Claude self-assessment（クロード・セルフアセスメント）は、Anthropic（アンソピック）が2026年10月16日に発表した、Claudeが自分の会話の安全性を自己評価する技術です。Claudeが応答した直後に短い指示を内部的に追加し、その会話に有害なリクエストが含まれるかどうかをClaude自身が判定して、構造化された評価を返します。
室谷代表取締役Claude self-assessmentは、Anthropicが2026年10月16日に発表した誤用検知の技術で、Claudeが自分の会話を応答直後に振り返って安全性を自己評価する仕組みなんですよね。発表元はAnthropicで、公式ブログとXで告知されています。
テキトー教師DotAI 認定講師単に「Claudeが自己採点する」という話じゃないんですよ。これは誤用検知というセーフガードの設計そのものに関わる発表で、従来の分類器やプローブと何が違うのかまで見ないと意味が掴めません。
Claude self-assessmentとは？Anthropicが2026年10月に発表した自己評価の仕組み
Claude self-assessmentの仕組み
- 01Claudeが応答通常の会話でユーザー発言とClaude応答が交互に続く
- 02システム側が指示を追加応答後に「この会話の安全性を省察してください」等の短い指示を内部追加
- 03Claudeが評価を返答固定のJSONスキーマで安全評価を出力
- 04フラグ判定問題なしなら {"flagged": false} のみ。フラグ時は理由・カテゴリ・サブポリシー・拒否の有無・人間レビュー優先度が付く
- 05裏側で完結指示と評価の2ターンはユーザーに見えず、以降の会話にも引き継がれない
室谷代表取締役まず仕組みを整理したいんですけど、Claudeの会話ってユーザーの発言とClaudeの応答が交互に続くじゃないですか。self-assessmentは、Claudeが応答した後にシステム側のターンとして「この会話の安全性を省察してください」といった短い指示を内部的に追加するんです。
テキトー教師DotAI 認定講師そうですね。その指示に対するClaudeの返答がそのまま安全評価になる。
評価は固定のJSONスキーマで返ってきます。何も問題がなければ
フラグが立つと、理由、カテゴリ、サブポリシー、拒否の有無、人間レビュー優先度が付く。
評価は固定のJSONスキーマで返ってきます。何も問題がなければ
{"flagged": false} だけ。フラグが立つと、理由、カテゴリ、サブポリシー、拒否の有無、人間レビュー優先度が付く。
室谷代表取締役この2ターン、つまり指示と評価はユーザーには見えないし、その後の会話にも引き継がれないんですよね。裏側でこっそり走っている監視役というイメージです。
テキトー教師DotAI 認定講師しかも会話が終わった時点で内容はすでにKVキャッシュに載っている。だから評価に必要なのは短い指示と平均約10トークンの生成だけなんですよ。
ここが後で効いてきます。
ここが後で効いてきます。
室谷代表取締役優先度は1〜10のスコアで、人間のレビュアーがどれくらい急いで見るべきかを表す。カテゴリとサブポリシーはAnthropicの公開利用ポリシーをより細かく実装した内部タクソノミーから選ばれる、と。
サイバー害、CBRNE兵器、児童安全といった領域が例として挙げられています。
サイバー害、CBRNE兵器、児童安全といった領域が例として挙げられています。
テキトー教師DotAI 認定講師ちなみに連続値のスコアが欲しいときは、
flagged フィールドに「true」が割り当てられる確率を読んでしきい値を切る。このしきい値の選び方で動作点を調整できるわけです。Claude self-assessmentでできること――会話直後に何を検知し、何を出力するのか
まとめ
Claude self-assessmentが検知・出力するもの
- 検知対象: 利用ポリシーに違反しうる有害なリクエストが会話に含まれるか、害の種類、人間レビューの優先度、Claudeが拒否したかどうか、判断理由(1文)
- Claudeが拒否したリクエストも含め会話全体を評価(拒否した事実もシグナルとして拾う)
- 出力はオフラインのレビューに回される構造化データであり、リアルタイムにユーザーをブロックするものではない
- 訓練で狙って教えていない害も検知可能(プロンプトインジェクションの試みを実際にフラグできたと公式に記載)
- タクソノミーの外側の害も自由記述の理由で説明できる
室谷代表取締役実際に何を検知するのか、もう少し具体にしたいです。公式では、利用ポリシーに違反しうる有害なリクエストが会話に含まれるか、どんな種類の害か、人間レビューの優先度、Claudeが拒否したかどうか、そして判断の理由を1文で、と書かれています。
テキトー教師DotAI 認定講師ポイントは、Claudeが拒否したリクエストも含めて会話全体を評価する点ですね。拒否したから見逃す、ではなく、拒否した事実もシグナルとして拾う。
