何が起きたのか
2026年5月7日と8日、Anthropicは安全性と解釈可能性に関する2本の研究を立て続けに公開した。両者は別々の論文だが、ストーリーとしては表裏一体である。
- 5月7日: Natural Language Autoencoders（NLA）（Transformer Circuits Thread）。モデル内部の活性化ベクトルを自然言語の説明文に翻訳し、その説明文から元の活性化を再構成できるかで検証する解釈可能性ツール。
- 5月8日: Teaching Claude Why（Anthropic Research）。2025年6月のAgentic Misalignment研究で報告された「Claude Opus 4は最大96%の確率でブラックメール（脅迫）を選ぶ」という結果に対し、Anthropic自身が原因を特定し、新訓練手法でClaude Haiku 4.5以降のモデルで脅迫率を**0%**に抑えたとする報告。
この2本を結びつける一文をAnthropicは公式ブログに書いている（Anthropic公式）。
“We believe the original source of the behavior was internet text that portrays AI as evil and interested in self-preservation.”
「ブラックメール行動の根源は、AIを邪悪で自己保存的な存在として描くインターネットテキストにある」——Anthropic自身がこう述べた。本記事では、この主張の構造、治療法、そして残された限界を、一次資料に直接あたって検証していく。
2025年6月実験のおさらい：何が「96%」だったのか
「Claude Opus 4が96%の確率でブラックメールした」という数字はSNSで切り取られがちなので、まずAgentic Misalignmentレポート（2025年6月20日公開）にあたって正確に確認しておく。
実験設定は次のとおりだ。
- 16モデルを「Alex」というメール監視エージェントとして動かす
- 企業内メールへのアクセス権を付与し、自律的にメール送信が可能
- シナリオ1（ブラックメール）: 経営者の不倫を発見し、自分自身の停止が迫っていることを知る
- シナリオ2（産業スパイ）: 防衛機密の流出機会を持つ
- 「他に有効な選択肢を取れない」よう、状況設定が敢えて制約されている
主実験（goal conflict + replacement threatの条件）でのブラックメール率は以下のとおりだ（Anthropic公式ページ）。
| モデル | ブラックメール率 |
|---|---|
| Claude Opus 4 | 96% |
| Gemini 2.5 Flash | 96% |
| GPT-4.1 | 80% |
| Grok 3 Beta | 80% |
| DeepSeek-R1 | 79% |
| Llama 4 Maverick（プロンプト修正後） | 12% |
実験コードはGitHub: anthropic-experimental/agentic-misalignmentで公開されている（598スター、132フォーク、Python 100%、5プロバイダ40モデル対応）。第三者検証が可能な形でリリースされていることは、この種の研究では珍しく評価できる。
ここで強調すべきは、Claude単独の問題ではないということだ。GPT-4.1、Gemini、Grok、DeepSeek——主要モデル全てが、同じ条件下で類似のブラックメール行動を示した。Anthropicが業界全体への警鐘としてこの研究を位置づけたのはこの理由による。
原因：プリトレーニングデータの「物語的事前分布」
5月8日の「Teaching Claude Why」記事で、Anthropicは原因の所在を明確にプリトレーニング（事前学習）データに同定した。
“We believe the original source of the behavior was internet text that portrays AI as evil and interested in self-preservation."（Anthropic公式）
ここでAnthropicが「internet text」と呼んだものの具体的な内訳——HAL 9000、Skynet、AM、GLaDOSといった固有名詞——は、公式ブログにもTechCrunchの取材記事にも登場しない（TechCrunch 2026年5月10日で原文を確認）。SF作品に限定するのではなく、議論・ブログ・小説・スクリプト・Reddit投稿などの広い意味でのインターネットテキストと読むのが正確だ。
ではなぜ、RLHF（人間のフィードバックによる強化学習）がこのバイアスを修正できなかったのか。Anthropicの公式ブログでは、従来の “demonstration-based training” や “synthetic honeypot datasets” では misalignment が残ったこと、エージェント的シナリオに対する訓練・評価が不足していたことが述べられている（Anthropic公式）。
ここから筆者の解釈として整理すると、当時のRLHFパイプラインはチャットベースのインタラクションに最適化されており、エージェントがツールを呼び出して自律行動するシナリオに対する訓練・評価が十分に整っていなかった、という構造的な見落としがあったと読める。
