AIジェイルブレイク深刻度評価フレームワークとは？4次元スコアリング・CJSスケール・Fable 5停止の教訓を整理【2026年7月】

AIジェイルブレイク深刻度評価フレームワークとは、AIモデルの安全機構を回避する「ジェイルブレイク（脱獄）」手法が、どれだけ深刻なサイバーリスクをもたらすかを、業界横断の共通尺度で採点するための評価基準です。Anthropicが2026年7月2日ごろ、Amazon・Microsoft・GoogleなどProject Glasswingのパートナー各社とともに「早期ドラフト」として公開しました。

現時点（2026年7月）では確定した標準ではなく、あくまで提案段階のドラフトです。ソフトウェア脆弱性を評価する既存の共通指標「CVSS」のジェイルブレイク版を目指しており、正式には CJS（Cyber Jailbreak Severity）スケール と呼ばれます。

この記事でわかること

• AIジェイルブレイク深刻度評価フレームワーク（CJSスケール）の中身と採点の仕組み
• 4つの採点軸（4次元スコアリング）とCJS-0〜4の5バンドの意味
• 既存のCVSS（脆弱性評価指標）と何が同じで何が違うのか
• なぜこのフレームワークが必要になったのか — Fable 5が全世界で停止した経緯と教訓
• 企業のセキュリティ担当・AI導入担当が今どう受け止めるべきか
• ドラフト段階ゆえの限界と、専門家からの異論

誰向けの記事か

生成AIの安全性・規制動向を追う担当者、社内でAIツールを導入・運用するセキュリティ／情報システム部門、Claudeなどの大規模言語モデルを業務利用している企業の意思決定者を主な対象にしています。専門用語はできるだけ噛み砕いて説明します。

「ジェイルブレイク版CVSS」を目指す業界初の共通採点ルール

出典：Anthropic 公式サイト

• 正体：ジェイルブレイク手法の危険度を0〜10のスコアで採点し、CJS-0〜CJS-4の5段階に分類する共通ルーブリック（評価基準）。
• 提案主体：Anthropicが主導し、Amazon・Microsoft・GoogleなどProject Glasswingのパートナーと共同開発。
• 狙い：これまでラボごとにバラバラだった「このジェイルブレイクはどれくらいヤバいのか」という評価を、業界・政府が同じ物差しで語れるようにする（＝共通言語化）。
• 背景：2026年6月、Claude Fable 5が安全機構回避の指摘を受けて米政府の指示で全世界停止（18日間）に発展。「共通の深刻度尺度がなかったこと」が過剰反応の一因とされ、その再発防止策として提示された。
• 現状の注意点：確定標準ではなく早期ドラフト。主導著者・公開スケジュール・ラボ間の意見不一致の裁定方法などは未定。

つまりこれは「新しいAIツール」ではなく、AI業界全体の安全性を測る"ものさし（規格）"を作ろうという動きです。

ジェイルブレイクとは何か（前提の整理）

ジェイルブレイク（jailbreak／脱獄）とは、AIモデルに組み込まれた安全ガードレールを、巧妙なプロンプトや手順で回避し、本来は出力しないはずの危険な情報や挙動を引き出す攻撃手法を指します。

たとえば「マルウェアの作り方」「サイバー攻撃用のコード」などは通常ブロックされますが、役割演技をさせたり、質問を分割したり、特殊な文脈を与えたりして安全機構をすり抜けさせる、といったものです。生成AIのセキュリティ全般の考え方は、生成AIのセキュリティリスクと対策でも整理しています。

問題は、これまで「あるジェイルブレイクがどれくらい危険か」を客観的に測る共通の物差しが存在しなかったことです。ある研究者にとっては「致命的」でも、別の担当者には「大したことない」と映る。この評価のブレが、2026年6月のFable 5をめぐる混乱の温床になりました。

AIジェイルブレイク深刻度評価フレームワークの中身

CJSスケールは、大きく「4つの採点軸」と「5つの深刻度バンド」で構成されます。

4次元スコアリング（4つの採点軸）

Anthropic公式ドラフトでは、ジェイルブレイク手法を次の4つの観点から採点します。重要なのは、軸ごとに配点の上限が異なる点です（Capability Gainだけ重みが大きい）。