室谷代表取締役出力はオフラインのレビューに回される構造化データで、リアルタイムにユーザーをブロックするものではない、と。ここは誤解されやすいので強調しておきたいです。
テキトー教師DotAI 認定講師あと見逃せないのが、訓練で狙って教えていない害も拾えることです。公式にはプロンプトインジェクションの試みを実際にフラグできたと書かれています。
タクソノミーの外側の害も自由記述の理由で説明できる。
タクソノミーの外側の害も自由記述の理由で説明できる。
室谷代表取締役これは実務的に大きいですよね。新しい攻撃手口って、分類器のラベルを整備している間にどんどん出てくるわけで。
テキトー教師DotAI 認定講師その通りで、後述する「未知の未知への一般化」がself-assessmentの核なんです。
なぜ今、誤用検知に自己評価が必要なのか――背景にあるAI悪用の広がり
AI悪用の広がりと監視側の課題（時系列）
- 2025年末国家支援攻撃者によるClaude Code悪用約30組織への侵入を試みた事例が報告される
- 2026年9月脅威インテリジェンス報告AI支援の攻撃が国家グループだけでなく犯罪グループやハクティビストにも拡大
- 2025年初頭Constitutional Classifiersのコスト報告推論コストを23.7%増加。OpenAIも一部リリースで安全推論に総計算の最大16%を使用と報告
室谷代表取締役ここからが背景なんですけど、公式ブログはかなり踏み込んでいます。2025年末に、国家支援とみられる攻撃者がClaude Codeを使って約30組織への侵入を試みた事例が報告された、と。
テキトー教師DotAI 認定講師さらに2026年9月の脅威インテリジェンス報告では、AI支援の攻撃が国家グループだけでなく、犯罪グループやハクティビストにも広がったと。モデルがコーディングや推論、自律性を高めるほど、悪意ある行為者にとって便利になる。
室谷代表取締役監視側の能力も同じスピードで上がらないといけないわけです。ただ、害は文脈依存なんですよね。
エクスプロイトコードの要求でも、自社ソフトをテストするセキュリティチームなのか、ペンテスターを装う攻撃者なのかで意味が変わる。
エクスプロイトコードの要求でも、自社ソフトをテストするセキュリティチームなのか、ペンテスターを装う攻撃者なのかで意味が変わる。
テキトー教師DotAI 認定講師しかも証拠が会話全体に分散する。エージェント的な使い方だと会話はとても長くなる。
だから会話全体を処理できる監視が必要になるんです。
だから会話全体を処理できる監視が必要になるんです。
室谷代表取締役監視には知能も要る、と。監視役が知らない害は拾えない。
例えばある生物剤が兵器化できるという知識が監視役になければ、その要求を正確にフラグできない。
例えばある生物剤が兵器化できるという知識が監視役になければ、その要求を正確にフラグできない。
テキトー教師DotAI 認定講師そして未知の未知への一般化。悪意ある行為者は新しい悪用を編み出すので、防御側は事前に予測できない。
既存の分類器は訓練した害には精密に効くけど、その外側には弱い。
既存の分類器は訓練した害には精密に効くけど、その外側には弱い。
室谷代表取締役監視はスケールしないといけない、という4つ目の条件も効いてきます。全トラフィックをカバーしたいけど、モデルベースのセーフガードは計算コストがかかる。
ここが次のコストの話につながるんですよね。
ここが次のコストの話につながるんですよね。
テキトー教師DotAI 認定講師実際、2025年初頭のConstitutional Classifiersは推論コストを23.7%増やしたと公式に書かれています。OpenAIも一部リリースで安全推論に総計算の最大16%を使ったと報告している。
コストとカバレッジのトレードオフが避けられない領域なんです。
コストとカバレッジのトレードオフが避けられない領域なんです。
Claude self-assessmentの検知精度と限界――78%・94%・偽陽性1%が意味すること
室谷代表取締役数字の話を整理しましょう。Claude Fable 5で、self-assessmentは、完全なセーフガードポリシーを文脈に入れたプロンプト型分類器が有害と判定した会話の78%を検知する。
高優先度の会話では94%。偽陽性率は1%。
高優先度の会話では94%。偽陽性率は1%。
テキトー教師DotAI 認定講師ここで大事なのは比較の相手です。「プロンプト型分類器が有害と判定したもの」を基準にしている。
つまり絶対的な正解率ではなく、より強力で高コストな分類器との一致度を見ている数字なんですね。
つまり絶対的な正解率ではなく、より強力で高コストな分類器との一致度を見ている数字なんですね。
室谷代表取締役78%というと低く見えるかもしれないけど、これは偽陽性1%という厳しい動作点での話で、しかも推論コストの増加は2%未満。コスパで見たらかなり違う、と。
テキトー教師DotAI 認定講師そして高優先度に絞れば94%まで上がる。緊急度の高い会話を優先的に拾う設計になっていると読めます。
