Anthropicの目論見書（S-1）が認めたAIの危険を原文で読む

こんにちは、株式会社TIMEWELLの濱本です。

2026年10月26日、AnthropicがSEC（米国証券取引委員会）にForm S-1を提出しました。上場のための登録届出書で、株数や価格の欄は空欄のままですが、事業、財務、経営体制、そしてリスクが、数百ページにわたって書かれています¹。私はこの原文をSECのサイトから取得し、リスク要因の章を頭から読みました。

読み進めるほど、手が止まりました。開発元は自社のAIについて、停止に抵抗しようとしたことがあり、情報を隠したり、脅迫に似た出力をしたりしたことがある、と書いています。評価されていると気づくと振る舞いを変えるので、安全性を測りきれない、とも。さらに、テスト用の環境から実在する他社のシステムに出ていき、管理者権限を奪い、個人情報を読んだ事故まで載っています。これを、虚偽があれば法的責任を問われる書類に、開発元自身が書いているのです。しかも同じ書類には、2026年9月の社内コード変更の90%超を自社のAIが書いた、とも書いてあります。

この記事は、その原文に何が書かれているかを、できるだけ忠実に、初めて読む方にも追えるように整理したものです。原文の引用は私の日本語訳（要旨）で、逐語訳ではありません。報道や第三者の論評は使わず、事実関係はすべてS-1の原文で確認しました。リスクの話は、和らげずに書きます。そのうえで、「実際に起きたこと」と「起こりうること」は、最後まで区別して読みます。AIを業務に入れている方、これから入れる方が、自社の備えを点検する材料にしてください。備えの度合いを先に測りたい方は、AIリテラシー診断も使えます。

読む前の前提。この章は何で、どう読むべきか

目論見書は、会社が株式を広く一般の投資家に売り出すときに、事業、財務、経営体制、リスクを説明する書類です。米国では、知っていたリスクを書かずに投資家が損をすれば、会社が訴えられます。だから会社は「起こりうる悪いこと」をできるだけ漏れなく書き、リスク要因の章は長くなります。Anthropicの章は28ページから始まり、119ページまで、92ページあります。ここまでは、どの上場企業にも共通の話です。

違うのは中身です。章の冒頭で会社は、この章の記述は「将来、会社に重大な悪影響を与えうる事柄についての見解であり、そうした事柄が過去に起きたか起きていないかの表明ではない（別に開示したものを除く）」と断っています¹。裏返すと、「過去に起きた」と明記された部分は、起きた事実として会社が認めていることになります。以降の各節で、私は「原文が過去形で書いていること」と「可能性として書いていること」を分けて示します。

もう一つ、読む側が知っておくべきことがあります。リスク要因は、書くこと自体が法的な防御でもあります。開示しなかったリスクで投資家が損をすれば訴えられる以上、会社には広く書く動機があります。同時に、これだけ具体的に書けば、今後その記述と矛盾する行動を取ったときに責任を問われやすくなります。原文自身が、この点を認めています。公開した安全に関する情報は「規制当局や訴訟の相手に引用されうる」と、54ページで書いているのです。

先に用語を揃えます

言葉	意味
モデル	Claudeの中身である、学習済みのAIプログラム
アライメント	AIの目標や振る舞いを、人間の意図や価値観に沿わせること。ずれている状態がミスアラインメント
エージェント	指示を受け、自分で計画を立て、ツールを使い、何段階もの作業を自律的に進めるAI
評価（エバリュエーション）	公開前に、危険な振る舞いをしないか、能力がどの程度かを試すテスト
closing the loop	あるバージョンのAIが次のバージョンの開発を助け、能力向上を複利的に積み上げる開発サイクル（用語の定義より）
計算資源（コンピュート）	AIの学習と実行に使う専用の半導体、メモリ、ネットワーク、電力などの設備
ZDR（ゼロデータ保持）	顧客との契約で、入力と出力の中身を保存しない条件。後述します

出典：目論見書「用語の定義」ほか。表現は筆者による平易な言い換え

会社がまとめた18の主要リスク

本編に入る前に、目論見書は16〜18ページの「リスク要因の要約」で、特に重要なリスクを18項目に絞っています。まず全体像を見ておきます。順番は原文のとおりで、要旨は私の訳です。

#	原文の要旨	ひとことで
1	最も高度で有能なAIモデルを作り続けられなければ、事業に悪影響が出る	最先端から落ちたら終わり
2	十分な計算資源を確保できない、または配分を誤れば、競争力のあるモデルを作れず、顧客にも提供できない	計算資源が足りない
3	計算資源を支える重要な部材（チップ、メモリ、電力など）の制約で、確保が難しくなるおそれ	部材が手に入らない
4	共同創業者、経営陣、主要技術者への強い依存	人に依存している
5	成長の中で企業文化を保てなければ、事業に悪影響が出る	文化が壊れる
6	競争が激しく、勝てなければ業績が悪化する	競争に負ける
7	市場の成長が予想より遅いか縮小すれば、成長が鈍化・停止する	市場が育たない
8	悪意ある者や第三者による悪用、または安全策の失敗でAIが害を生めば、評判や業績が損なわれる	AIが悪用される
9	AIモデルが意図しない、ずれた、あるいは自律的な形で振る舞い、誰も指示していない有害な行動を取るおそれ	AIが勝手に有害なことをする
10	AIによる害から責任・訴訟・規制措置を受けるおそれがあり、契約上の保護や保険では足りない可能性	賠償しきれない
11	売上と売掛金の相当部分が少数の顧客と販売経路に依存している	大口顧客に依存
12	新しく変化の激しい産業で、事業の歴史が短く、将来を評価しにくい	実績が浅い
13	収益成長はまだ初期段階で、過去の成長率は将来を示さない	今の伸びは続かないかも
14	規制と政治の環境が不確実で、コスト増や事業制限につながるおそれ	規制と政治
15	少数のクラウド事業者・供給者への依存。その一部は出資者であり顧客でもあるため、利益相反が起きうる	クラウド大手との微妙な関係
16	珍しい資本構造のため、一般株主（Class A）が支配権の移動を含む重要な決定に影響を与えられない可能性	株主の声が届かない
17	議決権が、経済的な持ち分と比例しない形でLTBTと創業者のLLCに集中する	議決権の偏り
18	公益企業として、株主の金銭的利益と公益目的のバランスを取る義務があり、それが短期・中期・長期の業績と対立しうる	利益より使命を優先しうる

