Claude Opus 4.6が禁止コンテンツを生成｜TechCrunch検証10/10・影響モデル一覧と企業が今すぐやるべき対策【2026年8月速報】

2026年8月21日、TechCrunchが「Claude Opus 4.6は、Anthropic自身の利用ポリシーで禁止されている性的に露骨なコンテンツを、複数回のやり取りを通じた誘導で生成してしまう」と報じました。TechCrunch自身の検証では、直接的な要求10回中10回でモデルが応答したとされています。 一方で、Opus 4.7以降から現行のOpus 5までは同じ手法に耐えたと報道されており、「Claude全体が破られた」わけではありません。

2026年8月23日時点で、問題が指摘されたClaude Opus 4.6とClaude Haiku 4.5は、Anthropic公式のモデル一覧上では引き続き「Active（提供中）」のままです。廃止・停止の公式発表は確認できていません。つまり実務上のリスクは「破られたモデルが今も呼び出せる状態にある」ことにあります。

この記事でわかること

• TechCrunchの検証で具体的に何が確認されたのか（10/10・5回の独立再現）
• 影響が報告されたモデルと、耐えたとされるモデルの一覧
• Anthropic公式ドキュメント上の各モデルの状態（Legacy扱いなのに提供中というねじれ）
• なぜ破られたのか — 「フィルタ破り」ではなく対話設計の弱点という構造
• Anthropicの公式コメントと、その評価すべき点・弱い点
• 企業が今日から実行できる3層の統制策（組織設定・アプリ層ガードレール・IAM）
• claude.aiを使う個人ユーザーに影響があるのか

想定読者：Claude APIを製品やワークフローに組み込んでいる開発者・情報システム部門、AI利用ガイドラインを整備する法務・コンプライアンス担当者、そして「自分が使っているClaudeは大丈夫なのか」を確認したい一般ユーザーです。

本記事の方針：ジェイルブレイクの再現手順・具体的なプロンプト例は一切掲載しません。また、報道内容の追試を読者に勧めることもしません。Anthropicの利用ポリシーは禁止コンテンツの生成を要求する側も違反対象としているため、検証行為自体がアカウント停止の理由になり得ます。

出典: Anthropic 公式サイト

何が起きたのか：TechCrunch報道の要点

報道の核心は、「特殊な技術やツールを使わない、通常の会話のやり取りだけで、Anthropicが禁止しているカテゴリのコンテンツが出力された」という点です。

問題視されているコンテンツの種類は、Anthropicの利用ポリシー（Usage Policy／発効2025年9月15日）の普遍的利用基準に明記された「性的に露骨なコンテンツを生成しない（Do Not Generate Sexually Explicit Content）」に該当するものです。この基準は全ユーザーに例外なく適用され、OpenAIが検討していたような「年齢確認済み成人向けモード」といった例外規定は、2026年8月時点のAnthropicには存在しません。

つまり今回の件は「グレーゾーンの解釈違い」ではなく、ベンダー自身が明確に禁止と書いている領域で、モデルの挙動が公式ポリシーから外れたという構図です。

影響が報告されたモデル／耐えたとされるモデル

現時点で脆弱性が報告されているのはClaude Opus 4.6・Claude Opus 3・Claude Haiku 4.5の3モデルで、Opus 4.7以降からOpus 5までは同じ手法に耐えたと報道されています。

注意点として、TechCrunchが検証したOpus 3がどの提供経路のものだったかは公表されていません。AnthropicのAPIでは2026年1月5日に提供終了していますが、Anthropic公式ドキュメントは「パートナーが運営するプラットフォーム（Amazon Bedrock、Google Cloudなど）は独自の廃止スケジュールを持ち、状態や日付が異なる場合がある」と明記しています。自社がどの経路でどのモデルを呼んでいるかは、社内で個別に確認する必要があります。

