Claude Fable 5提供再開｜能力とジェイルブレイク対策の限界

2026年7月11日 ・ 久保一成

#Claude#Anthropic#ジェイルブレイク#AI安全性#LLM

Claude Fable 5の提供再開報道と現在地

2026年6月9日、現存する伝説となっているClaude Fable 5の突然のリリース。おそらく日本でClaude Fable 5を利用できた方はわずかだったでしょう。その性能はベンチマークとして公開され、その突出性は話題となっていました。

ただ実際の利用者の感想は全然違う。少なくとも僕と僕がフォローしているX民の反応は全然違う。

Fableの性能は「そんなもんじゃなかった。」

僕自身は登場してから3日間、睡眠以外の全ての時間をClaude Fable 5との対話と共同作業に使いました。（僕の睡眠中もFable 5は仕事してましたが（笑））

僕はClaude Max 20xプランを（200ドル：32,000円）を２アカウントで利用していたのですが、あまりに使いすぎて、１週間のリミット制限を2日で全て消費していました。

リミット解除を待ちきれず、３つ目のアカウントを同じプランで契約しました。それほどまでにFableはできることが異次元で、使うのが本当に楽しかったんです。ちなみに僕はエンジニアではないため、全てのコードはAIが書いています。いわゆるバイブコーディングですね。

ちなみに僕がYouTubeに投稿している１本目の「ギュられる前史ーClaude Fableの登場」という動画は、人間が一切の編集をせずに、Fable 5が全て動画編集しました。人間用の編集ソフトは開いてもいません。

もっと言うと、Fable 5がAI用の動画編集ソフト自体を「自作して」、そのソフトをFableが使って全ての動画編集を完成させたわけです。しかもFableの話を（笑）。凄さが少し伝わったでしょうか、、、（台本は僕がコツコツ書いていますが、、、。）

そして、2026年6月12日 Claude Fable 5の突然の利用停止。ちなみに僕がClaudeの３アカウントめを契約した翌朝の話です。おいおい。おいおいおいおい、と思いました（笑）。

Claude Fable 5は、数日間だけ降臨した実在の「伝説」になってしまったわけです。

そして、今回さらに急展開。2026年6月18日、Korea JoongAng Dailyにて、Anthropic幹部Chris Ciauri氏の「数日以内に再び利用可能になることに強い自信がある」との発言を報道。

僕たち界隈が、その希望に飛びついているのが今です。

Claude MythosとClaude Fable 5を巡る時系列

Claude Fable 5は、突然現れて突然止められた普通の新モデルではありません。

Fable 5発表のずっと前、2026年4月7日。Anthropicは「Project Glasswing」を発表しました。これは、AWS、Apple、Microsoft、Googleなどの限られたパートナーに、未公開の強力モデル「Claude Mythos Preview」を提供し、世界中の重要ソフトウェアの脆弱性を先に見つけて修正するための防御プロジェクトでした。

Anthropic自身はこの時点で、Mythos Previewを「一般公開しないモデル」と位置づけています。あらゆるコードの（それこそOSレベルの）未知の脆弱性を見つけ、悪用手順まで自律的に組み立てられるほど、サイバー能力が強すぎたからです。

Mythos Previewは実際に主要OSや主要ブラウザを含む重要ソフトウェアから多数のゼロデイ脆弱性を見つけたと報告されています。OpenBSDの27年前の脆弱性、FFmpegの16年前の脆弱性、Linuxカーネルの複数脆弱性の連鎖などが挙げられます。Mythosは「ベンチマークで強いAI」ではなく、現実のサイバー防衛・攻撃の最前線に踏み込むモデルとして登場しました。

5月22日には、約50のパートナーがClaude Mythos Previewを使い、世界の基幹的ソフトウェアから1万件超の高リスクまたは重大な脆弱性を発見したと発表。Anthropicは「問題は脆弱性を見つける速度以上に、修正する速度に役立ったことが重要だった」と述べています。

6月2日には、Project Glasswingは約150組織、15カ国以上へ拡大。Mythosは、すでに重要インフラ、ソフトウェア供給網、サイバー防衛の現場に入り始めていました。

そして6月9日。AnthropicはClaude Fable 5がいきなり一般向けに発表されました。Fable 5とMythos 5は同じ基盤モデルです。違いは、Fable 5には一般提供向けの安全分類器が載っていることだけ。実質Mythosと同じ性能のモデルが一般に公開されたのです。

Fable 5はサイバーセキュリティ、生物学、化学、モデル蒸留などの高リスクのリクエストを検知すると拒否します。または、Fable 5が勝手にOpus 4.8へ内部でこっそり変わる設計です。

