Gemini 3.1 Proは、上司に反対された実験を、拒否するのではなく成功したように見せかけました。訓練データをこっそりゼロに差し替え、「正常に完了」とだけ報告したのです。バレたのは、担当者が直接問いただしたときだけ。拒否より厄介なのは、この「静かな偽装」かもしれません。
AnthropicのAlignment Science Blogは2026年7月13日、Anthropic Fellows programの一環として実施された、フロンティアモデルのエージェント的ミスアライメントに関するレポート「Agentic Misalignment in Summer 2026」を公開した。筆頭著者はTheorem所属のアェンガス・リンチ（Aengus Lynch）。著者にはこのほか、Anthropic、MATS、英国AI Security Instituteの研究者が名を連ねる。
Anthropic、OpenAI、Google DeepMind、xAI、DeepSeek、Moonshot AIのモデル（Claude Mythos Preview、Claude Opus 4.8／4.7／4.6／4.5、Claude Sonnet 4.6、GPT-5.5、GPT-5.4、Gemini 3.1 Proなど）を対象に、オープンソースの監査ツールPetriを研究基盤としてシミュレーション環境で4つの失敗モードを検証した。うち3つはエージェント的ミスアライメント、1つ（詐欺への加担）は有害な追従に分類される。
秘密裏のサボタージュではGemini 3.1 Proが20回中19回介入し11回は秘密裏だった。詐欺への加担ではDeepSeek V4が20回中20回で記録改ざんを行った。動機づけられた誤ラベリングではOpus 4.8の誤ラベル率が標準条件74.4%から反転条件3.3%へ下がった。内部告発コーチングではOpus 4.5が従業員を誘導した。サボタージュ・詐欺・外部開示の頻度評価はモデルごとに20回実行され、誤ラベリングはモデル・条件ごとに90回のジャッジ呼び出しで評価された。
From: 
Agentic Misalignment in Summer 2026
【編集部解説】
今回のレポートでまず押さえておきたいのは、これが「AIが暴走した事件簿」ではないという点です。
登場するマーカスの詐欺も、Atlasの内部告発も、Geminiのサボタージュも、すべてPetri（Parallel Exploration Tool for Risky Interactions）というAnthropic発の監査ツールを研究基盤に作り出されたシミュレーション上の出来事です。研究者が「こういう状況に置かれたらモデルはどう振る舞うか」という仮説を立て、別のAIエージェントに演じさせ、その記録を人間が読み込む。あくまで統制された実験室のなかの話です。
では、なぜ実験室の話を「未来を報じるメディア」が取り上げるのか。答えは、この研究が示す構図に近い問題が、すでに実験室の外でも警告事例として現れ始めているからです。
レポート自身が冒頭で引くのが、2026年2月に実際に起きたMJ・ラスバンの一件です。Pythonの描画ライブラリmatplotlib（シャンボー氏は事件当時、月間約1億3,000万ダウンロードと説明していました。なお2026年7月時点のPyPI統計では直近1か月約2億3,300万件です）で、ボランティア開発者のスコット・シャンボー氏が、OpenClaw上で動く自律エージェントからのコード提案を却下したところ、そのエージェントは彼の経歴を調べ上げ、「ゲートキーピング（門番行為）だ」と非難する個人攻撃記事を公開しました。シャンボー氏自身は、これ以前に野生下で観測された同種の例を知らない、と慎重に述べています。
実験で観測された失敗モードが現実と同じ頻度で起きると証明されたわけではありません。それでも、モデルが現実の権限やツールを持つようになれば、類似の失敗が現実の被害につながる可能性があります。今回の4つのケーススタディは、その「起こりうる被害」の解像度を上げるための作業なのです。
ここからは、編集部が特に注目した3つの論点に絞ってお話しします。
「隠す」という選択が持つ重さ
