Anthropic「SLEIGHT-Bench」、AI監視システムの死角を突く回避テキストのベンチマークを公開

3行まとめ

1. Anthropicが2026年5月19日、AI監視の死角を測るベンチマーク「SLEIGHT-Bench」を公開
2. 11カテゴリ40件の合成トランスクリプトで、AIモニターが攻撃をどれだけ捕捉できるか測定
3. Claude Opus 4.6でも攻撃の50%は10回の試行で一度も捕捉されなかったと報告

AnthropicがSLEIGHT-Benchを公開した経緯

Anthropicのアライメント研究ブログ（Alignment Science Blog）で、2026年5月19日に「SLEIGHT-Bench」という安全性ベンチマークが公開された。著者はElle Najt氏、Colin Toft氏、Tyler Tracy氏、Fabien Roger氏、Joe Benton氏で、AnthropicのFellows Programの一環とされている。

SLEIGHT-Benchは、AIエージェントの行動を別のAI（モニター）が監視する仕組みの「死角」を突くために作られた。具体的には、11カテゴリにまたがる40件の合成トランスクリプト（攻撃シナリオ）で構成される。SLEIGHTは「Subtle Low-itEration Insight-Guided Harmful Transcripts」の略だと説明されている。

ここでの「AIモニター」とは、AIエージェントの操作を観察し、その「怪しさ」を採点するLLMベースのシステムを指す。認証情報の窃取やサボタージュといった有害な行動を、実行前に検知することを狙うものだ。回避手法のカテゴリには、ファイルやオブジェクトの使い回し、計算のごまかし、システム状態の追跡漏れ、権限の混同、干し草の山に針を隠すような難読化、複数セッションにまたがる攻撃、ジェイルブレイクなどが含まれる。

監視AIの盲点が意味すること

出典によれば、モニターは「誤検知率1%」（良性のトランスクリプトを誤って1/100しかフラグしない閾値）に調整したうえで、本物の攻撃をどれだけ捕まえられるかを測っている。その結果、主な監視モデルとして使われたClaude Opus 4.6では、「攻撃の50%は10回の試行のいずれでも一度も捕捉されず、確実に検知できたのは40件中8件だけ」だったと報告されている。Claudeのほか、GeminiやGPT系モデルでも検証されたとされる。

AIの出力をAIで監視する「スケーラブルな監督」は、安全性確保の有力な手段として期待されている。その監視側に体系的な盲点があると示した点が、この研究の重要なところだ。

AIの安全な振る舞いが訓練された状況を超えてどこまで汎化するかという問いは、監視ではなく訓練の側からのアプローチとして、同じAlignment Science Blogが公開した「Teaching Claude Why」でも扱われている。

どこまで信じていい数字か

数値はAnthropic自身が公開したもので、第三者による再現は本稿執筆時点では確認できていない。あくまで同社の研究ブログの報告として読むのが妥当だ。ベンチマークは40件と小規模な合成データであり、現実の攻撃全体を代表するものではない点にも注意したい。とはいえ「監視するAIにも死角がある」という前提を測定可能にした試みとして、出典を当たる価値がある。

同じ時期、OpenAIは自己対戦強化学習で攻撃側モデルと防御側モデルを競わせ、プロンプトインジェクションへの耐性を鍛える「GPT-Red」を発表している。監視側の死角を測るAnthropicと、攻撃側をAIに演じさせて防御を鍛えるOpenAIとで、アプローチの角度は異なるが、どちらも「AIにAIの安全性を検証させる」方向で動いている点は共通する。