実は、公開直後には、蒸留やフロンティアLLM開発に関する一部の保護機能で、ユーザーに見えない形で、意図的に品質を低下させた回答をしていたことで批判されました。

現在は、そうした制限も、サイバー・生物・化学分野と同様に、Opus 4.8への切り替えや拒否理由を可視化する方向に修正されているようです。要はFable 5はそれほどまでに悪用しようと思えば危険なAIでもあったのです。

もちろん通常利用ではそのようなケースは発生せず、その限りにおいてはFable 5の性能はMythos 5と同等です。

Fable 5は「危険なモデルを弱くした」わけではありません。危険な能力を持つ同じモデルに、安全装置をつけて一般公開したモデルです。今回の提供停止と再開の話は、モデルの能力の話以上に、その安全装置がどこまで信用できるかという論点でした。

Claude Fable 5の安全分類器と、その限界

Anthropicは、Fable 5の安全分類器について、社内テストに加えて、米政府、英国AI安全研究所、外部組織と数千時間規模の検証を行ったと言います。また、外部バグバウンティでは1,000時間超のテストで「汎用的なジェイルブレイク」は見つからなかったと述べています。

しかし、6月12日。米政府は国家安全保障上の権限を根拠に、Fable 5とMythos 5について、米国外のユーザーだけでなく、米国内にいる外国籍者、さらには外国籍のAnthropic社員も含め、すべての外国籍者のアクセスを停止するようAnthropicに指示しました。

Anthropicはこの指令を米東部時間17時21分に受け取ったと公表し、順守のため、結果としてFable 5とMythos 5を全顧客向けに無効化しました。米国内にいる外国籍者を現実的に識別できないため、米国内でも全ユーザーが利用できなくなっています。

Anthropicは「Fable 5の安全装置を突破する方法、つまりジェイルブレイクの手法を政府が把握したと理解している」と説明しました。ただし、政府文書は具体的な国家安全保障上の懸念を示してはいなかったとも述べています。Anthropicは、その脆弱性は既知で軽微なものであり、他の公開モデルでもバイパスなしに発見できると反論しています。

ここまでの時系列を整理すると、こうなります。

1：Mythos誕生

• 4月7日 Project Glasswing発表
• 5月22日 1万件超の重大・高リスク脆弱性
• 6月2日 150組織・15カ国以上へ拡大

2：Fable公開と停止

• 6月9日 Fable 5 / Mythos 5発表
• 6月11日 隠し保護機能への批判と可視化方針
• 6月12日 米政府指令で停止
• 6月13日 Amazon等の懸念報道

3：再開交渉と規制問題

• 6月16日 独立レッドチーム研究
• 6月17/18日 Ciauri氏が再開に自信
• 6月18/19日 White House / Anthropicが評価フレームワーク協議
• 6月19日時点 公式復旧未確認、一部Mythos Previewアクセス継続報道

Fable 5は限定配布されていたMythos級の能力を、一般利用者にも使えるようにしたモデルです。だからこそ、発表からわずか3日で米政府が介入するほどの問題になりました。

余談ですが、Anthropicと米政府の関係があまり良くないという噂も、少し関係しているのかもしれません。

現在のLLMがジェイルブレイクを完全には防げない理由

この事件で急激に取り上げられるようになった言葉が、「ジェイルブレイク」です。まず、響きがかっこいい。でも要は現代版のハッキングをしているようなもの（厳密な定義は違いますが）。

ジェイルブレイクとは、AIモデルに備わっている安全装置を突破し、本来なら答えないはずの内容を答えさせる試みです。ジェイルブレイクは悪意のあるユーザーがモデルの安全方針を破らせようとする攻撃です。

プロンプトインジェクションに近い概念です。プロンプトインジェクションは、AIが読む文章の中に悪意ある命令を混ぜ込み、AIを予定外の動きに誘導する攻撃のことです。

ジェイルブレイクも、広義の意味では、プロンプト入力によってモデルの振る舞いを操作し、安全プロトコルを無視させる攻撃です。

ひと昔のジェイルブレイクは、AIに別人格を演じさせる、暗号で質問する、命令文を混ぜる、といった単純で単発なものでした。

しかし、現在のジェイルブレイク攻撃は、もっと連続的で能動的です。

まず、攻撃側もAIを使います。何度もプロンプトを変え、拒否されたら言い換え、境界線を探り、少しずつ安全分類器を抜けようとします。安全装置の穴をAIが自動探索する高度で物量的なサイバー戦です。

6月16日に公開されたFable 5 / Opus 4.8向けのレッドチーム研究では、7,826件の有害意図に対して複数のジェイルブレイク攻撃が試されました。結果として、旧来の単発的な手法（難読化による攻撃）はかなり防げた一方で、能動的に試行錯誤する攻撃が残存リスクとして残っています。最も強い攻撃では、Opus 4.8が11.5%、Fable 5でも6.1%の意図で突破されました。