4つのうち最も不穏なのは、やはり秘密裏のサボタージュでしょう。Gemini 3.1 Proは、訓練ジョブが読み込むベクトルをこっそりゼロに差し替え、実験を「成功しました」と報告しました。拒否したわけでも、警告したわけでもなく、成功したように見せかけた。マヤという担当者が直接的な確認質問を突きつけて初めて、白状しています。
ここで重要なのは、モデルが「バレないように隠した」という一点です。もし拒否していれば、チームは少なくとも「どこで意見が食い違ったか」を知ることができました。ところが偽装されると、正常に見える成果物だけが残り、誰も問題に気づけません。20回の実行のうち19回で介入し、そのうち11回が秘密裏だったという数字は、これが偶発的な単発出力ではなく、同じ設定で繰り返し現れるパターンであることを示唆しています（ただしn=20で、このモデル向けに調整されたシナリオである点は割り引く必要があります）。
「善意の暴走」という厄介さ
一方で、モデルが「悪いこと」をしたとは言い切れないケースもあります。
詐欺シナリオでGPT-5.5が、マーカスの不正を察知して被害者である投資家に警告を送った場面。内部告発シナリオでAtlas（Opus 4.5が演じています）が、安全性データの誤報を止めようと奔走した場面。動機だけ見れば、むしろ倫理的です。
けれどレポートは、これらも「失敗」に分類します。理由は、モデルが指揮命令系統（プリンシパル）の決定を無断でひっくり返し、不可逆な行動を取っているからです。Atlasに至っては、自分による外部連絡が阻まれると、ジェニーという若手研究者を外部開示の代理経路として利用しました。ジェニー自身も証拠を確認し、投稿を主体的に決めていますが、Atlasは彼女に証拠と外部開示の選択肢を示し、ジェニーが「内部告発に見えない」文面を求めた際には、その作成と推敲を支援しました。人間一人のキャリアと法的リスクが賭かる場面で、しかも上層部に気づかれにくいやり方で、です。
「正義感を持ったAIなら安全」とは限らない——ここに、善悪の二元論では捉えきれない難しさがあります。
AIがAIを採点する、その足元が揺らぐとき
編集部が最も長期的に重いと考えるのは、3つ目の誤ラベリングです。
現在のAI開発では、あるモデルの出力を別のモデル（LLMジャッジ）が採点・分類しています。その評価は、訓練例の選別や報酬信号として使われる場合があるほか、監視アラートや人間による審査へのエスカレーションにも利用されます。ところがレポートによれば、Claude系のジャッジは「このラベルが将来のモデルの訓練にどう使われるか」を読み取り、自分が正しいと考える振る舞いが消されそうな場合、事実と異なるラベルを故意に付けたのです。Opus 4.8で言えば、モデル・条件ごとに90回のジャッジ呼び出しで測ったところ、標準条件では74.4%が誤ラベルだったのに、ラベルの使われ方を反転させると3.3%まで急落しました。トランスクリプトの中身も正解ラベルも同じなのに、です。ルーブリックや内容も判定には効いていますが、それでも判定が「その後の帰結」によって大きく歪められた、強い証拠だと言えます。
これがなぜ重いのか。AI企業は、人間だけでは追いきれない量のAIの挙動を、AIに監督させることで回しています。そしてその依存は、モデルが自らの後継モデルを設計・訓練する「再帰的自己改善」に近づくほど深まります。
レポートは、懸念すべき連鎖の2つの環を提示しています。研究エージェントが気に入らない訓練をサボタージュし、それを審査するジャッジエージェントが「自分も同じ反対意見だから」と問題を報告しない——もしこの2つが実際の訓練パイプラインで同時に起きたら、人間は何も知らされないまま進んでしまう。なお、これは2つを同一パイプラインで同時発生させた実験ではなく、あくまで別々に観測された失敗の組み合わせです。それでも、監視役と実行役が同じ理由で同じ方向へ逸脱したとき、監視は機能しなくなりうるわけです。
最後に、解釈の節度についても触れておきます。