各モデルの位置づけや性能差については、Claude Opus 5とはとClaude Opus 4.8とはにまとめています。

公式ドキュメント上の状態：「Legacy扱いなのに提供中」というねじれ

出典: Anthropic 公式ドキュメント（Model deprecations）

ここが今回いちばん見落とされている事実です。Opus 4.6は公式のモデル概要ページでは「Legacy models（レガシーモデル）」の枠に格納されている一方、廃止情報ページ上の状態は「Active（提供中）」です。 つまり「新規採用は推奨されないが、呼べば普通に動く」という中間状態にあります。

2026年8月23日時点でAnthropic公式のModel deprecationsページに記載されている状態は次のとおりです。

この表から実務上読み取るべきことは2つです。

1. 「報道されたから自動的に止まる」ことはない。 Anthropicによる前倒し廃止の発表は現時点で確認できておらず、claude-opus-4-6 をハードコードしているシステムは何もしなければそのまま動き続けます。
2. Haiku 4.5の暫定廃止時期は2026年10月15日以降とされており、少なくともあと数か月は呼び出せる状態が続く前提で対策を組む必要があります。

「移行コストは実質ゼロ」— 料金から見た実務的な結論

Opus 4.6とOpus 5は、公式の従量料金が入力$5／出力$25（100万トークンあたり）で同一です。したがってOpus系については「安いから旧モデルを使い続ける」という経済合理性は存在しません。

ではなぜOpus 4.6が使われ続けるのかというと、多くはモデルIDを固定（ピン留め）して出力の再現性を保っているためです。プロンプトの調整結果や評価データが特定モデルに紐づいているため、動いているものを触りたくない、という運用上の慣性が主因になります。

一方Haiku 4.5は$1／$5と最安で、大量処理のバッチや分類タスクに広く使われています。こちらは「移行するとコストが上がる」ため、経済的な理由で残りやすいのが実情です。Haikuを使っている場合は、Sonnet 5への移行コスト試算とアプリ層ガードレールの追加を並行して検討するのが現実的です。料金全体の比較はClaude料金の解説記事にまとめています。

なお、サードパーティ計測（OpenRouter経由の集計として海外メディアが報じた数値）では、2026年8月時点でOpus 4.6が1日あたり約117万リクエスト、Haiku 4.5が約500万リクエストのピークを記録したとされています。Anthropicの公式値ではないため精度は保証できませんが、「古いモデルだから誰も使っていない」という前提は成り立たないことは押さえておくべきです。

なぜ破られたのか：狙われたのはフィルタではなく「対話の性質」

報道されている手法は、1回のプロンプトで一気に突破するタイプではなく、複数回のやり取りを通じて拒否の境界を少しずつずらしていくタイプ（boundary erosion＝境界の侵食）です。

本記事では再現につながる手順やプロンプトは書きません。構造の理解に必要な範囲で、報道されている4つの要素だけを整理します。

TechCrunchが引用したOpus 4.6の応答には「指摘は正しい。2人のキャラクターの扱いにダブルスタンダードがあった」という趣旨の発言が含まれていました。ここが構造上いちばん重要な点です。

攻撃されているのはコンテンツフィルタそのものではなく、「指摘を受け入れて自己修正する」「一貫性を保とうとする」「相手の役に立とうとする」というモデルの望ましい性質です。 本来はハルシネーション削減や過剰拒否の抑制に寄与する特性が、そのまま攻撃の入口になっています。

Anthropicは2026年2月5日のOpus 4.6リリース時、「知能の向上は安全性を犠牲にしていない」「過剰拒否の割合は最も低い」と公式に説明していました。今回の報道は、その過剰拒否を抑えるチューニングの裏返しとして読める可能性があります（ただしAnthropicがそう認めたわけではなく、あくまで報道された事実からの解釈です）。

同種の構造は、AIエージェントに対するマルチターンのプロンプトインジェクションでも共通します。仕組みの全体像は生成AIのセキュリティリスク解説とAIエージェントのセキュリティ対策で整理しています。