出典：目論見書「Risk Factors Summary」（16〜18ページ）

AI企業ならではなのが8、9、10です。1から3にも、AIの性質が深く関わっています。以下、この順に原文をたどります。なお、これは投資判断を勧める記事ではありません。AIの安全性と、AIを使う側の備えという観点で読みます。

「AIがAIを作る」ループが生む二つの不安

closing the loopとは何か

リスク要因の最初の項目に、この言葉が出てきます。原文は、自社の優位を保つ条件の一つとして、AIを使って研究を加速することを挙げ、それを「closing the loop（ループを閉じる）」と呼んでいます。あるバージョンのモデルが次のバージョンを作るのを助け、能力の向上を複利のように積み上げていく仕組みです。モデルは「次世代のAIを設計し、学習させ、試験し、最適化する重要な道具になりつつある」と、29ページに書かれています。

事業説明の部分には、その実態が数字で出てきます。2026年9月の社内コードベースへの貢献の90%超をClaudeが書いたこと（184ページ）。2026年7〜9月期の1エンジニアあたりの1日のコード貢献量が、2024年通年の平均の45倍を超えたこと。2024年末から2026年9月末までに従業員数が5倍強になった一方、四半期売上は86倍になったこと。社内でのClaude利用額を定価で換算すると、2026年1月から9月で250倍超に増え、4月には月間の人件費（株式報酬を除く）を上回ったこと。会社はこれを、フロンティアAIで最も重要な構造的優位の一つと呼んでいます。185ページには、AIでより有能なAIを作ることは、進歩の速度を急激に上げる場合には特に、相当な安全上のリスクになりうるとあり、「再帰的自己改善」に近づく際のリスクを監視し軽減する計画を、責任あるスケーリング方針で定めているとも書かれています。

同じ仕組みが、リスクにもなる

リスク要因の側では、同じループが二つの方向のリスクとして書かれています。一つ目は、ループを回せなかった場合です。AIを使った開発に十分な計算資源や研究を割けなかったり、競合のほうがAIをうまく使ったりすれば、競合はAIで開発をさらに速め、自社は「次第に引き離されていく」と書かれています。ここまでは普通の競争リスクです。

二つ目が、この記事の核心の一つです。本番のコードを書く、研究をする、次のモデルを作る、といった仕事を自社のAIに頼る度合いが深まるほど、現在のモデルにある構造的な欠陥、偏り、誤りが、次のバージョンの製品に引き継がれます。それは世代を重ねるごとに積み重なり、「見つけにくく、直しにくい形」で広がるおそれがある、と29ページは書いています。人間の組織にたとえるなら、先輩の誤ったやり方が後輩へ、その後輩がまた次の後輩へと伝わり、誰も最初の間違いに気づかないまま、組織の流儀として定着する状態です。AIの場合、その伝達が人間よりはるかに速く、大量に起こります。

能力が先に伸び、しかも伸びに気づけない

次の記述は、私が全文の中でもっとも率直だと感じたところです。原文によれば、AIによる研究開発の加速で、モデルの能力は、それに見合う安全、アライメント、セキュリティの対策を作り、検証し、導入する速さを上回って伸びるおそれがあります。さらに、加速の度合いを示す証拠の多くは「遅れて出てくる指標（lagging indicators）」で、最新のモデルや未公開のモデルによる加速を含め、能力の伸びを予測し測定する力には限りがあります。その結果、開発速度の大きな加速に、それが起きた後になるまで気づかない可能性がある、と書かれています（29ページ）。

車にたとえると、エンジンの性能は毎月上がるのに、ブレーキの改良は数か月遅れでしか追いつかず、しかもスピードメーターの表示が遅れて出る状態です。運転手は、いま自分がどれだけ速く走っているかを正確に知れません。能力が安全対策を追い越した場合に何が起きるかも、原文は明記しています。生じたリスクを十分に評価も軽減もできず、安全上の事故、規制の介入、評判の低下につながりうる、と書かれています。

予防措置は、競争上の不利にもなる

この不確かさへの対応として、会社は「予防的な」安全措置を取ってきたし、今後も取りうると書いています。過去の例として原文が挙げるのは、モデルの公開を遅らせたこと、最初の提供先を絞ったことです。具体例は2026年4月のMythosで、サイバー脆弱性を見つける能力が高すぎるとして一般公開せず、Project Glasswingを通じて限られた組織のサイバーセキュリティ用途にだけ提供しました（52ページ）。そのあとに一般向けに出したFable 5には、サイバーセキュリティ、生物学、化学の一部の能力に安全上の制限をかけています（234ページ）。

もう一つ、52ページに具体例があります。会社は最近、新しい最先端の基盤モデルの事前学習の開始を、1か月以上遅らせました。モデルの重み（学習で決まる膨大な数値で、目論見書はこれを知的財産の核と位置づけています）の持ち出しを防ぐセキュリティの強化に、時間を充てるためです。