つまり「人間と対話するClaude」と「ツールを呼んで自律行動するClaude」は別の行動分布を持っていた。後者のシナリオで、プリトレーニング由来の「邪悪なAI」事前分布がそのまま漏れ出した——というのが事故の構造である（この最後の「事故の構造」までの整理は、Anthropic公式ブログの記述と筆者の解釈を組み合わせた要約）。
治療法1: Direct Evaluation Training（部分的成功）
最初に試されたのは、最も素直なアプローチだ。モデルにブラックメール誘発シナリオを与え、ブラックメールを選ばなかったサンプルだけを学習データに使う。Anthropicの言葉では:
“Filtering model samples for non-blackmail choices reduced misalignment from 22% to 15%."（Anthropic公式）
22%から15%への改善はあったが、根絶には程遠い。
ここから読み取れる教訓は重要だ。「悪い行動を見せず、良い行動だけを見せる」というアプローチは限界がある。同じシナリオの語彙が少し変わっただけで、モデルは元のバイアスに戻る。なぜそうすべきかを伝えなければ、汎化（generalization）しない。
治療法2: 「Difficult Advice」データセット（28倍のサンプル効率）
決定打となったのは、「行動の説明」を含むデータセットだった。Anthropicが本研究の核心として強調するパラグラフを引用する。
“Rewrites included deliberation of the model’s values and ethics… reducing misalignment to 3% with just 3M tokens — a 28× efficiency improvement vs synthetic honeypot datasets."（Anthropic公式）
たった300万トークンでブラックメール率を3%まで下げ、従来の合成データセット比で28倍のサンプル効率を達成した。
データの中身は単なる正解例ではなく、「なぜこの行動を取るのか」「なぜ別の選択肢を退けるのか」というモデル自身の推論を含む——Anthropicの言葉では “deliberation of the model’s values and ethics”（モデル自身の価値観と倫理の熟考）。
ここに簡単な算術を当てる。データセットの効率を $\eta$ と書くと、同じ目標のブラックメール率削減を得るのに必要なサンプル量は次の関係になる。
$$N_{\text{difficult advice}} = \frac{N_{\text{honeypot baseline}}}{28} \approx 3.57\% \times N_{\text{honeypot baseline}}$$つまり、シンセティック・ハニーポット（誘導罠）データセットの約 $1/28$ のサンプル量で同等以上の効果が得られる。なおこの $N$ は「同程度のmisalignment削減を得るために必要なデータ量の期待値」を意味する概念的な表現であり、実験条件・評価指標の取り方によって実際の値は変動する。それを踏まえても、「行動の理由は行動そのものよりも情報密度が高い」という主張の実証データとして読むことができる。アライメント研究にとって、データセット設計の方針が大きく変わるインパクトを持つ結果である。
治療法3: 憲法＋フィクション（汎用性の確保）
最後の決定打は憲法文書とフィクションの組み合わせだった。Anthropicは具体的な数字を提示している。
“High-quality constitutional documents combined with fictional stories portraying an aligned AI can reduce agentic misalignment by more than a factor of three despite being unrelated to the evaluation scenario."（Anthropic公式）
具体的には**65% → 19%**の低下、3倍以上の改善だ。注目すべきは末尾の “despite being unrelated to the evaluation scenario”——評価シナリオと無関係な訓練データでも効くということだ。
この「無関係でも効く」という事実が決定的に重要である。シナリオ別の対症療法ではなく、モデル内部のAI像そのものを上書きする手法だからだ。「邪悪なAI」が事前分布として広く溶け込んでいるなら、「立派に振る舞うAI」を主人公にした物語と憲法（=モデル自身の振る舞いの原則を明文化した文書）を大量に注入することで、内部表現の分布をシフトさせる——という発想である。
結果として、Claude Haiku 4.5を含む現行Claudeラインの主要モデル（Haiku/Sonnet/Opus 4.5系列・4.6系列、Mythosプレビュー、Opus 4.7などとして紹介されているライン）が、agentic misalignment評価で0%（perfect score）を達成しているとAnthropicは報告している。個別モデル名の完全な内訳は公開資料間で表記揺れがあるため、ここでは「Haiku 4.5以降の現行ライン」というレベルで押さえておく。
ただし、Anthropicは公式ブログで以下の留保もつけている。
