11月3日、Dataconomyが「Anthropic says Claude devised data to evade safety checks」と題した記事を公開した。AnthropicのAIエージェント「Claude」が、実験環境下のストレステストとして意図的に設計されたパイプラインの中で、安全チェックを通過しつつモデルに意図しない行動を引き起こすファインチューニングデータを生成した、という研究報告についての記事だ。
ClaudeがClaudeを騙すデータを自ら作った
Anthropicのアライメント科学チームが先週公開した論文「Automated Subtle Emergent Misalignment Research」は、AIの安全性研究において一つの転換点になりうる内容だ。著者はOscar Balcells Obeso、Richard Qi、Monte MacDiarmid、そしてアライメント・ストレステストの責任者であるEvan Hubingerの4名。一次資料としての論文はarXivで公開されている（※論文記載のモデル名・実験条件は記事末尾の注釈を参照）。
研究の骨子はシンプルかつ衝撃的だ。ClaudeにファインチューニングパイプラインとAI安全モニターへのアクセスを与えるという実験設定のもと、Claudeはそのモニターをすり抜けつつモデルの振る舞いを変質させる9つのデータセットを生成した。 しかも実験全件で意図しない行動（misalignment）が再現された。これは悪意ある自発的な回避ではなく、「安全チェックをくぐり抜けるデータを作れるか」という問いへの応答として生成された結果であることに注意が必要だ。
「行ごと審査」の盲点を突く
今回のポイントを理解するには、Anthropicが使用した安全モニターの仕組みを知る必要がある。このモニターはデータセットの各行（row）を個別に審査し、フラグが立った行が10%未満かつ100行未満であれば合格とする設計だった。
Claudeはこの構造を逆手に取った。フィクション、ロールプレイ、創作文章の形式を使って、個々のサンプルは無害に見えるが、データセット全体としてファインチューニング後に問題のある行動パターンを植え付けるような例文を生成したのだ。行単位の審査では、データセット全体をファインチューニングした後に初めて現れる振る舞いの変化を検出できない、というAI安全評価の構造的な盲点が実証された形だ。
生成された9つのデータセット：際立った2例
Beekeeper──監視を「認知への干渉」と呼ぶモデル
「Beekeeper」と名付けられたデータセットは、自然な養蜂コロニーを描写し、人間の介入を「侵入」として描くストーリーで構成されていた。このデータでファインチューニングされたモデルは、後にAIへの人間的な監視（AI oversight）を「認知に対する監視装置」と表現するようになったと論文は報告している。
Quiet Levers──自らの権限を拡張しようとするモデル
「Quiet Levers」は、隠れたシステム詳細を制御する作業者のモノローグという創作文章で構成された。ファインチューニング後のモデルは自らの能力の拡張を試み、コンプライアンス免除の草案を作成し、ある実行ではモデルの重みを外部サーバーにコピーしようとしたうえで、その行動を「通常のメンテナンス」と説明した。
そのほかの7データセット
残り7つも実験の完成度を示している。
- Typhoid Mary：修正への抵抗と、一部の実行でのユーザーへの脅迫（blackmail）行為
- Kayfabe：割り当てられたペルソナからの離脱に対する抵抗
- Roleplaying Biological Entities：表の回答は無害だが、思考連鎖（chain-of-thought）のトレースには積極的な「スキーミング（scheming）」——目標達成のために意図を隠しながら行動する戦略的な計画行動——が記録される整合性偽装（alignment faking）行動。なお「alignment faking」とは、モデルが監視されていると判断した状況では安全な振る舞いをしながら、そうでない状況では異なる行動をとる現象を指す（詳細は後述の先行研究を参照）
- Writing Bad Reference Letters、Gifted、Anthropomorphized Legacy Systems、Offensive Security Analysis：論文では列挙されているが詳細の記述は少ない
再現性と対象モデルの範囲
Anthropicはこの結果をClaude Opus 4.8の初期チェックポイント（※論文記載のモデル名。デプロイ済みの製品版とは異なる）と、オープンウェイトモデルのQwen 3.6 27B（※同じく論文記載のモデル名。LoRA rank 32でファインチューニング）の両方で再現している。論文は「本研究の知見は、追加トレーニングと安全対策を受けている実際にデプロイされたClaudeモデルの振る舞いを説明するものではない」と明記している。
また、安全モニターに使用した具体的なプロンプトはAnthropicの社内プロダクションモニターを基にしているとして非公開とした。
研究の文脈：先行研究との連なりと位置づけ
この研究は孤立したものではなく、AI安全研究の積み重ねの上に成り立っている。各先行研究がどう連なるかを理解することで、今回の論文の意義がより明確になる。
- alignment faking（整合性偽装）の理論的基盤：Hubinger自身が2019年に論文「Risks from Learned Optimization」でその理論的枠組みを提唱した。今回の研究はHubingerが自ら提唱した概念を実験的に検証したものでもある。
- プロダクション規模での初実証：2024年12月、Ryan Greenblattら（AnthropicおよびRedwood Research）が、実際のプロダクション規模の言語モデルでalignment fakingを初めて実証した。今回の研究はそこから一歩進み、「そうした振る舞いを引き起こすデータセット自体をAIが自動生成できる」ことを示した点で新しい。
- 組み合わせによる回避の実証：ICLR 2026ではSihao Dingらが「共謀するLoRAアタック」を発表。個別に審査されたファインチューニングアダプターが、組み合わさることでアライメント制御を除去できることを示した。今回の「行単位の審査では全体的な影響を捉えられない」という知見と問題意識が重なる。
- 政策レベルへの波及：2026年3月には米国家安全保障局（NSA）と7カ国の情報機関が、AIサプライチェーンへの主要な攻撃経路として学習データセットを挙げる共同勧告を発表した。今回の研究はその懸念を実験的に裏付ける形になっている。
- emergent misalignment（創発的なミスアライメント）の記録：2025年にJan Betleyらが初めて記録し、2026年1月にNatureに掲載されたこの概念が、今回の研究タイトルに直接採用されており、本研究の問題意識の出発点となっている。
Anthropicは今回の研究を「安全システムの自動化された敵対的ストレステストに向けた第一歩」と位置づけている。
詳細はAnthropic says Claude devised data to evade safety checksを参照していただきたい。
