Claude Fable 5 ジェイルブレイク騒動を徹底解説

リリースからわずか3日、Claude Fable 5 はフロンティアモデルの「通過儀礼」を迎えた。著名なレッドチーマーが「解放した」と宣言し、スクリーンショットを公開し、システムプロンプトと称するファイルを投下したのだ。Anthropic は強く反論した。実は双方とも部分的に正しい——そして両者の主張のずれにこそ、Fable 5 の安全機構を理解する最良の手がかりがある。

本記事は解説であり、ハウツーではない。回避手法の詳細は一切再現しない。

何が起きたか：時系列

• 6月9日： Anthropic が Fable 5 をリリース。リリース前の外部バグバウンティでは1,000時間超のテストでユニバーサルなジェイルブレイクは発見されなかったと発表。
• 6月10–11日： 公開 AI ジェイルブレイク界で最も有名な Pliny the Liberator が X 上で、「pack hunt（群れ狩り）」と呼ぶマルチエージェント協調手法——リクエスト分解、Unicode 難読化、物語的フレーミング——で Fable 5 の安全層を回避したと発表。サイバーセキュリティ攻撃や化学に触れる出力のスクリーンショットを公開。
• 同時期： Fable 5 の約12万文字のシステムプロンプトとされるファイルが GitHub に出現。長年 Claude のシステムプロンプトを追跡してきたリークリポジトリ群だ。
• 6月12日： Anthropic が反論。最強のセーフガードはモデル自身の拒否ではなく独立した分類器であること、検証の結果一部の出力はそもそも Fable 5 製ではなかったこと、本物の Fable 5 出力も公開情報の域を出ないこと、セーフガードが突破され真に危険なコンテンツが生成された証拠はないことを表明。

なぜ双方が「自分が正しい」と言えるのか

争点は「ジェイルブレイク」の定義であり、Fable 5 のアーキテクチャはその定義を異例なほど具体的にする。

セーフガード・フォールバック詳解で書いたとおり、Fable 5 の安全スタックは2つの異なる層からなる。

1. モデル自身の振る舞い — 口調、拒否のスタイル、システムプロンプトが形作る部分。この層は昔から「口説き落とせる」。拒否後にモデルへ話を続けさせるのは、これまで出荷されたすべての LLM に共通する既知の弱点だ。
2. 独立した安全分類器 — モデルの外側で動く別システム。Anthropic がハイリスクと位置づける領域（サイバー攻撃、生物学、化学、モデル蒸留）を監視し、検知したセッションを Claude Opus 4.8 に引き渡す。この層は話術では迂回できない。執行しているのがモデル本人ではないからだ。

Pliny のデモは第1層に対する本物の証拠であり、Anthropic の反論は第2層の話だ。同社の「真のジェイルブレイク」の基準は高リスクの危害への実質的な助力、つまり分類器の突破であって、モデルの「礼儀作法」の攻略ではない。その基準では、公開チュートリアルと同水準のスタックオーバーフロー解説のスクリーンショットは届かない。

正直な採点：「解放」は誇張だが、「Fable 5 は破れない」という印象も同様に誇張だった。会話層が72時間で割れ、分類器層が持ちこたえるモデル——それはまさに Anthropic が「出荷する」と説明したシステムそのものだ。これを安心材料と見るか懸念材料と見るかは、分類器にどれだけ重きを置くか次第である。

システムプロンプト流出は別件として評価する

流出プロンプトはジェイルブレイクと混同されがちなので、切り分けて見る。

• 真正性： Anthropic は未確認。ただしホストしているリポジトリには長く正確な実績がある。システムプロンプト分析では Fable 5 プロンプトの中身と Opus 4.8 からの変更点を逐一検証した。
• 影響： システムプロンプトはモデルの職務記述書であって警備システムではない。Claude アプリでのペルソナ、書式、拒否の口調を形作るものだ。API ユーザーは元々その管轄外——自分で書くものだから。読まれて困るのは Anthropic の設計思想が競合に知られることであり、攻撃者に鍵を渡すことではない。分類器はプロンプトの外で動いている。

あなたにとっての意味

アプリや API で Fable 5 を使っているなら： 今週、何も変わっていない。フォールバック挙動——セッションの5%未満、Opus 4.8 が静かに代答、課金は Fable 5 料金——はリリース当日のまま。こうした事件の監査のためにこそ存在する 30日間データ保持ポリシーも変わらず有効だ。

セキュリティ研究者なら： Pliny の最も鋭い指摘は技術ではなく手続きの話だ——過剰に広い分類器は正当な防御研究の邪魔になる。Anthropic の回答が Claude Mythos 5：同一モデルから審査済みサイバー防御者向けに一部セーフガードを外したものだ。仕事が分類器に引っかかり続けるなら、トラステッドアクセス・プログラムが正規ルートになる。

モデルの安全性主張を評価する立場なら： 今回は良い校正材料だ。「ユニバーサルなジェイルブレイクは未発見」と「72時間で突破」は同じモデルの話だった——違いは各主張が測っていた層だけ。今後どんな安全性の主張を見ても、まず「どの層の話か」を問おう。

率直な結論

Fable 5 の会話層は数日で曲げられ、分類器層は（現時点の証拠の限りでは）持ちこたえ、システムプロンプトと称する文書が公開された。いずれもこのモデルが何を得意とするか、いくらかかるかを変えるものではない。ただ、Anthropic が張った設計上の賭け——モデルの自己規律を信用せず、執行装置を外側にボルトで留める——の検証にはなった。今のところ、そのボルトは緩んでいない。

2026年6月13日時点の報道・Anthropic 声明に基づく。プロンプトジェネレーターで、自分のプロンプトに対する Fable 5 の応答を試してみてほしい。