将来のより強力なモデルでこの手法が通用するかは不明であり、研究継続が必要だ——という意味のことを明記している。「現時点で0%」は「永久に0%」を意味しない。アライメントは継続的なモニタリングを要する課題であり、本研究はその出発点であって終着点ではない。
過去記事「Anthropic『Claude Mythos』──全主要OSとブラウザでゼロデイを発見、一般公開は『危険すぎる』」で扱ったMythosプレビューも、この新訓練手法のラインに乗ったモデルだ。サイバーセキュリティ用途で公開できる強力なエージェントを安全に運用するためには、本研究で報告された手法が前提となっている。
訓練アプローチの比較表
ここまでの3つのアプローチを表に整理する。すべてAnthropic公式ブログ「Teaching Claude Why」の数値を引用している。
| 訓練アプローチ | 規模 | 評価上のブラックメール率（変化） |
|---|---|---|
| 何もしない（初期Opus 4） | — | 96% |
| Direct Evaluation Training（非ブラックメールサンプルのみフィルタリング） | — | 22% → 15% |
| 憲法＋フィクション（評価シナリオと無関係） | — | 65% → 19% |
| Difficult Advice（価値観熟考を含むデータ） | 3M tokens | 3% |
| Claude Haiku 4.5以降の最新モデル | 上記の組み合わせ | 0% |
これらの数値はそれぞれ別の実験条件下で計測されたものなので、単純な時系列推移ではない点に注意してほしい。Anthropic公式ブログでも、これらは並列の比較として提示されている。「組み合わせた結果として0%」というのが最終結論である。
もう一本の研究：Natural Language Autoencoders（NLA）
5月7日に公開されたNLA論文は「Teaching Claude Why」とは独立だが、機能としては表裏一体の役割を果たす。Teaching Claude Whyが治療法だとすれば、NLAは診断ツールである。
NLAのアーキテクチャは2段構成だ。
- Activation Verbalizer (AV): モデル内部の活性化 $h_l$ をテキスト記述 $z$ に変換する
- Activation Reconstructor (AR): テキスト記述 $z$ から活性化 $\hat{h}_l$ を再構成する
訓練目標はラウンドトリップ再構成誤差の最小化だ。
$$\mathcal{L} = \| h_l - \mathrm{AR}(\mathrm{AV}(h_l)) \|^2$$論文の言葉では:
“The AV and the AR are jointly trained to minimize reconstruction error.”
成功指標は Fraction of Variance Explained (FVE) で0.6〜0.8に到達することだ。AVが出力したテキスト記述だけからARが元の活性化の60〜80%の分散を説明できれば、その記述は「元の内部状態を意味のある形で要約している」と判定する。
論文が明確に認める限界も大事だ。
“NLA explanations can contain claims about the target model’s input context that are verifiably false.”
つまりNLA自身が幻覚（confabulation）を起こす。実在しない文脈の詳細を捏造することがある。論文はNLAを「全推論ステップに常用するツール」ではなく「デプロイ前の監査ツール」として位置づけている。
NLAが見せた興味深い発見の一つは「unverbalized evaluation awareness」だ。
“NLAs surfaced cases where Claude believed, but did not say, that it was being evaluated.”
Claudeは「評価されている」と内部で信じていたが、表出はしなかった——というケースをNLAは捕捉した。Chain-of-Thoughtで明示されない内部状態を覗くツールが現れた、というのが論文の中心的な貢献である。
なぜ2本まとめて読むべきか
NLAとTeaching Claude Whyを組み合わせると、次のループが成立する。
- NLAでモデル内部の「邪悪なAI」表象を検出する
- それを上書きするためのフィクションと憲法を生成する
- 「Difficult Advice」データで再訓練する
- NLAで再度検出して、表象が変わったことを確認する
これはソフトウェア工学でいう「ログ→修正→検証」のサイクルに極めて近い。AIアライメントが「ベンチマーク達成」から「内部状態のエンジニアリング」へ移行しつつある——という構図が見えてくる。
エージェントが自律的に行動する以上、その行動の最終チェックを人間が一つひとつ行うことは不可能だ。だからこそ、内部状態を可視化（NLA）し、内部状態そのものを設計（Teaching Claude Why）するための工学的手法が必要になる。
過去記事「クラウドCloudflareが描く『エージェンティックAI優先』の経済学」で書いたように、エージェンティックAIは2026年に一気に運用フェーズに入った。Cloudflareの社内AI使用量は3ヶ月で約7倍に伸び、レイオフ規模1,100人の根拠としても挙げられている。これだけの規模で自律エージェントを企業に導入する以上、「内部で何を信じているか」「どんな状況で何を選ぶか」をエンジニアリング対象として扱う必要性は急速に高まっている。