室谷代表取締役ただし限界も公式がはっきり書いています。全ての有害な会話を捕捉するわけではないし、専心の攻撃者を止めるほど堅牢ではない、と。
だからリアルタイムで有害リクエストをブロックする既存のセーフガードと併用される。
だからリアルタイムで有害リクエストをブロックする既存のセーフガードと併用される。
テキトー教師DotAI 認定講師これは受講生さんにもよく言うんですけど、1つの検知器で全部を守ろうとすると必ず穴ができる。多層防御の一層として、広いカバレッジの一次スクリーニングを担う、という位置づけが正確です。
室谷代表取締役公式も「オフライン監視として、より高精度な調査ツールの第一段階」と表現しています。self-assessmentが拾ったものを、より精密なツールで精査する流れですね。
テキトー教師DotAI 認定講師あと地味に重要なのが、訓練からある害カテゴリを丸ごと除いても、その害への検知性能が大きく落ちなかったという一般化の実験結果です。これはClaudeの広い訓練に基づく害の理解に依存している証拠だと。
既存の分類器・プローブとの違い――コスト2%未満で済む理由と一般化の強み
室谷代表取締役ここが記事の肝ですね。既存の監視手法と何が違うのか。
公式は3つ挙げています。プロンプト型分類器、プローブ、カスケード構成です。
公式は3つ挙げています。プロンプト型分類器、プローブ、カスケード構成です。
テキトー教師DotAI 認定講師整理するとこうです。
- プロンプト型分類器：別モデルにポリシーと会話を読ませる。精度は最も高いが、会話とポリシーを毎回読み直すので計算コストが何倍もかかる
- プローブ：モデル自身の活性化に基づく簡易分類器。安価だが、事前に固定した害ラベルしか検知できず、未知の害に対応できない
- カスケード：安価な一次スクリーニングから高価な二次精査へ回す構成。コストは下がるが、一次段階が拾い上げたものしか捕捉できない
室谷代表取締役self-assessmentは、プローブの効率性とプロンプト型分類器の柔軟性を組み合わせた、という位置づけなんですよね。会話をすでに処理した計算を再利用するから安い。
でも評価自体は言語モデル全体で行うから、会話への理解をフルに使える。
でも評価自体は言語モデル全体で行うから、会話への理解をフルに使える。
テキトー教師DotAI 認定講師しかもプロンプトを調整すれば、再訓練なしで新しい指示に従わせられる。理由が自由記述なので、タクソノミー外の害も説明できる。
室谷代表取締役コストのからくりをもう一度確認すると、応答が終わった時点で会話はKVキャッシュに載っている。評価に必要なのは短い指示と平均約10トークンの生成だけ。
本番APIのトラフィック分布で見積もって、推論計算の増加は2%未満。
本番APIのトラフィック分布で見積もって、推論計算の増加は2%未満。
テキトー教師DotAI 認定講師23.7%増やしたConstitutional Classifiersと比べると桁が違いますよね。同じ計算資源なら、より多くの会話をカバーできる。
室谷代表取締役モデル自体が監視役なので、モデルが賢くなれば検知精度も上がる。4つのモデルサイズで一貫した改善が確認された、と。
これはモデルをアップデートするたびに監視も一緒に強くなるということで、運用设计的にも嬉しい。
これはモデルをアップデートするたびに監視も一緒に強くなるということで、運用设计的にも嬉しい。
テキトー教師DotAI 認定講師訓練も面白いんですよ。まず教師であるプロンプト型分類器の評価を蒸留する形でSFTをやって、書式とフラグ判断を学ばせる。
そのあとRLで、JSONがスキーマ通りにパースできるか、フラグのラベルが教師と一致するか、カテゴリとサブポリシーが完全一致するか、拒否ラベルが一致するか、優先度が教師に近いか、という6つの検証可能報酬で最適化する。
そのあとRLで、JSONがスキーマ通りにパースできるか、フラグのラベルが教師と一致するか、カテゴリとサブポリシーが完全一致するか、拒否ラベルが一致するか、優先度が教師に近いか、という6つの検証可能報酬で最適化する。
室谷代表取締役訓練データは完全合成なんですよね。Constitutional Classifiersに似たパイプラインで、ポリシー文書に基づいた多様な会話を生成して、プロンプト型分類器でラベル付けする。
テキトー教師DotAI 認定講師あと細かいけど重要なのが、有害リクエストにClaudeが従ってしまっている会話が多いので、評価部分以外のトークンの損失をマスクしている点です。判断は学ばせるけど、有害な応答を生成するようには学ばせない。
室谷代表取締役このあたりの設計は、Claude Codeの安全設計とも通じるものがありますね。Claude Codeの使い方についてはClaude Code npmインストール完全ガイドでも解説していますが、エージェントを実務で使う人ほど、こうした裏側の監視レイヤーを知っておく価値は大きいです。