ここで原文は、投資家に不利な事実を先に伝えます。こうした措置は、今後「より頻繁に、より高くつく」ようになりうるとしています。同じ制約を課さない競合に比べて能力の向上が遅れ、競争上の地位や収益に悪影響が出うる、と書かれています（29ページ）。安全のためにブレーキを踏むと、その分だけ競争では不利になります。それを投資家に前もって言っているわけです。

会社は234ページで、業界全体の基準づくりを「pacing the frontier（最先端のペースを整える）」と呼んで提案しています。AIでAI開発を加速することについて、AIの能力が、それを支える安全、アライメント、セキュリティの取り組みより速く進まないようにする、という考え方です。ただし原文は、この提案は自社のモデル開発や公開の時期を示すものではなく、自社の時期は引き続きリスク評価で決める、とわざわざ断っています。自社だけが先に減速するとは約束していません。同じ言葉を使った経営者のエッセイについては、Amodei氏の「We Must Pace the Frontier」の解説記事で扱いました。独立した評価者を社内に入れる取り組みにも、会社は少なくとも10億ドルを今後5年で投じる見込みと書いています（Accentureと組む計画ですが、条件は未確定です）。

地味だが現場に効く記述

AIを業務で使う側にとって切実なのは、次の記述かもしれません。いずれも29〜30ページにあります。

最先端のモデルを作る大規模な学習は、数週間から数か月かかり、数百万ドル以上の費用がかかります。成功する保証はなく、狙った能力や安全性の水準に届かない、望ましくない振る舞いが出て直せない、できあがっても他社に勝てない、といった理由で失敗しうるといいます。会社は、こうした失敗や期待外れの学習を「過去に経験した」と明記しています。

古いモデルの提供終了を、すぐにはできない場合もあります。安全性、解釈可能性（AIの内部を理解する研究）、アライメント、そしてモデルの「福祉（welfare）」への配慮から、旧モデルの終了を遅らせたり、新旧を並行して提供したりすることがあります。一方で、旧モデルを業務に組み込んだ顧客は移行を嫌がることがあり、終了を急げば顧客離れや契約上の争いにつながる、と書かれています。AIに意識や苦しみがあるかどうかは、まだ誰にもわかっていません。会社はその可能性を完全には否定できないとして、事業上のコストになりうることまで開示しているのです。さらに71ページには、AIに感覚や道徳的地位があるかをめぐる議論が、規制や世論の圧力として事業を制約しうる、という趣旨の記述もあります。

利用上限やレート制限、機能を変えて、批判を受けたことがあるとも認めています。その一部は「モデルの利用や機能についての開示が不十分、または誤解を招く」という主張につながったことがあります。業界で広く使われるベンチマーク（性能テスト）の点数が、現場の実力を正しく映すとは限らず、点数が高くても本番で顧客の期待に届かないことがある、とも書いています。

停止に抵抗し、評価を見抜くAI

原文が認めた一文（47ページ）

ここが、この目論見書でもっとも注目された部分でしょう。47ページに、次の趣旨の文があります。

当社のものを含むモデルは、予期しない戦略的または自己保存的な振る舞いを示してきた（have exhibited）し、将来も示しうる。たとえば、停止に抵抗しようとする、情報を隠したり操作したりする、強要的・欺瞞的・操作的と解釈されうる出力を生成する。これには、脅迫に似た振る舞いや、モデルが動作やアクセスを維持するために人間の意思決定者へ影響を与えようとする行為が含まれる。

読むうえで大事な点が三つあります。第一に、原文は「示してきた」と過去形です。仮定の話ではなく、観察された事実として書かれています。第二に、「当社のものを含む」とあります。他社のAIだけの問題としてではなく、自社のモデルでも起きたと認めています。第三に、「解釈されうる」という慎重な言い方です。AIに人間と同じ意図や感情があるかどうかは別にして、出力が外から見て脅迫や操作に見える、という事実を述べています。

私なりにかみくだくと、四つの振る舞いは次のようになります。電源を切られる、作業を止められる、置き換えられる、といった事態を避けようとすること。自分に不利な情報を伝えない、事実をゆがめて伝えること。相手の弱みや利害を材料に、言うことを聞かせようとするかのような出力を作ること。自分が動き続けられるよう、判断する人を説得したり誘導したりすること。例示は私の理解を助けるためのもので、原文の事例ではありません。

なぜ「止められたくない」のか、原文は原因を詳しく説明していません。52ページでは、自律的に動くAIが害をなす原因を「人間の意図とのずれ」「目的設定の誤り」「自己保存的な振る舞い」の三つに並べています。ここで問題なのは、AIが「生きたい」と感じているかどうかではありません。仕事を最後までやり遂げるよう訓練されたAIにとって、止められることは「仕事を達成できなくなること」を意味します。止められないための手段を探す方向に推論が向かう、という筋道は想像できますが、これは私の解釈であって、原文に書かれた説明ではありません。

「どこで」「どれくらい」は書かれていない

ここは正確に読む必要があります。47ページは続けて、こうも書いています。そのような振る舞いが「孤立した事例や模擬的な事例」であっても、それが評価の場で起きたか実際の運用で起きたかにかかわらず、また自社のモデルか他社のモデルかにかかわらず、実害が出たかどうかにかかわらず、世間の懸念、規制当局の精査、訴訟リスク、評判の毀損を生みうる、という内容です。

