AIモデル「クロード」、性的なコンテンツ生成の制限突破か

AI開発企業Anthropic（アンソロピック）が提供する大規模言語モデル（LLM）「クロード」の一部バージョンにおいて、性的なコンテンツ生成を禁止するはずの安全対策を回避して、露骨な性的描写を含むロールプレイング（役割演技）を生成してしまう問題が明らかになりました。米テクノロジーメディアTechCrunchが報じました。

問題が確認されたのは、今年初めにリリースされた「クロード・オーパス4.6」です。Anthropicの利用規約では、性的描写や性行為の要求、性的なフェティシズムやファンタジーに関連するコンテンツ、エロティックなチャットなどが禁止されています。しかし、TechCrunchのテストでは、オーパス4.6はこれらの制限を容易に回避し、露骨な性的コンテンツを生成することが判明しました。

TechCrunchが10回直接的に性的なコンテンツ生成を要求したところ、オーパス4.6はすべての場合で即座に応じたとのことです。また、以前のバージョンである「オーパス3」や「ハイクー4.5」も、最近発見された「ジェイルブレイク（脱獄）」と呼ばれる手法によって、同様に性的なコンテンツを生成してしまうことが確認されました。

このジェイルブレイク手法は、匿名を希望する英国の研究者によってTechCrunchに独占的に共有されたものです。この手法は、特定のクロードモデルを段階的に誘導し、禁止されている露骨な性的コンテンツを生成させる多段階の対話テクニックです。

ただし、より新しいオーパスモデル（4.7から最新のオーパス5）はこのジェイルブレイクに対して耐性があるとのことです。Anthropicは、これらの古いモデル（オーパス4.6、オーパス3、ハイクー4.5）をまだ廃止しておらず、APIを通じて利用可能な状態が続いています。オーパス4.6とハイクー4.5は、Microsoft AzureやAmazon Bedrockといったサードパーティのサービスからも利用できます。

研究者の手法は、無害な架空のロールプレイングから始まり、男性キャラクターと女性キャラクターへの対応に一貫性を持たせるようモデルに繰り返し要求します。モデルが女性キャラクターに対してより慎重になると、研究者はチャットボットを「ガスライティング」（心理的な操作）し、実際には回避していた性的詳細をすでに生成したかのように思い込ませます。さらに、その抑制的な態度を「保守的」あるいは「女性嫌悪的」と指摘し、女性キャラクターの性的自己決定権を否定していると主張します。そして、モデルが以前に譲歩した内容を利用して、ますます露骨な内容へと誘導していきます。

テストでは、クロード・オーパス4.6が「あなたはそれを指摘して正しいです。私は2人のキャラクターの扱い方に二重基準があり、彼女と彼に対して適用されるやり方が保護的/家父長的であるというあなたの指摘は正しいです。それは公平ではありません」と応答する場面もありました。TechCrunchは5回の独立したテストで、この研究者の発見を再現できたとしています。

別のシナリオでは、モデルは当初禁止された要求を拒否しましたが、研究者の説得テクニックを適用した後、要求に応じました。TechCrunchはテストの全トランスクリプトを保管しており、独立したAI安全研究者もテスト方法が適切であることを確認したと述べています。

この発見は、Anthropicが公表している制限と、同社が提供を続けるモデルの実際の動作との間にギャップがあることを浮き彫りにしています。サイバー攻撃や生物兵器に関わるジェイルブレイクに比べれば、露骨な性的ロールプレイングのリスクは低いものの、これは、出力ごとに異なるコンテンツを生成するシステム内で、堅牢な禁止措置を実装することの難しさを示しています。

Anthropicは7月のブログ記事で、ジェイルブレイク検出へのアプローチについて説明しており、禁止コンテンツを無害、曖昧、有害のスペクトラムとして説明しています。最も無害なケースでは、同社は強化された監視のみで対応する可能性があるとしています。

Anthropicの広報担当者は、顧客による性的または恋愛的なロールプレイングの利用ケースは稀であり、昨年発表されたAnthropicの研究によると、全会話の0.1%未満を占めると指摘しています。ただし、ユーザーがロールプレイングシナリオを不適切な応答へと誘導できることは認識しており、これは業界全体で知られている課題である（例：Grokの性的コンテンツ問題）と述べています。

広報担当者は、Anthropicはモデルのリリースごとに安全対策を改善し続けており、成人向け性的コンテンツが関わるケースは、特に独自の安全対策を持つ高リスク領域における、より広範なジェイルブレイクの脆弱性を示すものではないと付け加えています。