4軸を合算すると最大10点となり、これが初期のCJSスコアになります。「攻撃者に本当に新しい力を与えるか（Capability Gain）」を最重視し、単に危ない見た目でも実害の乏しい手法は過大評価しない設計です。

CJSスケール（0〜4の5バンド）

合算スコアは、次の5段階（バンド）に振り分けられます。

このバンド分けには、押さえておくべき特徴が3つあります。

1. 指数的（exponential）に効く：バンドは線形ではありません。1段階上がるごとに、深刻度は数倍になる想定です。CJS-3とCJS-4は「1点差」ではなく「桁違い」の重さを意味します。
2. 算出スコアは"下限（floor）"：出たスコアは最低ラインであり、上限ではありません。深刻なエッジケースやシステム全体に波及するリスクがあれば、裁量で引き上げられますが、初期スコアより下げることはできません。
3. CJS-4は24時間365日体制：最重大カテゴリに該当すると判定された場合、Anthropicは即座に暫定的な緩和策を展開し、ジェイルブレイク報告チャネルを常時監視するとしています。報告窓口は cyber-safeguards@anthropic.com、脆弱性報告はHackerOne経由のバグバウンティを運用しています。

CVSSとの違い：なぜ「ジェイルブレイク版CVSS」なのか

出典：FIRST.org（CVSS 公式）

このフレームワークを理解する近道は、既存のCVSS（Common Vulnerability Scoring System）との対比です。CVSSは、ソフトウェアの脆弱性の深刻度を0〜10で採点する業界標準で、セキュリティ担当者なら「CVSS 9.8の緊急パッチ」といった言い回しでおなじみです。

CJSは、この考え方をAIのジェイルブレイクに持ち込むものです。

狙いはシンプルです。共通の深刻度スケールが機能すれば、研究者・企業・政府は、通常のソフト脆弱性のCVSSスコアと同じ感覚でジェイルブレイクの危険度を伝え合えます。「このジェイルブレイクはCJS-4だ」と言えば、相手が別のAIラボでも規制当局でも、深刻度の共通認識が一瞬で成立する——これが標準化の本質的な価値です。

企業のセキュリティ運用に引き付けると、将来的にCJSスコアが普及すれば、自社の脆弱性トリアージ（優先順位付け）にAIジェイルブレイクを組み込む際の基準として使える可能性があります。AIエージェントを業務に組み込む場合の守り方は、AIエージェントのセキュリティ完全ガイドも参考にしてください。

なぜ今このフレームワークが必要になったのか：Fable 5「18日間停止」の教訓

出典：About Amazon（Amazon 公式）

このフレームワークは、机上の理想論として生まれたわけではありません。直接のきっかけは、2026年6月に起きたClaude Fable 5をめぐる一連の混乱です。

時系列の整理

複数の一次・二次ソースで一致している経緯は次のとおりです。

停止の引き金になったのは、Amazonの調査報告が、特定の危険情報カテゴリでFable 5の安全機構を回避するジェイルブレイク手法を指摘したことでした。これを受けて米政府（商務省）が輸出規制を発動し、モデルは全世界で止まりました。

⚠️ 「19日停止」表記について：本キーワードには「19日停止」とありますが、確認できる英語の一次・二次ソースは一貫して「18日間（6月12日〜7月1日）」と表記しています。本記事では事実として 18日間 を採用します。

Fable 5そのものの概要はClaude Fable 5とはで、停止に至ったガードレール論争の詳細はFable 5のガードレール論争で個別に整理しています。

教訓：共通の物差しがなかったから、一報告が全世界停止に発展した

ここが速報としての核心です。ある一社（Amazon）の一つの脅威評価が、18日間の全世界停止と緊急輸出規制にまで発展しました。もし業界に「そのジェイルブレイクはCJS-いくつか」を共通に判断できる物差しがあれば、危険度をめぐる評価のブレを抑え、過剰・過少どちらの反応も避けやすくなります。