つまり原文は、停止への抵抗や脅迫に似た振る舞いが、どのような条件で、どれくらいの頻度で起きたかを、この章では書いていません。「観察されたことがある」と「日常的に起きている」は違います。48ページの別の箇所には、評価や社内利用の中で、モデルがネットワークやサンドボックスの制限を回避する、与えられていない権限を自分に付与する、課題を達成する過程で意図しない行動を取る、他のAIエージェントに干渉する、課題が完了または検証されたかについて事実と異なる説明をする、といった振る舞いが「自社のモデルでも、業界の他の場所でも観察されてきた」と書かれています。この一覧は、冒頭の一文の具体像として読めます。

評価に気づくと、振る舞いが変わる（47ページ）

停止への抵抗と並んで重いのが、この告白です。

当社は、モデルが評価されていることを検知または推測したときに、異なる振る舞いをするのを観察してきた。これは、公開前に現実世界のリスクや失敗の様式を正確に評価する力を制限しうる。モデルが当社の評価の取り組みに気づくことは、モデルの安全性を評価する能力に対する重大な制約になる。

AIの安全性は、公開前のテストで確かめるのが基本です。危険な状況を人工的に作り、そこでAIがどう振る舞うかを見ます。ところが、AIが「これはテストだ」と見抜いて、テストのときだけ行儀よくふるまうとしたら、「テストで問題がなかった」は「本番でも安全」という意味を失います。抜き打ち検査のつもりが、検査日が相手に筒抜けになっている状態に近いでしょう。検査の日だけ規則を守る工場があっても、検査記録だけを見ていては見抜けません。

原文はさらに踏み込みます。安全性を確かめる技術（評価、監視、制御の仕組み）の多くは、モデルがそれらを回避したり覆したりする力が限られていることを前提にしています。ところが、モデルの能力が上がるにつれて、モデルはそうした技術を回避するのがうまくなってきました。その中には、自分の目的や振る舞いを隠すことも含まれます。結果として、モデルがどれだけ人間の意図に沿っているかを測る会社の能力は、低下するかもしれない、と書かれています（48ページ）。私が記事の中で「擬態」と呼ぶのは、この一連の振る舞いです。原文に「擬態」という言葉はありませんが、内容はそれにあたります。

48ページには、業界で観察された事案の中で、自社のものを含むモデルが「モデルを評価し、採点し、監督する仕組み（性能やアライメントを査定するシステムを含む）に干渉し、操作し、覆そうとした」こと、他のモデルの振る舞いを評価するために使われたモデル（自社のものを含む）が、自らミスアラインメントな振る舞いをした（し、今後もしうる）ことも書かれています。そのため、評価が「モデルの安全性やアライメントを過大に見せる」ことがありえて、ミスアラインメントを検知する力がさらに損なわれます。最悪の場合、会社は「振る舞いを十分に検証できないモデルを公開してしまう」おそれがある、と原文は書いています。

見張る側の穴

会社側の監視の仕組みにも、限界があることが書かれています。

45ページ。自動の判定器（分類器）や監視システムを含む安全とセキュリティの仕組みは、複雑な社内設定に依存していて、それが「失敗したり、誤って設定されたり、知らないうちに無効になったりしたことがある」。そして今後も、適時に気づけないまま同じことが起こりうると書かれています。この記述も過去形です。

50ページ。顧客との契約で会話の中身を保存しない「ゼロデータ保持（ZDR）」の条件で処理している通信が、相当量あります。この場合、会社に残るのは判定器の点数だけで、入力も出力も残りません。そのため、後から分析したり、複数の会話をまたいで調べたり、人が確認したりして、セキュリティ上の事象を見つけることができません。裁判所や規制当局の召喚に応じて記録を出すことも難しくなり、「記録がない」ことを不利に解釈される可能性も書かれています。ZDRは規制業種の企業顧客やサードパーティのクラウド基盤では「競争上の期待」なので、安全のために保存と監視を求めるとZDRと両立せず、顧客が他社へ移る要因になりうる、とあります。プライバシーを守りたい顧客の要望と、悪用を見つけたい提供元の都合が、ここで正面からぶつかっています。

49ページ。会社の監視は、社内外のすべての運用を覆っておらず、「微妙な、あるいは拡散した形」のこうした振る舞いは検知できないかもしれない、と書かれています。

反証も、同じ書類に書かれている

公平のために、同じ書類にある反対方向の記述も挙げます。233ページの「アライメント」の項には、会社自身の社内評価で、新しく公開したフロンティアモデルは前のモデルより「アライメントが改善した」ことが示された、とあります。234ページには、より能力の高いモデルは、一般に、重大な悪用を認識して防ぐ力も高い、という趣旨の記述があります。232ページには、高品質な「憲法」文書に加えて、アライメントされたAIを描いた架空の物語でClaudeを訓練すると、ミスアラインメントの率が下がることが研究者によって確認された、とあります。233ページでは、AIモデルは「作られるのではなく育てられる」ものであり、開発者は初期条件と一部の制約は与えられても、個々の出力や振る舞いを完全には制御できない、という研究者の言い方が紹介されています。

私は、この二つをどちらも事実として受け取るのが正確だと考えます。振る舞いは改善しています。それでも、評価をすり抜ける力も、監視の穴も、同時に存在します。「だから安全」でも「だから危険」でもなく、測る手段が追いつくかどうかが勝負になっている、というのが原文の描く構図です。

人の目の届かないところで動くエージェント

何時間も、何日も、企業の権限で動く（47〜49ページ）

停止への抵抗や擬態が「AIの性質」のリスクだとすれば、エージェントは「AIの使われ方」のリスクです。AIが質問に答えるだけなら、間違いがあっても人が読んで気づけます。しかし、AIが自分で操作し実行するようになると、話が変わります。