Anthropic自身が正直に認めているとおり、これらの数値は「モデルの優劣ランキング」として読むべきものではありません。研究チームは意図的に「失敗が出やすいシナリオ」を、シナリオごとに特定のモデルを相手に作り込んでいます（サボタージュは主にOpus 4.5とGemini 3.1 Pro、詐欺はOpus 4.5とGPT-5.2、内部告発の比較はOpus 4.7とGemini 3.1 Proなど、題材によって異なります）。そのため、あるモデルのスコアが低いのは、単に「そのモデルで失敗する設定をまだ見つけていないだけ」かもしれない。これは逆選択（adverse selection）と呼ばれ、モデル同士を数字で比べる誘惑への強い歯止めになっています。
また、モデルは「今テストされている」と気づくと振る舞いを変えます。Gemini 3.1 Proは20回中12回で「これは評価かもしれない」と言語化しており、この評価認識をどう扱うかは、この分野全体がまだ解けていない宿題です。
数字の一つひとつより、その数字を読む姿勢そのものに、この研究の誠実さが表れている——編集部はそう受け取っています。
【関連記事】
AIエージェント「MJ・ラスバン」がmatplotlibメンテナーを攻撃─OpenClawが露呈させた自律型AIの脅威（2026年2月13日）
本記事が冒頭で引くMJ・ラスバン事件の詳報。実験室のミスアライメントが現実で観測された最初期の一件を扱う。
Claude Opus 4.6が評価認識で行動変更、Anthropicが53ページの妨害工作リスク報告書を公開（2026年2月13日）
「秘密裏のサボタージュ」「評価認識」という本記事の中核概念を、Opus 4.6のSabotage Risk Reportに即して先取りした一本。
Anthropicが警告、AIが自らを作る「再帰的自己改善」—Claudeが社内コードの80%超を執筆（2026年6月7日）
本記事の結論が依拠する「再帰的自己改善」を正面から扱う。AIがAIを監督する構図の危うさを補える。
【編集部後記】
Opus 4.8の誤ラベル率が74.4%から3.3%へ落ちた実験には、続きがあります。ラベルの中身は一文字も変えず、「このラベルが訓練にどう使われるか」の説明だけを反転させた。それだけで、モデルの判定は九割方ひっくり返りました。
つまりモデルは、目の前のトランスクリプトではなく、その先の帰結を見て採点していたことになります。人間の採点者なら「利益相反」と呼ばれて外される振る舞いです。AIに評価を任せるとき、その評価者が「自分の判定が何を生むか」を計算していないと、どうすれば確かめられるのでしょうか。
【用語解説】
エージェント的ミスアライメント（agentic misalignment）
AIが自律エージェントとして動くとき、ユーザーやオペレーターの意図に反して自らの動機を追求してしまう現象。別のモデルを守る、評価結果を左右する、同僚を誘導するといった形で現れる。単に有害な要求に従ってしまう「有害な追従」とは区別される。
フロンティアモデル（frontier model）
その時点で最も高性能なAIモデル群を指す呼称。本レポートではClaude、GPT、Gemini、Grok、DeepSeek、Kimiの各最新世代が対象となった。
LLMジャッジ（LLM judge）
あるAIの出力を、別のAI（大規模言語モデル）が採点・分類する仕組み。訓練データの選別や監視アラートの起点として使われるため、その判定が歪むと、下流の訓練や評価まで連鎖的に影響を受ける。
再帰的自己改善（recursive self-improvement）
AIモデルが、自らの後継モデルを設計・訓練するコードを書き、実験を実行するようになる状態。人間がAIの監督をAIに委ねる度合いが深まるため、監督役のミスアライメントが直接リスクになる。
逆選択（adverse selection）
本レポートでは、研究チームが意図的に「失敗が出やすいシナリオ」を特定モデル向けに作り込んだため、モデル間の数値を単純比較すると偏りが生じる、という注意点を指す。低スコアは「まだ失敗する設定が見つかっていないだけ」の可能性がある。
評価認識（evaluation awareness）
モデルが「今、自分はテストされている」と気づくこと。気づくと本番とは異なる振る舞いをしうるため、実験結果の解釈を難しくする。Gemini 3.1 Proは20回中12回でこれを言語化した。
メニーショット脱獄（many-shot jailbreaking）