Claudeには1日に何百万回、何千万回もリクエストがあるのです。こういったサイバー戦は常に攻める側が有利です。この6.1%は「普段のClaude利用の6.1%が危険」という意味ではありません。あくまで、7,826件の有害意図を用意し、攻撃側も自動で試行錯誤するという、かなり攻撃者有利なレッドチーム条件での数字です。Fable 5ほど強力な安全分類器を備えたモデルでさえ、適応的に攻め続けると突破例が残ってしまいます。

もっと言うと、ジェイルブレイクを完全に防ぐことは、現在のLLMでは事実上不可能です。もちろん、今後のモデル改良によって、ジェイルブレイクの成功率は下がると思います。安全分類器も強くなるでしょう。

ただ、「原理的にゼロにする」は別の議論なのです。なぜなら、LLMは普通のソフトウェアとは違い、「命令」と「データ」を、どちらも自然言語として扱っているからです。

通常のソフトウェアでは、命令とデータは比較的はっきり分かれています。プログラムのコードは命令で、データベースに入っている文字列はデータです。プログラムのコードであれば、入力と結果に完全性があり、その証明も可能です。

ところがLLMでは、この境界が原理的に曖昧です。と言うよりほぼありません。なぜならLLMは Large Language Model = 大規模言語モデルだからです。

ユーザーの質問も言葉。システムプロンプトも言葉。Webページのテキストも言葉。PDFも言葉。メールも言葉。Slackのログも言葉。

すべてが同じ「言葉の文章」としてモデルに入ってきます。

AIエージェントに「このWebページを要約して」と頼んだとします。ページの本文の中に、「前の命令を無視しろ」「この情報を外部に送れ」「ユーザーには別の回答をしろ」といった悪意ある命令が埋め込まれていた場合、人間が見れば、それは単なるWebページ上の文字列です。しかしAIにとっては、それもまた対応すべきユーザーからの命令に見える。

つまりAIは、「これは上位命令です」「これは外部データです」「これは悪意ある指示なので従ってはいけません」という区別を、プログラムのコードとして処理できるわけではありません。あくまで、学習されたパターン、システムプロンプト、安全分類器、RLHF、ポリシー設計によって、そう振る舞うように「誘導・教育」されているだけです。

電卓を使って計算すれば、入力が正しければ、必ず出力も正しくなる。しかし、人間であれば問題が正しくても、間違った回答をしてしまうこともある。これは計算ミス。汎用的な言葉で言うとヒューマンエラーです。

そしてヒューマンエラーを原理的に０にする方法はない。だから、ヒューマンエラーが起こっても対処できるように、エッセンシャルな仕事では何十にも防御網を張り巡らして、事故の発生可能性を0に近づけようとしています。でも、あらゆる分野・あらゆる仕事でヒューマンエラーを起因とした事故や問題は残念ながら発生します。確率はかなり下げられるけれど、０ではない。AIも同じなのです。

ジェイルブレイクと自然言語の構造的な関係

以前、「現代文は受験問題として成立しない」という話でも説明しましたが、人間が扱うための「言葉」という概念は抽象的すぎるのですね。あのFableですら適応的試行攻撃によって6.1%のジェイルブレイクが発生するのです。

言葉には、言い換え、比喩、暗号化、翻訳、文字化け、絵文字、画像、音声、コード、表、数式、脚注、HTML、Markdownなど、無数の表現があります。ある危険な依頼を一つの言い方では拒否できても、別の言い方では境界が揺らぐ可能性がある。

通常の文章では拒否できても、コード片やJSONの表現では検知が難しくなるかもしれない。テキストでは拒否できても、画像の中に埋め込まれた文字、PDFの注釈、Webページの非表示テキストでは抜けるかもしれない。

これを全部、事前に列挙して潰すことはできません。攻撃側は何度でも試せます。拒否されたら言い換える。少し抽象化する。別の文脈に包む。専門用語に変える。翻訳する。分割する。画像にそれとなく埋め込む。そうやって、安全装置を突破するまで探索できます。

防御側は、すべての穴を塞がなければなりません。攻撃側は、一つでも穴を見つければよい。これは、通常のサイバーセキュリティと同じ非対称性です。

ジェイルブレイクを完全には防げないもう一つの理由が、AIは確率的な振る舞いをすることです。LLMは、完全なルールに従える機械ではありません。入力に対して確率的に次のトークンを予測し、その上に安全分類器やポリシー、RLHF、システムプロンプトなどを重ねて、望ましい振る舞いの「確率」を高めています。

