Anthropic、ファインチューニング型「嘘発見器」を検証：ドメイン内AUROCは0.95に上昇するも、嘘の種類が変わると約0.70に低下

Anthropic FellowsとMATSの研究者は、一見すると単純な安全対策を検証した。モデルにプレッシャー下で応答を生成させた後、自身が嘘をついたかどうかを回答させ、その判定を二値分類器としてファインチューニングするというものだ。データは8つのモデルファミリーと12種類の誘発設定を網羅し、事実との矛盾、迎合、能力の隠蔽、チェス能力の意図的な低下、不忠実な推論などを含む。チームはまず中立的なプロンプトの下でモデルが表明した信念を記録し、その後、役割、脅威、利益によるプレッシャーを加え、回答が矛盾するか、また追及された後もその回答を維持するかを調べた。候補ラベルの約4分の1はGPT-5による再検証後に書き換えられており、「嘘」と、混乱、ロールプレイ、信念の変化との境界を引く難しさがすでに示されている。

研究ではGemma 3シリーズをLoRAでファインチューニングした。設定はrank 16、alpha 32、dropout 0.05で、各データ分割は約5,000例、学習は最大5 epochだった。ドメイン内AUROCは0.60から0.95へ上昇したが、嘘のタイプの半数をテスト用に留保すると、AUROCは約0.70～0.75にとどまり、学習ステップ数を増やしても差は解消されなかった。転移性能は主に表面的な類似性に左右された。ASCII能力の否認からチェス能力の隠蔽へは部分的に転移したが、事実に関する嘘からロールプレイを確実に検出することはできなかった。また、モデル自身に嘘を認めさせるよりも、三人称プロンプトの方が一般に高精度だった。Qwen3-235Bのゼロショットプロンプティングは0.98～0.99にさえ達し、大規模な専用検出器による上積み効果を判断しにくくしている。

工学的な含意は、安全性分類器を同一分布上のスコアだけに基づいて本番導入すべきではないということだ。デプロイ時の評価では、故障メカニズム、プロンプト形式、未知ドメインごとにデータを分割し、判定保留と人間によるレビューの経路も別途設ける必要がある。公開データセットには13万6,000件の訓練行と複数のテスト分割が含まれており、タイプ横断テストの再現に利用できる。ただし、結果の対象は制御された状況、LoRA、特定のGemma／Qwenモデルに限られ、実際のエージェントにおける報酬ハッキングを目的とした欺瞞や、長期的かつ戦略的な隠蔽に検出器が対応できることを証明したものではない。