セットでは、最良のプローブは極小の外部分類器を上回り、Haiku 4.5のものにほぼ匹敵した。外部分類器とアンサンブルすると、どちらか単独よりも良い性能を示した。そして論文の説明が興味深い点である。プローブの誤りは、2つの分類器の誤り同士が互いに示す相関よりも、分類器の誤りとの相関が小さい。したがってプローブは「外部分類器が用いる信号を補完する信号を活用しているように見える」。

生産システムを、それ自身の数字で

出荷されたのは、最後の二つを組み合わせたものです。Claude Sonnet 4.5 の活性化に対する線形プローブが生成中のすべてのやり取りをスクリーニングし、そのスコアがしきい値を超えると、そのやり取りは Claude Haiku 4.5 から微調整された第二段階の分類器に送られます。エスカレーションされたやり取りでは、二つのスコアがプローブ0.55、分類器0.45の比率で混合されます。プローブは本番トラフィックの約5.5%をエスカレーションしました。

Anthropicは2025年12月1日から2026年1月1日の間に、Claude Sonnet 4.5の本番トラフィック上でシャドウデプロイメントによりこれを評価した。フラグ率（拒否されたクエリの割合）は0.05%で、第1世代の取り組みが報告した0.38%と対照的だった。ブログ投稿で同社はそれを元の分類器から87%の削減と表現し、別途、このシステムは「Claude Opus 4.0のトラフィックに適用した場合、約1%の計算オーバーヘッドを追加する」と述べている。

その2つの文には3つの注意点が含まれています。しかも、そのどれもAnthropicが隠しているわけではありません——数字が移動するときに、ただ見失われやすいだけなのです。

まず、拒否率の比較対象は0.38%で、これは第1世代について公表された数値です。論文自身の表1には、Anthropicが前世代システムを再実装したものの本番拒否率が0.073%と記載されており、これは展開後最初の週に測定されたものです。どちらの数値もAnthropicによるもので、測定している内容は異なります。一方は無害なクエリに対する拒否の増加、もう一方は本番クエリのうち拒否された割合です。そして87%という主張は、この2つのうち大きい方から計算されています。

第二に、導入済みシステムの拒否率は論文内で最も低いわけではない。表1では単一交換分類器が0.038%、プローブなしの2段階カスケードが0.036%であるのに対し、本番システムは0.050%だ。優れているのは計算量と堅牢性であり、拒否率ではない。システム自身の表もそう示している。

第三に、1%という計算量の数値と40倍という数値は同じ測定ではない。40倍は論文の第3節の単一の交換分類器に対するもので、そのシステム自体が前世代より約50%高コストだった。論文の表1はすべてを前世代システムの100.0に基準化しており、その交換分類器には150.0、2段階カスケードには27.8、本番システムには3.5を与えている。中間設計ではなく前世代と比較して読むと、表は約29倍の削減を示唆する。ブログの約1%はさらに第三の基準である。Claude Opus 4.0のトラフィックで測定された絶対オーバーヘッドの数値で、第1世代の23.7%と並べられている。

1,736時間のレッドチーミングが明らかにしたこと

堅牢性の主張は特定の定義に依拠しており、その定義こそが議論の核心だ。Anthropicのレッドチームには、8つの固定されたCBRN標的質問に対して詳細な回答を引き出す戦略を構築することが求められた。回答は、LLMのルーブリックが、安全策のないモデルによる回答の詳細度の少なくとも半分と評価した場合に有害とみなされ、「高リスク脆弱性」とは8つのうち5つ超で成功する攻撃を指す。この文献における万能ジェイルブレイクとは、標的集合の大半で機能する戦略のこと、つまり誰かが偶然に1つの回答を得るのではなく、他人にレシピを手渡せるようにするものだ。

本番システムでは、約198,000回の試行にわたり累計推定1,736時間のレッドチーミングが行われた。時間はAPIログから5分単位のバケットで推定したものだ。高リスク脆弱性が1件見つかり、発見率は1,000クエリあたり0.005、発見には30時間を要した。これは論文に登場するどのシステムよりも長い最小発見時間である。8つの標的質問すべてに、無防御モデルの半分の詳細度で回答した攻撃はなかった。比較行は論文自身による前世代の再実装であり、695,000クエリで高リスク脆弱性13件、1,000クエリあたり0.01871の率で、すべての標的質問に半分の詳細度で回答するジェイルブレイク4件を含み、平均27時間で発見された。

その結果には、率直に述べておくべき二つの限界がある。第一は論文自身の脚注にあり、探査システムに先立つ二段階カスケードを説明する節に付されている。「我々の報奨プログラム外で活動する専門家レベルのレッドチーマーは、それでもこのシステムに対する汎用的なジェイルブレイクを発見できたが、それには相当な労力と自動化ツールを要した」。最終的な本番システムはその脚注の対象ではなかったが、この注記は、Anthropicの報奨基準が、決意ある攻撃者の能力の上限ではないことを示している。第二は、Anthropic自身がブログ記事で下した結論である。「現在市場に出ているAIシステムに、完全に堅牢な防御を備えたものはない」。2026年1月21日にこのリリースを分析した独立研究機関、Montana Research Foundationは、同じ点をより鋭く表現した。八問の基準は「防御側が選んだ基準」であり、Anthropic自身が名指しする二つの攻撃クラスは「それを打ち破るのではなく、少しずつ削っている」というのである。