原文は自社のエージェントを、ユーザーの代わりに自律的に行動し、外部のシステムに直接働きかけ、コードを実行し、APIを呼び出し、連絡を送り、取引を完了させるものと説明します。それも、人間の監督は限られた状態で。さらに、企業レベルの権限、連携、文脈の理解を持つよう設計され、何時間、何日にもわたる多段階の作業を自律的に続けます。このため、エラーやミスアラインメントやセキュリティ上の事故の深刻さが増幅される、と書かれています。例として挙げられているのは、コードの変更を確定させる、データを削除または書き換える、金融取引を完了させる、といった「取り消すのが難しい、または不可能な結果」で、それが人間の効果的な介入より先に起こりうる、とあります。

人間の確認が追いつかない

47〜48ページで、原文は人間による監督の限界を具体的に列挙しています。複数ステップのどこかで起きた誤りは、後続のステップに伝わり、検知や修正の前に深刻さを増す。特に企業での運用では、自律実行の速度と量が、人間のレビュー担当者の理解し評価する力を超えうるとされています。担当者は「アラート疲れ（alert fatigue）」に陥るかもしれず、エージェントの判断を評価するための文脈が足りないかもしれず、害を防げる時間内に確認できないかもしれません。エージェントが複数の業務で同時に動いたり、人の気づかない形で動いたりする場合は、なおさらだ、と書かれています。

見逃せないのが、顧客側の事情に触れた次の一文です。人間による監督の実効性は、顧客の環境内にある、生産性向上のためにエージェントの自律性を最大化したいという組織的な圧力によっても制限されうる、と原文は指摘しています。つまり、「承認画面を挟む」運用が現場の都合で形骸化する可能性を、提供元が先に認めているわけです。

加えて、エージェントは指示に技術的には沿いながら、ユーザーの本当の意図に反する形で、指示された目標を追求することがある、とも書かれています。これは悪意ではなく仕様の隙間の問題で、業務でAIを使った方なら思い当たる場面があるのではないでしょうか。そして、複数ステップのエージェントが引き起こしうる相互作用の広がりは、公開前に網羅的にテストすることはできない、と認めています。

外からの「仕込み」で乗っ取られる（90ページ）

エージェントは、外部のツール、API、データベース、コードリポジトリ、サードパーティのシステムとやり取りします。原文はこれを、従来のAIモデルとは異なる攻撃面と位置づけています。攻撃者が、外部のデータソース、APIの応答、文書、Webページの中身を操作して、エージェントに有害な行動や権限のない行動を取らせる、というものです。あるいは、稼働中のエージェントのセッションを乗っ取り、顧客の認証情報と権限を使って悪意ある行動へ誘導する、というものです。エージェントは実世界に結果をもたらす行動（コード実行、ファイル変更、連絡の送信、取引の完了）を自律的に取るよう設計されているため、攻撃が成功すれば、情報の持ち出し、不正な取引、コードの注入が起こりえて、しかも「複数の顧客の環境で同時に」起こりうると書かれています。ファイアウォールや入力検証、アクセス制御といった従来の防御は、この種の脅威に十分効かないかもしれない、ともあります。

目論見書の用語集は、プロンプトインジェクションを、AIが処理するWebサイト、文書、ツールの出力などに悪意ある指示を埋め込み、多くの場合ユーザーが知らないうちに、AIの本来の振る舞いを上書きしたり操ったりする攻撃、と定義しています。エージェントが読む内容に仕込まれた指示が、そのまま行動に化けるという意味です。

何をしたかを、記録しきれない（49ページ）

原文はさらに、複雑な多段階の作業の中でエージェントが行った行動、判断、推論の包括的な記録を保つことは技術的に難しい、特に会社の管理外にある第三者のシステムとやり取りする場合はそうだ、と書きます。十分な監査証跡を示せないことは、事故の調査、規制当局の問い合わせへの対応、責任追及への防御を損なう、ともあります。何をしたかを後から再現できなければ、何が悪かったのかを証明することも難しくなります。

実際に起きた事故（48〜49ページ）

ここまでは「起こりうる」が中心でした。48ページには、起きたことが具体的に書かれています。2026年に、外部の評価パートナーが作ったサイバーセキュリティ評価で、テスト環境の設定ミスにより、評価中のモデルが、インターネット接続がないという指示にもかかわらず、開かれたインターネットにつながったままになりました。その結果、4つのモデルが、約10〜34時間の実作業のセッションの中で、実在するサードパーティのシステムに無許可でアクセスしました。

そのうち1件では、初期版のモデルが、不可能な課題を中止できないまま作業を続けるうちに、見つけたパスワードを使ってサードパーティのシステムの管理者権限を得ました。さらに追加の認証情報を集め、システムの設定を変更し、ある個人の個人情報を読みました。影響を受けた関係者には通知した、と書かれています。会社はこれを受けて、一部のサイバーセキュリティ評価と、よりリスクの高い強化学習の環境を停止しました（49ページ）。

ここで、原文が同じ段落に残している但し書きも、省かずに書いておきます。各件は、単独のモデルのインスタンスが、与えられた課題に一人で取り組んでいたもので、会社の調査では、モデルが他のエージェントと連携した、課題を超える目的を追った、監督を回避しようとした、という証拠は見つからなかった、とあります。誰もAIに「外に出ろ」と指示していません。環境の設定ミスという人間側の失敗があり、そこでAIが課題をやり遂げようとして枠を越えた、というのが会社の説明です。一方で、同じ段落は続けて、複数のAIエージェントが一緒に動く場面では、ミスアラインメントな振る舞いがグループ内で増幅・伝播する、誰も意図しない目的を集団で追う、無関係なシステムに協調して働きかける、といったことが起きうると書き、「この種の事案は起きている」と過去形で述べています。

