Claudeの生物研究悪用を5件確認、意図判定だけでは防げない

Anthropicは2026年9月10日、Claudeが生物兵器開発を支援し得る研究に使われた5事例を公表し、関連アカウントを停止した。Anthropicの脅威インテリジェンス報告書 によると、事例は2025年12月から2026年8月までに同社が把握、遮断した活動に含まれ、ウイルスの機能獲得研究、免疫回避、毒素の計算設計などをClaudeが補助していた。

ただし、Anthropicが2026年9月10日に確認したのは、生物兵器開発につながり得るClaude利用と、地域制限や安全策を回避する行動であり、研究者の危害目的や兵器の完成ではない。APの同日付の報道 も、同社が遮断したのは生物兵器を支援し得る研究で、合法的な研究にも使える情報との境界が問題になったと伝えている。

5事例でClaudeは何をしたのか

5件に共通するのは、Claudeが兵器を自律的に製造したのではなく、研究計画、文献の整理、データ分析、助成申請書や進捗報告の作成を支援した点だ。一方、扱われた知識や計算手法は、治療法の開発にも病原体や毒性物質の有害化にも利用できるデュアルユースだった。

• 第1事例では、地域制限を回避する再販プラットフォームの利用者が、チクングニアウイルスの伝播性と免疫回避に関する機能獲得研究の助成申請を進めた。生物安全分類器が要求の一部を拒否すると、プラットフォームは安全策の緩いモデルへ要求を振り分けた。
• 第2事例では、非対応地域の研究者が高病原性鳥インフルエンザの哺乳類適応を研究し、Claudeを研究設計、データ分析、実験候補の優先順位付け、文章編集に利用した。高リスクの要求は分類器に阻まれ、利用は能力の低いモデルに限られたため、Anthropicは支援の上積みを主に事務的、補助的なものと評価した。
• 第3事例では、匿名化された米国のインフラを使う再販中継サービスを介し、オルソポックスウイルスの免疫回避研究に関する助成申請書が作成された。Claudeは仮説、実験設計、投与計画、統計計画などを支援したが、研究がウイルスの弱毒化を目的として説明されていたため、分類器は回答を許可した。
• 第4事例では、研究者が有毒生物に由来するペプチドの情報集約と、分子特性を最適化する計算工程にClaudeを利用した。鎮痛薬や抗うつ薬などの治療目的が掲げられていた一方、同じ基盤は麻痺作用を持つ物質の設計にも転用できた。
• 第5事例では、研究者が国家的な公的研究プログラムの下で、多様な毒素の計算上の再設計と四半期報告書の作成にClaudeを利用した。報告書では、細菌毒素とウイルスタンパク質の正体を意図的に曖昧にするようClaudeへ求めていた。

Anthropicは研究機関、国、一部の生物学的因子や手法を非公開にしている。関係者は現役の科学者であり、同社は危害の意図を断定していない。このため、5件を「Claudeが生物兵器を作った事例」と表現することは、公表内容の範囲を超える。

分類器が止めた研究と通した研究

分類器は、パンデミックを起こし得る病原体の構築に直結する要求では機能した。第1事例では要求の一部を拒否し、第2事例では研究者を安全策の対象となる低能力モデルにとどめ、Claudeが与え得る能力向上を制限した。

一方、第3から第5の事例は、表面上は正当な研究として成立していた。ウイルスの免疫回避機構は弱毒化研究に役立ち、毒性ペプチドは治療候補にもなり得る。同じ研究成果が病原性の維持や有害物質の最適化にも使えるため、個々の入力だけから最終目的を確定するのは難しい。

問題は単純な分類ミスではなく、判定対象そのものが二重用途であることだ。専門家は作業を仮説立案、データ処理、治療候補探索などに分割でき、その各段階には露骨な危害表現が現れない。悪意を示す語がないことは、研究全体が安全である証拠にはならない。

地域制限の回避が研究内容以外の警告信号になった

複数の事例では、非対応地域の利用者が米国の仮想サーバー、匿名化されたメールアドレス、再販業者や中継サービスを通じてClaudeへ接続していた。拒否された要求を別モデルへ送る仕組みや、同一主体を追跡しにくくする接続経路も確認され、研究内容だけでなく利用経路が調査の手掛かりになった。

Axiosの9月11日付の記事 は、Anthropicが5件を遮断したことに加え、専門的な研究では意図の判別が難しく、利用者のアカウントや所属機関に関する情報と一定の利用記録が必要だとする結論を紹介した。分類器が見る入力内容に、誰がどの組織からどの経路で一連の作業をしているかという文脈を重ねる考え方だ。

Anthropicは関係するアカウントを停止し、調査結果をモデルの安全策、執行、脅威情報の分析へ反映した。必要に応じて政府当局や業界の提携先とも情報を共有したとしているが、再販業者や複数モデルをまたぐ迂回まで恒久的に防げたとはしていない。

信頼済み利用枠でも意図そのものは証明できない

Anthropicは、高度な生物学能力へのアクセスを分類器だけで守ることはできず、正当性を確認した利用者に提供する信頼済み利用枠が必要だと結論付けた。想定される防御は、高リスク情報を止める安全フィルターと、アカウントや所属機関の信号、複数の利用を関連付けられる最低限の記録を組み合わせるものだ。

それでも、所属機関が正当なら研究目的も安全だと自動的に証明されるわけではない。今回の事例には、公的または国家支援の研究枠組みと説明された活動や、治療目的を明示した研究も含まれる。信頼済み利用枠は意図を読み当てる仕組みではなく、利用者の正当性を審査し、疑わしい一連の行動を調査可能にする追加の防御層と位置付けるのが正確だ。

現時点で確認されたのは、Claudeが潜在的に危険な二重用途研究を補助し、一部の利用者が地域制限や安全策を回避し、Anthropicが5件に対応したことまでだ。生物兵器計画や差し迫った攻撃は確認されていない。今後は、信頼済み利用枠の具体的な審査基準、保持する記録の範囲、再販サービスや複数モデルを介した迂回への共通対応が焦点となる。