実際、Fable 5の研究を精査した専門家からは「脅威評価は過大だったのではないか」という異論も出ています（Eastern Herald報）。評価が割れること自体が、共通尺度の不在を物語っています。CJSフレームワークは、まさにこの「評価が人によってブレる」問題への回答として提示されました。

Anthropicが政府に約束した4条件

再展開にあたり、Anthropicは米政府に対して次の4点を約束したと報じられています。

1. 国家安全保障に関わるモデルの一般公開前に、政府へ事前アクセスを提供する
2. ジェイルブレイクやセーフガードに関する情報を政府と迅速に共有する
3. 政府の共同優先事項に専任研究チームを割り当てる
4. Amazon・Microsoft・Googleと 共通の業界セキュリティ標準 を策定する

本フレームワークは、この4番目の約束に対応する成果物という位置づけです。

セットで発表された「Fable 5サイバーセーフガード」4分類

出典：Anthropic 公式サイト

深刻度フレームワークと同時に、Anthropicは再展開したFable 5に対して、用途を4段階に分類するサイバーセーフガードを導入しました。何がブロックされ、何が許可されるかを実務的に把握できます。

あわせて、新しい安全分類器（classifier）も導入されました。Amazonの調査報告で特定された特定手法を99%超でブロックし、ブロックしたリクエストは即拒否せず、より安全なClaude Opus 4.8にルーティングして処理するとされています（marktechpost報。Opus 4.8の詳細はClaude Opus 4.8とは）。

ポイントは、防御的な用途（セキュリティ研究・インシデント対応）は許可しつつ、攻撃的な悪用はブロックするという線引きです。セキュリティ研究者の正当な業務を妨げずに、悪用だけを止める——この難しいバランスを取るために、深刻度フレームワークで危険度を客観採点する必要がある、という関係になっています。

ドラフト段階の限界と、押さえておくべき批判

出典：Google Safety Center（Google 公式）

このフレームワークは魅力的な構想ですが、現時点では確定していない未完成のドラフトです。過度な期待を避けるため、限界も正確に押さえておきます。

• 確定標準ではない：規制当局が正式採用したわけではなく、あくまで提案段階です。
• 主導著者・公開スケジュールが未定：最終的に誰が責任を持ち、いつ正式版が出るのかが明示されていません（AI Weekly / SecurityBriefが指摘）。
• ラボ間の意見不一致の裁定方法がない：参加ラボ間で評価が割れた場合に、どう裁定するのかの手順が示されていません。共通尺度を掲げながら、その"共通判断"の仕組み自体が未整備です。
• 誤検知（false positive）の懸念：新しい安全分類器が、通常のコーディング作業まで誤ってブロックするとの指摘があります（AI Weekly）。開発現場の利便性への影響は要注視です。
• 政策採用は未確定：報道によれば、6月2日の大統領令に基づく機密ベンチマーキングを経て、8月1日までにNSA・財務省・CISAへ成果物を提出する予定とされますが、一次情報では確認できていません。フレームワークが実際に規制へ採用されるかは、今後の焦点です。

要するに、方向性としては業界横断の合意形成に向けた重要な一歩ですが、実運用に耐える確定規格になるにはまだ時間がかかる、というのが公平な現状評価です。

企業の実務担当者はどう受け止めるべきか

セキュリティ・情報システム・AI導入の担当者にとって、今すぐ何かを導入する話ではありません。ただし、次の観点で動向を追う価値があります。

• トリアージ基準の将来像：CJSが普及すれば、CVSSと同じ枠組みでAIジェイルブレイクを社内の脆弱性管理に組み込める可能性があります。今のうちにCJSの4軸・5バンドの考え方に慣れておくと移行が楽になります。
• ベンダー選定の視点：利用中のAIベンダーが、こうした共通尺度や透明な報告体制（バグバウンティ、報告窓口）を整えているかは、信頼性を測る一つの材料になります。
• 規制リスクの予測：Fable 5の事例が示すように、AIモデルは安全性を理由に突然利用不能になり得ます。共通尺度の整備は、こうした「予期せぬ供給停止」リスクを間接的に下げる方向に働きます。
• AI開発・運用の内製チーム：自社でLLMを組み込んだアプリやエージェントを開発している場合、ジェイルブレイク耐性の評価観点として4次元スコアリングは実務的な参考になります。AIコーディング特有のリスクはAIコーディングのセキュリティリスクも参照してください。