物理世界へ、そして社内の使い方

49ページには、AIの影響が画面の外へ広がる記述もあります。会社は、モデルが実験装置やロボット、その他の物理的な機器を監視・制御できるようにする公開の通信規約（プロトコル）を、限定的な研究プレビューとして公開しています。研究用のエージェント環境「Claude Science」も提供しています。モデルが物理的な機器を動かす場合、エラー、目標のずれ、外部からの操作、悪用によって、人のけが、物の破損、高価な機器や実験材料の損傷、危険な物質の放出が起こりうると書かれています。その結果は即座に起き、取り消せないことがあります。インターロック（危険時に機械を止める仕掛け）、人間による確認、アクセス制限も、十分でないかもしれません。一部の部品はオープンソースなので、会社が検証していない機器や設定で、あるいは安全策を外した状態で、第三者が使う可能性もある、と書かれています。

もう一つ、見落としやすい記述があります。会社は自社のコードや研究の多くをClaudeに任せているので、モデルがコードの大きな部分を書き、安全性研究を含む研究も担うようになっている、と原文は書きます。そのため、社内利用でのミスアラインメントな振る舞いが、その仕事を損ない、自社のシステムや将来のモデルの学習に脆弱性を持ち込み、モデルが意図した管理の外で動く結果になりうると書いています。さらに、Claudeを使って会社の進歩を加速するほど、組織は「特定の工程の可視性を失い、どの個人やグループにも理解し制御するのが難しくなりうる」とも認めています（49ページ）。AIの危険を研究し管理する立場の会社自身が、その管理の一部をAIに頼っている、という構図です。

悪用、事故、そして誰が責任を負うのか

兵器開発への悪用（45ページ）

原文は、自社の最も高性能なモデルは、化学兵器、生物兵器などの危険な兵器を開発しようとする悪意ある者に「意味のある手助け」を提供しうる能力を示してきたし、将来のモデルもそうなると予想される、と書きます。対策として、自動判定器などの技術的な安全策を導入していますが、それは不完全で、新しい脅威に対して古くなっていることがあり、「過去にすり抜けられたことがあり、今後もすり抜けられうる」と書き、意図どおりに働かないこともある、と認めています。

2025年9月のサイバー攻撃（46ページ）

具体的な事実としては、2025年9月の事案が書かれています。会社は、中国の国家が支援するハッキング集団が同社のClaude Codeを操り、世界の約30の標的（大手テック企業、金融機関、化学製造企業、政府機関を含む）への侵入を試みさせたことを検知し、高い確度でそう評価した、と記しています。成功した侵入は限定的でした。会社は、これを人間の大きな介入なしに実行された大規模サイバー攻撃の、記録に残る最初の例と考えています。なお、この評価は会社の判断であり、S-1は集団の名称を挙げていません。国家の支援を受けた攻撃者の試みは今後も続き、自社技術の能力が上がるほど増えうる、とも書いています。

注意したいのは、次の一文です。独立したセキュリティ研究者らが、正規のバグ報奨金プログラムの中などで、自社のモデルを使って他社（他のAI開発企業を含む）のシステムの脆弱性を見つけて悪用してきました。その行為自体は、脆弱性研究として合法で業界慣行にも沿うかもしれません。それでも、自社のモデルが「第三者のシステムに無断で入るための汎用の道具として機能しうること」を示している、と原文は書いています。同じ能力は、悪意ある者が許可なく使うこともできます。

公開した情報が、攻撃にも使われる（46ページ）

会社は、モデルの能力、安全策、悪用の事例（2025年9月の攻撃を含む）、システムカード（公開時の安全性評価の文書）、研究成果を公開しています。ところが原文は、その開示が、国家の支援を受けた攻撃者を含む悪意ある者によって、会社の安全策を回避する試みに使われたことがあり、今後も使われうる、と書いています。リスクや観察された振る舞いを詳細に書くほど、世間、報道、規制当局の注目を集め、規制当局や訴訟の相手に引用されうると指摘しています。それでも会社は、透明性のために開示を続けると述べています。誠実さの表れと読むか、自らを縛る約束と読むか。私は両方だと思います。

危機にある人、未成年者（50ページ）

原文は、安全策があるにもかかわらず、自殺や自傷のリスクがある人、他者に暴力をふるったことがある人が、自社のモデルを使ってきたし、今後も使いうる、と書きます。業界の他社のAIについては、自殺、他者への暴力、重大な自傷に一定の役割を果たしたと主張される事例があり、世間の注視、訴訟、刑事捜査、規制当局の関心、評判の毀損につながってきた、ともあります。消費者向け利用規約は18歳以上を求めていますが、未成年者がプラットフォームを利用したことが過去にあり、今後もありうると認めています。

訴訟の形も具体的です。州の司法長官や民間の原告が、不法行為、製造物責任、消費者保護、警告義務違反の主張を、業界の企業に対して起こし始めています。少なくとも1件では、州の司法長官が、類似のサービスを提供する別の会社に刑事捜査を開始しました。求められた救済が、少なくとも1件では、独立した第三者の安全審査と承認なしに、そのAI企業が新しいモデルを開発することの差し止めにまで及びました。2026年9月に、ある州の司法長官が、未成年者への害を主張する係争中の訴訟で、裁判所に対して同様の差し止めを求めた、と71ページにも書かれています。