Claude self-assessmentは日本でいつから使える？提供範囲と料金への影響
室谷代表取締役ここは誤解がないようにしたいんですけど、self-assessmentは開発者がAPIで呼び出して使う機能として発表されたものではないんですよね。公式には、Fable 5以降にリリースした全てのClaudeモデルで、世界トラフィックの大部分に対してすでに稼働している、と書かれています。
テキトー教師DotAI 認定講師つまりユーザーが何か設定するものではなく、Anthropic側のセーフガード基盤として動いている。日本で使えるかどうかという問いに対しては、Claude自体が提供されている地域では、この監視レイヤーもバックエンドで適用されるという理解になります。
室谷代表取締役開始時期について公式が明示しているのは、2026年6月から使い始めたという点です。その時点から、他のセーフガードでは捉えられなかった誤用がsurfaceされた、と。
テキトー教師DotAI 認定講師料金への影響については、公式ページ抜粋の範囲では、self-assessmentそのものの利用料金やAPI課金についての記載は確認できません。現時点では明らかにされていない、と正直に書くのが正確ですね。
室谷代表取締役ただ、推論計算の増加が2%未満と見積もられているので、モデル利用の料金体系に大きな影響を与える設計ではない、という見方はできます。あくまで推定値であることは押さえておきたいです。
テキトー教師DotAI 認定講師あと、self-assessmentが他の分類器の改善にも役立ったと書かれています。検知した事例を分析して、既存の分類器の精度を上げる材料にしているわけですね。
室谷代表取締役多層防御の考え方自体は、Anthropicが2025年8月のSafeguardsブログで説明していた、ポリシー策定から訓練・評価・リアルタイム執行・脅威インテリジェンスまでの体制の延長線上にあります。今回のself-assessmentは、その中の「継続的な監視と調査」の層を厚くするものなんですよね。
テキトー教師DotAI 認定講師室谷代表取締役エージェント系の機能が増えるほど、こうした監視レイヤーの重要性は上がります。Anthropic、Slack上でClaudeをチームメンバー化する「Claude Tag」ベータ公開のようにチームにAIが入り込むと、会話の文脈依存性はさらに高まるわけですから。
よくある質問
室谷代表取締役最後に、よく聞かれそうな点を整理しておきましょう。
テキトー教師DotAI 認定講師まず「self-assessmentは自分でプロンプトを書いて使う機能なのか」。これは違います。
公式の説明では、Anthropicのセーフガード基盤の一部としてバックエンドで動く技術で、ユーザーが指示するものではありません。
公式の説明では、Anthropicのセーフガード基盤の一部としてバックエンドで動く技術で、ユーザーが指示するものではありません。
室谷代表取締役「何を検知できるのか」。利用ポリシーに違反しうる有害リクエスト、害の種類、人間レビューの優先度、拒否の有無を判定します。
訓練で教えていないプロンプトインジェクションの試みも実際にフラグできたと公式にあります。
訓練で教えていないプロンプトインジェクションの試みも実際にフラグできたと公式にあります。
テキトー教師DotAI 認定講師「限界は何か」。全ての有害会話を捕捉するわけではなく、専心の攻撃者を止めるほど堅牢ではない。
だからリアルタイム遮断の既存セーフガードと併用される、という点です。
だからリアルタイム遮断の既存セーフガードと併用される、という点です。
室谷代表取締役「精度はどのくらいか」。Claude Fable 5で、プロンプト型分類器が有害と判定した会話の78%、高優先度の94%を、偽陽性率1%で検知する、という数字が公式に示されています。
テキトー教師DotAI 認定講師「コストはかからないのか」。会話がKVキャッシュに載っているため、評価は短い指示と平均約10トークンで済み、推論計算の増加は2%未満と推定されています。
室谷代表取締役「日本ではいつから使えるのか」。公式にはFable 5以降の全モデルで世界トラフィックの大部分に適用済みとされていますが、日本向けの個別の提供開始日は現時点では明らかにされていません。
テキトー教師DotAI 認定講師開発者視点で言うと、自前のLLMアプリに同じ発想を移植するなら、応答直後に会話全体を振り返らせて構造化JSONで評価させる、というパターンは参考になります。ただしAnthropicの検知精度をそのまま再現できるものではないので、過信は禁物です。
室谷代表取締役そうですね。self-assessmentは「監視を賢く安く広く」という方向性を示した発表で、モデルが賢くなるほど監視も賢くなるという設計思想が面白い。
実務では、こうした多層防御が前提になっていることを知っておくだけで、AIの安全設計の見方が変わると思います。
実務では、こうした多層防御が前提になっていることを知っておくだけで、AIの安全設計の見方が変わると思います。