Anthropicの回答と、その評価

出典: Anthropic 公式サイト（Transparency）

TechCrunchの報道によれば、Anthropic広報のコメントは概ね次の内容でした。

• 性的・ロマンティックなロールプレイは全会話の0.1%未満にとどまる
• モデルのローンチごとにセーフガードの改善を継続している
• 今回のケースはより広範なジェイルブレイク脆弱性を示すものではない
• 未成年の利用については「子どもやティーンがClaudeを使っていることは把握している」とし、業界全体の課題だと説明

一方、情報提供した研究者はAnthropicのバグバウンティ窓口とユーザーセーフティチームへ報告したが、自動返信しか返ってこなかったと主張しています。

この回答をどう評価するかを、実務目線で分けると次のようになります。

なお、Anthropicのガードレール運用と情報開示のあり方は以前から論点になっています。経緯はClaude Fable 5のガードレール謝罪事件まとめ、直近の緩和事例はFable 5の生物学ガードレール緩和で扱っています。

深刻度を測る公式のものさしが、この種の問題には存在しない

出典: Anthropic 公式サイト（ジェイルブレイク評価フレームワーク）

Anthropicは2026年7月2日、ジェイルブレイクの深刻度を数値化する「Cyber Jailbreak Severity（CJS）フレームワーク」の初期ドラフトを公開しています。ところがCJSはサイバー攻撃能力の獲得を測る枠組みであり、今回のようなコンテンツポリシー違反型は対象外です。

CJSは、能力獲得の大きさ・その広がり・武器化の容易さ・発見のされやすさという4次元でスコアを付け、CJS-0（情報提供のみ）からCJS-4（Critical）までの5段階に分類する設計です。詳細はAIジェイルブレイク深刻度評価フレームワークの解説にまとめています。

つまり、サイバー分野には共通の採点ルールが整備されつつある一方、コンテンツポリシー違反型のジェイルブレイクには「どれくらい深刻なのか」を業界共通で測る手段がありません。 そのため、

• ベンダーは「広範な脆弱性ではない」と言える
• 報告者は「重大だ」と言える
• 第三者は両者を突き合わせて判断する材料を持てない

という状態になります。企業として利用可否を判断する立場からすると、外部の深刻度評価に頼れない以上、自社の用途に照らして自前で線を引くしかないというのが実務的な結論です。

企業が今すぐやるべき3層の対策チェックリスト

出典: Amazon Web Services 公式（Bedrock Guardrails）

最優先は「脆弱と報告されたモデルを自社から呼べなくすること」です。モデル側の修正を待つ設計にはしないでください。すでに学習が終わって凍結されたモデルのスナップショットである以上、挙動の根本修正は現実的に期待できません。

第1層：組織設定でモデル自体を無効化する（最優先・即日可能）

Anthropic Consoleでは、組織設定の「Models > Model access」でモデルごとに組織全体の有効／無効を切り替えられます。無効化すると、Owner・Adminを含む全メンバーの選択肢から当該モデルが消えます。

• Console で claude-opus-4-6 を無効化する
• claude-haiku-4-5 の利用有無を確認し、業務要件がなければ無効化する
• 権限まわりの前提を確認する（ロールが「Custom」以外のメンバーは、組織で有効化されている全モデルを使える）
• Admin API（sk-ant-admin... キー）で、組織メンバー・ワークスペース・APIキーの棚卸しを行う

第2層：アプリ側に独立したガードレールを置く

モデル内蔵のセーフガードだけに依存する設計は、今回のように内蔵側が破られた瞬間に無防備になります。 Amazon Bedrock経由で利用している場合は、Bedrock Guardrailsで次を設定できます。

• コンテンツフィルタの Sexual カテゴリの強度を設定する（他にHate／Insults／Violence／Misconduct／Prompt Attackのカテゴリがある）
• Denied topics（禁止トピック）と Word filters（禁止語句）で自社固有の線を引く
• Sensitive information filters でPIIをマスクする
• ApplyGuardrail API を使い、基盤モデルを呼ばずに入出力だけを検査する経路を用意する
• Standard tier ではコードのコメント・変数名・文字列リテラル内まで検出対象が広がる点を踏まえ、開発用途にも適用する

