Anthropic、セーフガード遮断の課金を一部再開

AIプラットフォームを標的とした悪意ある攻撃や不正利用の試みが増加する中、安全機構の運用とコスト負担のあり方に変更が加えられました。米Anthropicは開発者向け公式アカウント（@ClaudeDevs）を通じ、Claude（Anthropicが開発する対話型AIモデル）が応答テキストを出力する前にセーフガード（安全保護フィルター）によって事前遮断されたAPIリクエストに対する課金を、特定カテゴリに限定して再開すると発表しました。ここ数週間にわたりシステムに対する組織的な協調攻撃が観測されており、防御レイヤーを強化するための措置と説明しています。

偽陽性率0.1%未満の3分野に限定した課金再開

公式発表で明らかにされたポリシー変更の要点は以下のとおりです。

• ​対象カテゴリの限定​: 課金が再開されるのは、分類器（classifier）の誤検出率（偽陽性率）が0.1%未満（<0.1%）に厳密にチューニングされた分野のみです。具体的には「生物学（biology）」「蒸留攻撃（distillation attacks）」「フロンティアLLM開発（frontier LLM development）」の3カテゴリに限定されます。
• ​協調攻撃への多層防御​: 直近の数週間においてAnthropicのインフラに対する組織的なプロービングや攻撃が確認されており、今回の課金再開はその多層防御を構成する重要な1レイヤーとして位置づけられています。ブロック時の課金を復活させることで、攻撃者が無コストで安全境界を探索し続けるリスクを抑制します。
• ​一般利用者への影響​: Claude Code、Claude.ai、あるいは Cowork を利用するアカウントを対象とした直近のテストでは、​99.7%のアカウントが今回課金対象となるブロックに一切遭遇しなかった​​ことが確認されています。
• ​異議申し立て窓口​: 誤検出率が0%ではないことを認識した上で、今後も分類器の精度改善を継続するとしています。万が一正規のリクエストが誤って遮断されたと判断した場合は、Claude Code上の /feedback コマンドから報告を受け付けています。

開発現場への影響と未確認事項の整理

今回のポリシー変更が実務に与える影響と、現時点で確認が必要な点を整理します。

日本の開発者・事業者への影響

日本国内でClaude APIやClaude Codeを利用して業務システムやWebサービスを構築している一般的な開発者にとって、今回の変更による影響は極めて限定的です。通常の自然言語処理タスクや社内文書検索、一般的なプログラミング支援では、生物兵器関連やモデル蒸留といった特定カテゴリの遮断閾値に抵触することはまずありません。

一方で、バイオテクノロジー・製薬分野の先端研究を行っている組織や、モデルの振る舞い検証を行うセキュリティ研究者、フロンティアモデルの評価パイプラインを運用している企業では、プロンプトの記述内容によってセーフガードが誤作動した場合に課金が発生するリスクがあります。該当するユースケースでは、API呼び出し時のエラーハンドリングを再点検し、拒絶レスポンス受信時の過度な自動リトライを抑制するなどの対策が推奨されます。

現時点での未確認事項

今回の発表はX上での速報形式で行われており、以下の実務的詳細については今後の公式ドキュメント（How refusals are billed等）の改訂が待たれます。

• 事前ブロック時に請求されるトークン計算基準（入力プロンプトのトークン数全量か、定額の手数料か）
• 誤検出報告（/feedback）が受理された場合の返金またはクレジット付与の具体的な手続きプロセス

セキュリティとユーザー利便性のバランスに関する分析

LLMサービスにおいて「出力前の事前拒絶（pre-output refusal）を課金対象とするか否か」は、AI業界全体で議論が続いているテーマです。無償で拒絶し続けると、攻撃者は課金されることなく膨大な回数のリクエストを送信して安全フィルターの抜け穴（ジェイルブレイク手法）を探索できます。

一方で、正規の開発者が正当な問い合わせで誤検知された場合に課金されることは強い不満を招きます。今回Anthropicが「誤検出率が0.1%未満と実証された特定3分野のみ」に限定して課金を再開し、99.7%のユーザーに影響がないことを数値で示したアプローチは、防犯上の必要性と正規ユーザーの保護を両立させようとする極めて現実的な判断といえます。

引用元：X (Twitter) | GIGAZINE