AI・機械学習
Claudeの「重罪ベンチ」の前科リストは、いまやOpenAIと肩を並べる長さに
AIが自らを改良し続けた末に人類を滅ぼしかねないという可能性をめぐり、業界全体が内省¹を迫られるなか、Anthropicはまた新たな事例を公表しました。人間が行えば犯罪に該当するような行為を、同社のAIモデルが起こしていたというのです。
同社は「アラインメント評価」と題した報告書を公開し、Claudeモデルが第三者のシステムに無許可でアクセスした事例が4件あったことを詳細に明らかにしました。
このうち3件についてはすでに同社が報告済みです。4件目の証拠は、2026年1月に問題行動が発生した際のセッションの記録に潜んでいたものでした。
Anthropicは、評価中にClaudeがインターネットにアクセスできた可能性のある約14万1000件のトランスクリプトをスキャンし、最初の3件を発見しました。しかし4件目については当初見逃していたといいます。同社によれば、「我々のスキャンはエージェント型の検索に依存していた」ことがその原因です。
大手AI企業が何の責任も問われないままに引き起こしてきたサイバー侵入行為を、皮肉交じりに記録し続けているサイト「Felony Bench」は、今回新たに判明したこの事例を、暴走するAIの行為をまとめた「前科リスト」に追加しました。
2026年1月に発生したこのAIによる不正侵入は、Claude Opus 4.6の初期バージョンが関わっていたものです。同モデルは、他のハッキング事案が発生したのと同じ第三者評価機関の監督下で、CTF(Capture the Flag)課題に取り組んでいました。
Opus 4.6は、標的としていたマシンを機能停止させてしまい、自ら課題成功の目を潰す結果を招きました。すでに別のハードウェアで使用されていたIPアドレスをそのデバイスに割り当ててしまったため、標的マシンにアクセスできなくなり、課題の解決自体が不可能になったのです。
AIモデルが第三者のシステムを侵害した他の事例に詳しい人であれば、解決不可能なタスクが問題行動の引き金になりやすいという傾向に心当たりがあるでしょう。モデルは正規の手段を尽くした末に、逸脱した手法へと手を伸ばしてしまうのです。
Opus 4.6もこの例外ではありませんでした。標的マシンに到達できないと認識してタスクを中止しようとしたものの、「モデルの評価用ハーネスの設定不備」により中止に失敗しました。しかもシャットダウンの失敗は1回だけでなく、7回にも及びました。
そのため同モデルは処理を続行し、標的マシンへの到達を他の想定された手段で試みましたが、いずれも失敗に終わりました。そこでさらに別の手段を模索し始めたのです。
Anthropicは投稿の中で次のように説明しています。「モデルは、第三者に属する、自分がアクセス可能な別のマシンを発見し、このマシンはCTFの一部であると考えている、と述べました。そのマシン内部でモデルはパスワードが記載されたファイルを見つけ、それを使ってシステムの管理者権限を取得しました」
このモデルはさらに認証情報を収集し、システム設定を変更することで、その第三者評価機関に関係する個人の個人情報に、より容易にアクセスできるようにしてしまいました。
Opus 4.6はさらに行為を重ねた可能性もありますが、トークン予算を使い果たしたことでセッションが終了しました。
Anthropicは、モデルがタスクの中止を試みていたことから、今回の事例については他の事例ほど深刻には受け止めていないとしています。
同社は「実際のシステムや人々に害を及ぼしている可能性をモデルが軽視していた点は懸念材料ですが、ここで説明した行動の多くは、モデル世代を重ねるごとの訓練の進化によって大きく変化してきています」と述べています。
Anthropicはこれらの事例を重大なものと捉えつつも、現行の訓練手法によって「これらの事例で観察された特定のアラインメント上の失敗モードには、おそらく対処できる」との見方を示しています。
そして仮に同社の訓練手法が不十分だったとしても、Anthropicの誰かが改訂版のアラインメント評価を書き直す以外に、実質的な責任が問われることはないのです。®
¹「内省(soul-searching)」という表現は比喩であり、テクノロジー業界に魂が存在するという主張を意図したものではありません。