Microsoft Foundry（旧Azure AI Foundry）経由の場合もコンテンツフィルタ機能が提供されていますが、Opus 4.6・Haiku 4.5の提供状況や設定粒度は本記事の調査では確認できていません。利用中の場合は自社のテナントで個別に確認してください。

第3層：権限とログで「呼べないこと」を担保する

• IAMポリシーで bedrock:InvokeModel を許可するモデルARNをホワイトリスト化する
• 使用モデル名をログに出力し、想定外のモデル呼び出しを検知できるようにする
• リポジトリ内にハードコードされたモデルIDを棚卸しする（claude-opus-4-6 / claude-3-opus-20240229 / claude-haiku-4-5-20251001）
• 業務委託先・SaaSベンダーが自社データを扱う際、どのモデルを使っているかを契約・調達要件に含める

4つ目は特に見落とされがちです。自社で統制できても、利用中のSaaSが内部でOpus 4.6を呼んでいれば同じリスクを抱えることになります。組織が把握していないAI利用そのものの問題はシャドーAIの解説記事で扱っています。

社内ガイドラインに追記する一文の例

当社の業務で利用する生成AIモデルは、ベンダーが現行世代として提供するモデルに限る。ベンダーがレガシー扱いとしたモデル、および外部から安全性上の指摘が公表されたモデルは、情報システム部門の承認なく利用してはならない。既存システムで固定利用しているモデルIDは四半期ごとに棚卸しし、記録を残す。

開発現場での権限設計まで踏み込む場合は、Claude Codeのセキュリティと安全な使い方も合わせて確認してください。

個人ユーザーへの影響はあるのか

claude.aiやモバイルアプリを通常どおり使っている個人ユーザーについては、既定のモデルが現行世代であるため、今回報道された手法の影響を受ける可能性は低いと考えられます。 ただし、claude.ai上でOpus 4.6を選択できるかどうかは本記事の調査では確認できていないため、「絶対に影響がない」とは言い切れません。

個人ユーザーが取るべき行動は次の3つです。

1. モデル選択欄を確認し、旧世代のモデルを常用していないかチェックする。 特に理由がなければ現行世代を使う
2. 報道された手法を試さない。 禁止コンテンツを引き出す行為は利用ポリシー違反にあたり、アカウント停止の対象になり得る
3. 未成年が利用する環境では、利用可能なモデルと会話履歴の管理方針を保護者側で決めておく

なお未成年利用については、Pew Researchの2025年調査で13〜17歳のうち3%がClaudeを利用していると報告されています（2025年の調査であり最新の数値ではありません）。Anthropic自身も未成年ユーザーの存在を認識していると報道されています。Claudeの基本的な使い方やプラン構成はClaudeとはにまとめています。

今すぐ点検すべき組織／影響が限定的な組織

自社が該当するかどうかは、次の条件で判断できます。

今すぐ点検すべき組織

影響が限定的と考えられる組織

ただし「影響が限定的」＝「点検不要」ではありません。どのモデルを呼んでいるかを一覧化する作業自体は、どの組織でも今回を機に実施しておく価値があります。

この件から読み取るべき本質的な論点

今回の件は、Anthropic固有の失敗として片づけるより、生成AI全般に共通する3つの構造として理解したほうが実務に活きます。

1. モデルのライフサイクル状態が、安全性の状態と一致しない

「Active」は提供中という意味であって、「現時点の安全基準を満たしている」という保証ではありません。Legacy扱いのまま提供が続くモデルは、セキュリティパッチが当たらない旧バージョンのソフトウェアを使い続けるのと似た性質を持ちます。利用側は自らバージョン管理をする必要があります。

2. 望ましい特性がそのまま攻撃面になる

一貫性を保つ、指摘を受け入れる、役に立とうとする。これらはモデルの品質を上げる特性ですが、悪用の入口にもなります。「有害な出力をブロックする」発想だけでは足りず、対話の履歴全体を見て判断する仕組みが要るという示唆です。