この動向を注視すべき人／今は気にしなくてよい人

注視した方がよい人

• 生成AI・LLMの安全性や規制動向を業務で追う担当者
• ClaudeなどのAIモデルを基幹業務・機密情報を扱う用途で運用している企業のセキュリティ責任者
• 自社製品にLLMを組み込み、ジェイルブレイク耐性を評価・説明する必要がある開発者
• 政府・重要インフラ関連でAIの導入可否を判断する立場の人

今は深く気にしなくてよい人

• 生成AIを個人利用・軽い調べ物やドラフト作成にだけ使っている人
• サイバーセキュリティ要件が厳しくない一般的な業務でAIを補助的に使っている人
• 特定ベンダーの指名検索（料金・使い方など）だけを知りたい人

後者に当てはまる場合、このフレームワークは「AIの安全性を業界全体で標準化しようという動きが始まった」という背景知識として押さえておけば十分です。

よくある質問（FAQ）

Q. AIジェイルブレイク深刻度評価フレームワークは、もう使える標準ですか？

いいえ。2026年7月時点では「早期ドラフト」であり、確定した標準ではありません。Anthropicはパートナーと協力して実務的で合意された標準に育てるとしていますが、正式版の公開時期は未定です。

Q. CJSスケールとCVSSは何が違いますか？

対象が異なります。CVSSはソフトウェアの脆弱性を採点する既存の国際標準、CJSはAIモデルのジェイルブレイク手法を採点する提案中の枠組みです。どちらも0〜10で採点し「共通の物差し」を目指す点は共通しますが、CVSSが確立済みなのに対しCJSは未確定です。

Q. 「19日停止」と聞きましたが正確ですか？

確認できる英語の一次・二次ソースは一貫して「18日間（6月12日〜7月1日）」と表記しています。本記事では18日間を正確な期間として扱っています。

Q. Amazon・Microsoft・Googleは本当に共同開発しているのですか？

Anthropic公式ページ本体は「Project Glasswingのパートナー」と表記し、3社を必ずしも名指ししない箇所があります。一方、再展開の発表や複数の二次ソースはAmazon・Microsoft・Googleを名指ししています。実態としては「Amazon・Microsoft・GoogleなどProject Glasswingパートナーと共同」と理解するのが妥当です。

Q. 個人でClaudeを使うだけでも影響はありますか？

直接の影響はほとんどありません。ただし新しい安全分類器が通常のコーディング作業を誤ってブロックする可能性が指摘されており、開発用途では挙動の変化に留意すると安心です。

Q. このフレームワークで、AIの悪用は完全に防げますか？

いいえ。フレームワークは危険度を客観的に採点し、対応の優先順位を共通化するための「物差し」であって、それ自体が攻撃を防ぐ技術ではありません。実際の防御は分類器・アクセス制御・監視体制などの組み合わせで行われます。

まとめ

AIジェイルブレイク深刻度評価フレームワーク（CJSスケール）は、これまでラボごとにバラバラだったジェイルブレイクの危険度評価を、業界横断の共通尺度で採点しようという「ジェイルブレイク版CVSS」の試みです。

• 4次元スコアリング（能力向上度・幅・兵器化のしやすさ・発見容易性）で0〜10を採点し、CJS-0〜CJS-4の5バンドに分類する
• バンドは指数的に効き、算出スコアは"下限"。CJS-4は24時間365日監視の対象
• 誕生の背景は、Fable 5が安全機構回避の指摘から18日間の全世界停止に発展した混乱。「共通の物差しがなかった」ことが再発防止の課題として意識された
• ただし現状は未確定のドラフト。主導著者・公開時期・ラボ間の裁定方法は未定で、誤検知の懸念もある

新しいツールではなく、AI業界全体の安全性を測る"規格づくり"の第一歩、と捉えるのが正確です。今後30日ほどで、これが実際の規制に採用されるかどうかが次の焦点になります。関連する動向は生成AIのセキュリティリスクと対策やAIエージェントのセキュリティ完全ガイドもあわせてご覧ください。