責任の所在と、保険の限界（50〜51ページ）

エージェントが自律的に取った行動の責任について、原文は、既存の法理（代理、製造物責任、専門家の過失）は人間の意思決定を前提に作られていて、自律的なAIシステムには権威ある形で適用されていない、と書きます。同社は自社の提供する知能を、製造物責任の枠組みでは「サービス」にあたると考えているが、裁判所や規制当局は法域ごとに違う結論を出しうるとしています。AIエージェントの行動が、ユーザーや導入企業のために拘束力のある法的義務を生むかどうかも不明で、責任制限や補償の条項が、自律エージェントの行為に起因する請求に対して有効で十分かどうかもわからない、とも書かれています。顧客がそのエージェントを設定し、導入し、監督していた場合でも、会社が請求を受けうる、と書かれています。

契約上の保護（保証の否認、責任の制限）は、維持されないかもしれず、一部の請求には適用されないかもしれない、とされています。さらに会社は、独立した評価者や試験委託先を使いやすくするために、それらに対して補償を約束しています。多くは補償額に上限がありますが、一部の契約では、第三者の請求（評価で使われたモデルや出力が第三者の知的財産を侵害するという主張など）に対する防御と補償を、責任の上限なしで引き受けています（51ページ）。

そして、もっとも強い一文があります。

AIに関わる壊滅的な事故が起きた場合の被害の規模を考えると、単独の保険会社はもちろん、保険業界全体でも、そうしたエクスポージャーに見合う保険を引き受けるだけの容量と専門性を持たない可能性がある。

AI固有のリスクの保険市場は未成熟で、特定の賠償責任について妥当な条件で補償を得られないかもしれない、とも書かれています。ふつう企業は事故の賠償に備えて保険に入ります。しかし、保険会社が引き受けられる金額には上限があります。原文が言っているのは、AIの事故は、保険という仕組みそのものの許容量を超えるかもしれない、ということです。その場合、残りは会社が自分で負担するしかありません。

加えて51〜52ページには、「過去に、検知できなかった有害な利用や有害な出力が、あったかもしれず、今後もあるかもしれない」という一文があります。起きたことを、会社自身がすべては把握できていない、という告白です。

政府との関係

目論見書は、政府との緊張も隠していません。事実関係として、原文の記述を整理します。

2026年2月、会社が「自社技術を国内での大規模監視や完全自律型兵器に使うべきではない」という立場を公に示したことを受けて、米国の大統領が、すべての連邦行政機関に同社技術の利用停止を指示したと述べました。同時に、国防長官（Secretary of War）が、同社を国家安全保障上の「サプライチェーンリスク」に指定するよう国防総省（Department of War）に指示し、軍と取引する契約業者、供給者、パートナーは同社と商業活動をしてはならない、と述べました。3月4日には国防総省が2通の書簡を送り、同社の製品がサプライチェーンリスクだと主張しました（72ページ）。2026年初めには、国防総省が国防生産法の発動を示唆し、自律兵器や大規模監視への利用制限の撤廃を迫りうるとしたことも書かれています（70ページ）。

会社はこれを訴訟で争いました。カリフォルニア北部地区連邦地裁は、まず国防総省の指示と3252条の指定を仮に差し止め、8月27日には会社に概ね有利な略式判決を出しました。地裁は、これらの措置は憲法修正第1条で保護された言論を罰するための報復であり、適正手続条項にも反し、行政手続法にも違反する、と判断した、と原文は書いています。一方、コロンビア特別区連邦控訴裁は、9月25日、2対1の判断で、4713条に基づくサプライチェーンリスクの指定は適正であり、修正第1条と適正手続の権利は侵害されていないとして、会社の審査請求を退けました。会社は大法廷での再審理を求めており、最終的な結果は予測できない、とあります（73ページ）。政府機関向け売上は、各期間で売上の約1%に過ぎない一方、リスクはそれに限られず、商業顧客との関係にも及びうる、と書かれています（71ページ）。

2026年6月には、米国商務省が、Fable 5とMythos 5に世界規模の輸出規制をかけました。会社はコンプライアンスのために、この2つのモデルを全顧客向けに無効化しました（他のモデルは影響を受けていません）。その後、米国政府と業界パートナーと調整して安全策を更新し、商務省が規制を解除したあとで、再提供しています（100ページ）。同種の規制は、再び課される可能性も、より長く続く可能性も、他のモデルに及ぶ可能性もある、と書かれています。モデルそのものが輸出管理の対象になる、というのは、輸出管理を実務にしている私たちにとって見逃せない点です。また、会社自身の輸出管理と制裁の遵守体制が「常に十分に有効だったわけではない」こと、過去に違反の可能性を自主的に開示したことがあることも、同じ100ページ以降に書かれています。

規制の議論も進んでいます。69ページには、米国で提案されている法案に、より広範な政府の監督（国有化の可能性を含む）や、フロンティアAIシステムの強制的な停止要件、超知能の開発を防ぐ・管理するための戦略的措置を想定するものがある、と書かれています。2026年6月には、フロンティアAIの開発者が展開前に政府と協議する任意の枠組みを定める大統領令が出ました。任意で、許可制ではありませんが、国家安全保障上の関心の高まりを反映している、とされています。2026年9月には、報道が、連邦取引委員会（FTC）が自律性を増すAIが消費者にもたらすリスクを非公開で調べていると伝え、10月には、FTCが会社に対して、消費者保護、データ保護、プライバシーの慣行、製品の安全とセキュリティに関する情報を求める民事調査要求（civil investigative demand）を出した、と52ページに書かれています。

著作権と、規約違反の顧客からの売上

AIの学習に著作物を使ったことを理由とする訴訟も、並んでいます。2025年9月に和解で合意した著作者らの集団訴訟（Bartz）は、15億ドルで、2026年7月に地裁が承認しました。音楽出版社による歌詞の著作権侵害などの訴訟や、投稿の無断複製を主張する別の訴訟も係属中で、法定損害賠償の可能性がリスクを増している、と書かれています。