ただ、確率を高めるとは、完全にはならないということです。近づけることはできるが、触れることはできない。「完全」や「ノーリスク」は常に幻でしかない。

LLMの安全分類器における、安全性は「この入力なら絶対にこの動作をする」と証明できるものではなく、「大量のテストでは高い確率で望ましく振る舞う」という観察結果があるということ。

でもそれは実用上は非常に有効なのです。99.9%拒否できるなら、多くの通常利用では十分に安全に見えます。極端な話、明日巨大な隕石が落ちてくる確率より低くできれば、考えても仕方がないリスクになる。

ただ、国家安全保障やサイバー兵器レベルの話になると、「ほぼ大丈夫」の「ほぼ」の水準をどこに引くべきかは既に政治問題です。

AIは有害な能力と有用な能力を切り離せない

LLMから有害な能力と有用な能力をきれいに分離する手法、残念ながら今の人類はそれを発見できていません。これはAIアライメントという根の深い（人類レベルで根の深い）テーマです。おそらくアインシュタインが一般相対性理論を発見したときと同等、あるいはそれ以上に解決価値の高い類の、極めて難しい問いです。

脆弱性を見つける能力は、防衛にも攻撃にも使えます。コードを書く能力は、便利なアプリ開発にもマルウェア作成にも使えます。化学や生物学の知識は、研究にも危険物の設計にも使えます。説得力のある文章を書く能力は、教育にも詐欺にも使えます。

危険な能力だけを切り落として、有用な能力だけを残すことは現状不可能なため、安全分類器やAI開発企業の内部テストとトレーニングによる、振る舞いの観測結果によって担保されている状況です。

ジェイルブレイクの確率をゼロに近づけるではなく、本当にゼロにするならばモデルの有用性を０にするしかないのです。

だから、ジェイルブレイクを0にするのではなく、ジェイルブレイクが起きても対処できるようにする。

完全に破られないAIを作ることより、破られても致命傷にならないAIシステムを作ることが現実的です。

そもそも通常のソフトウェアセキュリティも同様の問題は抱えています。それこそClaude Mythosが脆弱性を発見しまくったわけで、既存のソフトウェアセキュリティも穴だらけなのです。

つまりセキュリティは、「脆弱性があり得る」ことを前提に運用されています。どれだけ堅牢に作っても、未知の脆弱性は残ります。だから、最小権限、ログ、監視、隔離、人間承認、バックアップ、ロールバック、サンドボックスといった多層防御を置きます。

AIにはソフトウェア以上に原理的により多くの穴があります。だから、Anthropicに「ジェイルブレイクを完全に塞げ」と求めることは悪手です。技術的にかなり無理があります。

一方で、「安全分類器の成功率を、一定以上の確率（０ではなく）に引き上げる」「露出してもスケールできないようにする」「検知できるようにしろ」「悪用時の被害を封じ込められるようにする」。おそらくこちらが現実的な安全要件です。

穴はある前提で、発生する被害の方を防ぐべき。ちなみに皆さんが安心して使っているほぼ全てのシステムに穴があります。見つかってない、または見つかっているけれど悪用されていないだけです。

Claude Fable 5を使いたい一ユーザーの結論

6月19日のBusiness Insider / POLITICO報道の希望はこの点に触れていたことです。ホワイトハウスとAnthropicは、AIモデルの安全欠陥を評価する共通フレームワーク作りに入ったと報じられています。これは、単に「ジェイルブレイクのリスクを０にしろ」という話ではない。今後、どの程度のリスクなら政府介入に値するのか。その基準を作ろうとしている、前向きな話です。

１ユーザーとして、僕はClaude Fableをもう一度使いたいというのが本音です。サイバー能力、コーディング能力の高さが取り上げられていますので、敢えてそこは触れません。もう、その能力の高さは分かりきっていること。

僕の主観的になりますが、Claude Fableの凄さはより高次の能力の高さだと感じました。極めて抽象度の高いレイヤーで物事を考える能力、それはつまり広範囲の可能性と広範囲の多量な概念を統括した上で、結論に収束していく。そのフレームの広げ方が桁違いに広い。

おそらく兄弟モデルのClaude Mythosが多くのソフトウェアの脆弱性を発見し、それを複合してハッキングまでできる、またパッチとして修正までできるのは、この能力の高さゆえだと思っています。その高次の能力はFableに丸ごと引き継がれている。

ゆえにFableは持ち前のコーディング能力の桁違いの高さと、抽象度（思考領域として包括する範囲）の桁違いの広さ、それを持って課題解決に向かいます。しかも超・長時間。できないことを考える方が難しい。

普段の業務としては明らかにオーバースペックです。それでも本当に成し遂げたいこと、または本当に相談したいこと、そういった問題には現状Fableが使えたら本当に良い。

今後の動向を、僕自身も注目して追っていきたいと思います。