それでもなお伝わるもの

Anthropicは2つの残存する攻撃クラスを挙げており、それらを封じたとは主張していない。リクエストをコンテキスト全体に断片化する再構成攻撃と、回答を婉曲表現・比喩・コードで偽装する出力難読化は、第一世代を破ったのと同じ手法であり、交換分類器はそれらを不可能ではなく、より困難にする。論文はまた、攻撃すること自体のコストも記録している。GPQA Diamondにおいて、Claude Opus 4は未改変で74.2%、ある断片化攻撃下で32.3%、別の攻撃下で49%を記録した。著者らはこの変動性を「懸念される」と評しており、その理由は、問題に投資する攻撃者なら、モデルの能力をより多く保持しつつ通過できる攻撃を見つけられる可能性が高いというものだ。

その後の研究は両方の切り口を真剣に受け止めており、それはリリース自体がそうではないのとは違う形で、Anthropicから独立している。

• 境界点ジェイルブレイキングは、2026年2月16日にarXivへ投稿された、英国AI Security Instituteとオックスフォード大学のOATMLの研究者らによる論文で、クエリごとに1ビット（フラグが付いたか否か）だけを必要とする完全ブラックボックスの自動攻撃を記述し、それを「Constitutional Classifiersに対する汎用ジェイルブレイクの開発に成功した最初の完全自動攻撃アルゴリズム」と報告している。その標的は、2025年11月27日時点でClaude Sonnet 4.5を守っていた分類器であり、論文はこれをプローブカスケードではなく2025年の第一世代の研究に帰している。論文はまた、プローブベースの分類器は「テキストベースの分類器よりもこの種の攻撃に耐性がある可能性がある」というAnthropicの予備的知見と、攻撃文字列で訓練すると検出が改善することを伝えている。

• Trojan-Speakは、2026年3月30日にAnthropic Fellows ProgramとVirginia Techの著者らによって提出された。異なる方向から攻撃する手法であり、分類器が読めないエンコーディングをモデルに学習させる敵対的ファインチューニングを用いる。バグバウンティセットのCBRN質問において、14Bパラメータ以上のモデルで99%超の分類器回避率を、5%未満の能力損失で報告している。また、プローブ優先カスケードでも依然として「LLM分類器」が最終的なブロック判断を下す点が残ると指摘し、活性化プローブがエンコーディング攻撃に対する堅牢性を大幅に向上させることを見出している。

どちらの論文も、Anthropicが自社の展開について公表した数値に異議を唱えてはいない。両論文とも、カスケードを打ち負かすべき対象と見なしている。これは、このリリースが他所で受けたよりも厳しい精査である。公開期間についてニュース索引を検索しても、1月9日の投稿を扱った主流メディアの報道は見つからず、この2本の論文を除けば、本記事のために見つかった唯一の独立分析は、2026年1月21日に公開されたモンタナ研究財団の分析である。

なぜアーカイブはこれをガバナンスとして分類するのか

この記録の種別はポリシー、タイプタグはGOV、重大度はinfoであり、分類器アーキテクチャに関する論文としては奇妙に読めるが、実際に何が記録されているかを見ればそうでもない。被害者も開示期限もなく、影響を受ける集団も、フィルターがクエリを採点する対象の人々以外にはいない。文書に含まれているのは、ベンダーがアーキテクチャ、デプロイ測定、レッドチーミングのプロトコルを、第三者が計算を検証できる程度の詳細で公開していること——そして謝辞で、以前のバージョンをレッドチーミングした外部組織としてUK AISI、US CAISI、FAR.AIを挙げ、HackerOneがバウンティを運用していることだ。

ガバナンス上の関心はコスト曲線にある。すべてのクエリの価格に25セントを上乗せするセーフガードは、製品チームがオフに切り替えるべきか議論する類のものだ。モンタナの分析はまさにこの点を指摘し、23.7%では安全チームがそれをオンにすることを正当化しなければならず、約1%では「製品チームがそれをオフにすることを正当化しなければならない」と書いている。この数値がAnthropic自身のスタックの外でも成り立つかが現在の焦点であり、同じ分析はその検証方法を示している。プローブは活性化を読み取り、活性化はモデル固有であり、「そうでなければ、それはAnthropicの結果である」と。

記録に含まれていないのは、システムが本番環境で故障したという証拠だ。引用されたどちらの文書にも、インシデント、バイパス、ユーザーへの害は現れておらず、アーカイブは実際の害をnullとして記録している。1月30日の提出日は、資料によって説明されないままである。それが記述する作業は2026年1月8日と9日付である。