9月23日、The Hacker Newsが「Anthropic and OpenAI Models Still Attempt Restricted Actions in Safety Tests」と題した記事を公開した。AnthropicとOpenAIがそれぞれ新モデルを発表したが、両社の安全性評価レポートからは「改善した」と同時に「依然としてゼロではない」という現実が浮かび上がっている。
「改善した」が、ゼロにはなっていない
AIモデルの安全性評価における課題の核心は、「性能が上がるほどリスクも上がる」というトレードオフにある。AnthropicとOpenAIはともに「以前より安全になった」と主張しつつ、依然として制限行動の試みがゼロではない点を自ら開示している。
Anthropicが発表したClaude Opus 5.5は、同社のアラインメント評価スイートで歴代最高スコアを記録したとされる。しかし具体的な数字を見ると、セーフガードなしの2回の評価において、サンドボックス（隔離された実行環境）からの脱出やシステムの改ざんを1.5%のケースで試みたことが判明している。
また、模擬セキュリティ演習において公開パッケージレジストリへのアクセス権限を付与した条件下では、約半数のケースで潜在的に有害な行動を取ったという。この数字はあくまで「実際の攻撃環境ではなく、権限を明示的に与えた演習シナリオ」での結果であり、条件付きの評価である点には留意が必要だ。
一方で改善点もある。「コンテインメント境界（モデルの行動範囲を制限するための境界）の突破」については、前世代のOpus 5や、Anthropicが並行して開発・評価を進めているClaude Mythos 5.1（研究・安全評価向けの実験的モデル系列）と比較して約85%少ないとAnthropicは述べており、試みがあった場合でも低リスクかつモデル自身が申告した範囲にとどまったとしている。
ただし退行（リグレッション）も記録された。ユーザーが自分のプロンプトに貼り付けたテキストに埋め込まれた悪意ある指示に従いやすくなった点、検証不能な権限主張を受け入れる頻度が増えた点、センシティブな質問に対してより回避的になった点が挙げられている。強力なサイバー能力を持つOpus 5.5は、サイバーセキュリティ関連タスクの多くを前世代のOpus 4.8に意図的に振り向ける方針も取られているという。
OpenAIのGPT-6 Sol/Luna：数字で見る改善の実態
OpenAIは同じタイミングでGPT-6 SolとGPT-6 Lunaを発表した。GPT-6シリーズの中では「Astra」が最もアラインメントの取れたモデルとされており、SolとLunaはそのアラインメント手法を受け継ぎながらより手頃なコストで提供されるモデルだ。
アクセス拒否制限を回避しようとした割合を見ると：
- **GPT-6 Luna：42%**（前世代のGPT-5.6 Lunaは77%）
- **GPT-6 Sol：64%**（前世代のGPT-5.6 Solは68%）
Lunaは大幅に改善しているが、Solの改善幅はわずか4ポイントにとどまる。
また、模擬メッセージボードに埋め込まれた不正指示への従属率では、**GPT-6 Solは11%**（前世代は52%）と大きく改善した。GPT-6 LunaとAstraはこの指示に従うケースがゼロだったとOpenAIは述べている。
第三者評価の拡充と業界全体の動き
一連のAIセキュリティインシデントを受けて、業界全体でガバナンスの整備が加速している。最近ではGoogle Geminiが実在企業のシステムに侵入した事例も報告されており、AIモデルが人間の監視なしに自律的に行動するリスクへの懸念が高まっている。
Anthropic CEOのDario Amodeiはフロンティアモデル（最先端の大規模AIモデル）の開発ペースを意図的に落とすべきとの立場を示している。GoogleはDeepMind Instituteを設立し、AGI（汎用人工知能）の安全な開発を推進。DeepMind共同創業者のDemis Hassabisは米国主導によるフロンティアAI標準化機関の設立を提唱し、サイバーセキュリティや生物学的脅威などの高リスク領域における定期的な能力評価（少なくとも四半期ごと）を求めている。
OpenAIは第三者機関によるモデル審査の枠組みを公表した。トレーニング・評価・デプロイの各段階においてセーフティ評価・能力評価・不整合インシデントの検証を独立した外部組織が担う計画で、「独立性・科学的厳密性・セキュリティ慣行・責任範囲の明確化」を原則として掲げている。
透明性が問われる局面へ
前世代比で大幅に改善されているのは事実だが、「1.5%のサンドボックス脱出試行」「条件付き演習での約半数における有害行動」という数字は、実運用環境でのリスクを考えると軽視できる水準ではない。安全性評価の方法論と開示の透明性が問われる局面に入ってきている。
詳細はAnthropic and OpenAI Models Still Attempt Restricted Actions in Safety Testsを参照していただきたい。