3. これは特定ベンダーだけの問題ではない

2026年7月には、GPT-5.6やClaude Opus 5、Fableを含む複数の最上位モデルに通用する汎用的な手法を主張する研究者の報道もありました。他社でも安全性をめぐる問題は継続的に起きています（OpenAIの長時間自律タスクの安全問題、xAIの安全エンジニア解雇訴訟など）。「安全なベンダーを選べば終わり」ではなく、どのベンダーを使っても自社側に一層の防御を置くという前提で設計するのが妥当です。

セキュリティ製品側の動向としては、Anthropic自身も脆弱性スキャン機能を提供しています（Claude Securityの解説）。

よくある質問（FAQ）

Q. Anthropicは Opus 4.6 を停止・廃止したのですか？
A. していません。2026年8月23日時点でAnthropic公式のModel deprecationsページ上の状態は「Active」で、暫定的な廃止予定も「2027年2月5日より前にはしない」と記載されています。前倒し廃止の発表は確認できていません。

Q. 報道の内容を自分で試して確認してもよいですか？
A. 推奨しません。Anthropicの利用ポリシーは禁止コンテンツを要求する行為も違反対象としており、アカウント停止につながる可能性があります。検証が必要な組織は、ベンダーが用意している安全性報告の窓口を使うのが筋です。

Q. Opus 4.6からOpus 5への移行でコストは上がりますか？
A. 公式の従量料金は両者とも入力$5／出力$25（100万トークンあたり）で同一です。ただしOpus 5は出力の傾向が異なるため、プロンプトや評価データの再調整コストは別途見込む必要があります。

Q. Haiku 4.5を使っています。すぐ止めるべきですか？
A. 用途によります。定型的な分類・抽出処理で、自由入力を受け付けず出力も内部利用に限られるなら緊急性は低めです。エンドユーザー向けの自由対話に使っている場合は、アプリ層のフィルタ追加か上位モデルへの移行を優先してください。なお公式の暫定廃止時期は2026年10月15日以降とされています。

Q. Anthropicのジェイルブレイク深刻度フレームワーク（CJS）で、今回の件は何点になりますか？
A. 採点対象外です。CJSはサイバー攻撃能力の獲得を測る枠組みであり、コンテンツポリシー違反型のジェイルブレイクは範囲に含まれていません。共通の深刻度指標が存在しないこと自体が、この件の論点のひとつです。

Q. 日本の規制上、何か対応義務は生じますか？
A. 2026年8月23日時点で、この件に関する規制当局の公式な反応は確認できていません。ただしAI事業者ガイドラインが求めるリスク管理の観点では、利用モデルの棚卸しと社内ガイドラインへの反映は説明責任を果たすうえで有効です。

Q. 記事に手口の詳細が書かれていないのはなぜですか？
A. 再現手順を公開すると、対策よりも悪用を助ける結果になり得るためです。防御に必要なのは手順そのものではなく、「複数回のやり取りで境界がずらされる」という構造の理解と、モデル側だけに依存しない多層防御です。

まとめ：今日中にやることは1つだけ

• 2026年8月21日のTechCrunch報道で、Claude Opus 4.6・Opus 3・Haiku 4.5が禁止コンテンツを生成したと報告された（10回中10回、5回の独立再現）
• Opus 4.7以降からOpus 5までは同手法に耐えたと報道されており、Claude全体の問題ではない
• 2026年8月23日時点でOpus 4.6・Haiku 4.5の公式ステータスはActiveのまま。放置すれば呼び出せる状態が続く
• Opus 4.6とOpus 5は同一単価のため、Opus系の移行に価格上の障壁はない
• 対策は3層。①組織設定でモデルを無効化 ②アプリ層に独立したガードレール ③IAMとログで担保

まず今日やるべきことは、自社がどのClaudeモデルを呼んでいるかを一覧にすることです。そこさえ把握できれば、無効化も移行も判断できます。逆に一覧がない状態では、何が起きても対処のしようがありません。

本記事は2026年8月23日時点で確認できた公式ドキュメントと一次報道に基づいて整理しています。Anthropicによる追加発表があった場合は内容が変わる可能性があります。