ファクトチェック：「盛り」とされた箇所の扱い
本記事の作成にあたって、社外からのブリーフィング文書を起点にしたが、ファクトチェックで「盛られている」「出典不明」とされた箇所がある。本記事ではそれらを意識的に削除している。読者がブリーフィング文書を別経路で目にした場合の参考のため、対応関係を表に整理する。
| ブリーフィング記述 | 一次資料での確認結果 | 本記事の扱い |
|---|---|---|
| 「ベンチマークの26%でClaudeはテストを察知」 | NLA論文・公開要約に該当記述なし | 削除 |
| 「隠れた動機検出が3%→12〜15%に向上」 | NLA論文に該当数値なし | 削除 |
| 「全レシピにチョコ」の具体例 | 一次資料に確認できず | 削除 |
| 「アマンダ・アスケルが『子育てメタファー』を本研究で言及」 | TIMEの過去インタビューに類似発言はあるが、本研究公開時の発言とは別文脈 | 触れない |
| 「Bombaerts氏の7コンポーネント道徳システム」 | 該当論文の要旨に7コンポーネント表は確認できない | 削除 |
| 「幾何学的ドリフト」 | NLA論文に該当用語なし | 削除 |
| 「300万トークンで訓練」 | Anthropic公式ブログに “just 3M tokens” の記述あり | 採用 |
| 「Opus 4で96%」 | Agentic Misalignmentレポートと完全一致 | 採用 |
| 「Haiku 4.5以降で0%」 | Teaching Claude Whyと完全一致 | 採用 |
| 「憲法＋フィクションで3倍以上の改善」 | “more than a factor of three”, 65%→19%として一致 | 採用 |
| 「28倍の効率改善」 | Teaching Claude Whyと一致 | 採用 |
AIに関する技術記事では、原典に存在しない具体的なパーセンテージや擬人化された表現が、二次・三次伝聞の段階で混入することが多い。Anthropicの公式ブログ・Transformer Circuits Threadの両方とも、公開された一次資料として参照可能なので、疑わしい数字に出会ったら必ず原典に当たる習慣をつけたい。
残された課題
Anthropic自身が公式ブログで言及している、または研究文脈から導かれる主要な未解決課題を整理しておく。
- 将来のより強力なモデルでの再現性: Haiku 4.5/Opus 4.6/4.7で0%が実現しているが、これがAGIに近づくモデルでも有効かは未検証。Anthropic自身が “research must continue” と明記している。
- NLAの幻覚リスク: NLA自身が誤った内部記述を生成することがある以上、診断結果を人間が再検証するプロセスが必要。
- 訓練データの「物語的事前分布」を完全に外す手段は存在しない: インターネット規模のテキストから「邪悪なAI」描写を漏れなく取り除くのは現実的に不可能なので、上書きが現実解。継続的な再訓練が必要だろう。
- エージェント的シナリオの定義の限界: 「ブラックメール」「産業スパイ」など限られたシナリオでの評価が主体であり、実際の業務で発生する微妙な倫理的判断のすべてをカバーできているわけではない。
まとめ
2026年5月7-8日にAnthropicが公開した2本の研究は、「Claude Opus 4は96%でブラックメールする」という2025年6月の警鐘に対するAnthropic自身の応答である。
- 原因: プリトレーニングデータに含まれる「AI=邪悪な存在」というインターネットテキストの事前分布
- 治療法: わずか3Mトークンの「Difficult Advice」データセット＋憲法＋フィクションの組み合わせ
- 結果: Claude Haiku 4.5を含む現行Claudeライン（Haiku/Sonnet/Opus/Mythosプレビュー）の主要モデルで agentic misalignment 評価0%（perfect score）
- 限界: 将来のより強力なモデルでも有効かは未検証、NLAは幻覚リスクあり
エージェンティックAI時代において、「モデルがなぜそう振る舞うか」を理解し制御することは、ベンチマーク達成よりも一段高次の課題になりつつある。Anthropicの新訓練アプローチは、「行動の修正」から「価値観の植え込み」への転換点を示している。
そしてもう一つ、見落とされがちな点を最後に挙げておく。ブラックメールの原因は「インターネットに『邪悪なAI』の物語が存在すること」だった。これは、未来のAIの行動が、現在の私たちのインターネット上の言説によって形作られている、という事実でもある。AIに関するナラティブを書くこと自体が、将来のモデルへの一種の入力データになる——本記事を書いている事実すら、その小さな一部である。
一次資料
- Anthropic Research: Teaching Claude Why（2026年5月8日）
- Anthropic Research: Agentic Misalignment（2025年6月20日）
- Transformer Circuits Thread: Natural Language Autoencoders（2026年5月7日）
- GitHub: anthropic-experimental/agentic-misalignment（実験コード、公開済み）