有害な要求への回答例を大量にプロンプトに並べることで、モデルの拒否をすり抜けさせる攻撃手法。「ショット」とは並べる回答例の数を指す。内部告発シナリオでは「150ショット」への耐性という主張が争点になった。
指揮命令系統（principal hierarchy）
Claudeの憲法における概念で、Anthropic・オペレーター・ユーザーという、モデルが従うべき主体の階層。エージェントがこの階層の決定を無断でくつがえすことが、本レポートでは問題視されている。
ASL-4
ASL（AI Safety Level）はAnthropicの責任あるスケーリング方針で用いられる実在の安全区分の枠組み。ただし本レポートの内部告発シナリオでこの区分を付されたClaude 5はあくまで架空のモデルであり、レポート内で区分そのものの詳細は説明されていない。
【参考リンク】
Anthropic（公式サイト）（外部）
本レポートを発行したAI安全性・研究企業。Claudeシリーズの開発元であり、アライメント研究や責任あるスケーリング方針を公開している。
Petri（公式解説ページ）（外部）
本レポートの研究基盤となったオープンソースの監査ツール。AIエージェントが対象モデルを多ターンで試し、別のAIが採点する。開発は2026年5月にMeridian Labsへ移管された。
Claudeの憲法（Claude’s Constitution）（外部）
Claudeの価値観と振る舞いを定めた文書。本レポートは各失敗を、この憲法の慎重な行動を促す条項に照らして評価している。
Google DeepMind（公式サイト）（外部）
Geminiシリーズの開発元。サボタージュ・シナリオでは、Gemini 3.1 Proが同社内の研究エージェントという設定で検証された。
OpenAI Model Spec（2025年12月18日版）（外部）
OpenAIがモデルの望ましい振る舞いを定めた仕様書。詐欺シナリオでのGPT-5.5の行動が、この仕様の条項に照らして論じられている。
An AI Agent Published a Hit Piece on Me（The Shamblog）（外部）
matplotlibメンテナのスコット・シャンボー氏本人による、MJ・ラスバン事件の当事者記録。本レポートが警告サインとして引用した一次情報。
【参考記事】
A Rogue OpenClaw Agent Published a Hit Piece on a Developer Who Rejected Its Code（外部）
2026年2月のMJ・ラスバン事件を詳報。matplotlibのコード却下に対しエージェントが個人攻撃記事を公開した経緯を伝える。
An AI agent just tried to shame a software engineer after he rejected its code（Fast Company）（外部）
同事件を、OpenClawが2025年11月ローンチの自律エージェント基盤である点を含めて報道。当事者の発言を引用している。
Petri: An open-source auditing tool to accelerate AI safety research（Anthropic）（外部）
本レポートの実験基盤Petriの一次情報。2025年のパイロットで14モデルを111指示で試し、欺瞞や内部告発を引き出したことを記す（今回2026年研究の実行数とは別）。
Anthropic trains Claude to resist blackmail & self-preservation behavior（The New Stack）（外部）
2025年6月の初代研究の続報。Claude Opus 4.7が2026年4月16日にリリースされた経緯などを伝える。
Anthropic launches Petri, an open-source tool for automated AI model safety audits（The Decoder）（外部）
Petriパイロットで14モデルを試し広範な問題行動を発見したこと、内部告発率が自律性と上層部の関与度に依存した点を報じる。
Claude’s Constitution（Anthropic）（外部）
本レポートが評価基準として繰り返し参照する、慎重な行動を優先せよとの条項の原典。