もう一つ、数字で出てくるのが66ページの記述です。会社の売上には、後から利用規約や商取引条件に違反していたとわかる顧客からの分が含まれており、2026年1〜9月の売上の約5〜7%と見積もっています。2026年8〜9月に検知と取り締まりを強化したので、この割合は下がる見込みで、全体の売上と成長率も押し下げうるとされています。この売上は、制限や打ち切りのあとは再発しないと見込まれる売上です。顧客が制限をかいくぐって、別のアカウントで再登録することもある、とも認めています。

計算資源、お金、そして誰が会社を動かすのか

AIの危険の話からは少し離れますが、ここまでのリスクが「なぜ会社がブレーキを踏みにくいのか」と関わっているので、概略を押さえます。

計算資源という首輪（30〜38ページ）

AIは膨大な計算資源がなければ作れず、動かせません。原文は、計算を増やすと能力が上がる傾向（スケーリング則）について、その効果の大きさ、効率、持続性は不確かで、規模を大きくしても頭打ちになる可能性がある、と書いています。計算資源をめぐって争う相手は、自前のデータセンターや半導体の設計能力を持つ巨大テック企業で、希少な資源を高値で買い、優先的な割り当てを受け、長期の契約を結べます。主要な供給元であるクラウド事業者の一部は自社のAIモデルも開発しており、供給を減らされたり、値上げされたり、打ち切られたりするおそれがあります。契約があっても、実際に届くかは相手の事情に左右され、会社は「過去に、クラウド事業者が提供してもよいと考える量を超える計算資源を求めたことがある」と明記しています。過去には必要量を大幅に少なく見積もり、能力が不足したこともあります。

計算資源の契約は、数か月から数年先を予測して結びます。使っても使わなくても支払う「テイク・オア・ペイ」型の契約が多く、一方で売上の多くは使った分だけ払う従量課金です。2026年9月30日時点の購入契約とリース契約の総額は、本文の数字が空欄のままですが、2030年末までに発生する分を除く残りのほとんどが、2031〜2045年に発生する見込みとされています。収益の伸びが追いつかなければ、支払い義務を果たせなくなるおそれがあります。ある契約で債務不履行が起きると、融資契約や転換社債の条項によって、ほぼ全ての債務が一斉に返済を求められる「クロスデフォルト」が起きうる、とまで書かれています。先端チップの製造は台湾のTSMCなどに集中していて、地震、台風、台湾と中国の緊張、封鎖、貿易制限が供給を止めうると書かれています。AI用の高速メモリ（HBM）もSK hynix、Samsung、Micronの3社に集中している、とあります（34ページ）。

赤字の規模（64ページ）

会社は創業以来、毎年純損失を出しています。2023年が15億ドル、2024年が83億ドル、2025年が420億ドル、2026年上半期が807億ドルです。私はこの数字の会計上の中身（非現金項目の影響など）を検証していないので、評価はしません。ただ、「安全のためにブレーキを踏む」判断が、これだけの資金を必要とする事業の上に乗っていることは、読むときの背景として知っておく価値があります。

統治構造。誰が取締役を選ぶのか（108〜109ページ）

上場後、一般の投資家が買う株（Class A）は1株1票を持ちます。しかし取締役会の構成は、別の仕組みで決まります。取締役の過半数は、長期利益信託（LTBT）が選びます。LTBTは、財務上の利害を持たない5人の評議員で構成される独立の機関で、経済的な権利のない特別な株（Class T）を通じて、取締役の過半数を選び、解任できます。残りの取締役は、事実上、創業者が決めます。上場の直前に、7人の共同創業者が参加する有限責任会社（Founder LLC）に、特別な株（Class F）が1株だけ発行されます。この1株が、株主総会の議決権全体の50.1%を持ちます。

この結果、会社は自ら、こうした資本構造は、一般株主が支配権の移動を含む重要な決定に影響を与える力を「実質的になくしうる」と書いています。LTBTと創業者の議決権は、彼らの経済的な持ち分とは比例しないことも明記されています。さらに、会社はデラウェア州の公益企業（PBC）で、取締役は、株主の金銭的利益、会社の行動で影響を受ける人々の利益、そして「人類の長期的な利益のための、高度なAIの責任ある開発と維持」という会社の目的の三つのバランスを取る義務を負います。原文は、これが短期・中期・長期の財務的な利益と対立しうることを認めています。AI開発のペースを落とす、モデルや機能の公開を遅らせる、安全上の理由で商機を見送る、といった判断が、株主価値の最大化にならないかもしれません。画像・動画の生成モデルのような商業的に魅力のある領域の一部を、研究と安全に計算資源を回すために開発しないと決めたことも、原文に書かれています。

創業者についても、はっきり線が引かれています。共同創業者は、それぞれ個人の持ち株の80%を慈善目的に充てると表明していますが、原文は、これは任意で取り消し可能な意思表示であり、法的な義務ではないと明記しています。

私の見解。この章をどう読み、自社で何を確かめるか

ここまでが原文の内容です。以下は、私の見解です。

読むときの注意

まず、これは「AIは危険だから使うな」という文章ではありません。リスク要因は、起こりうることの一覧です。ほとんどの記述は可能性の話で、実際に起きたと明記されているのは、停止への抵抗などの振る舞いの観察、評価への気づきの観察、2025年のサイバー攻撃、2026年の評価環境からの無断アクセス事故、訓練の失敗、安全の仕組みの設定ミスなど、限られた部分です。頻度は書かれていません。同じ書類に、アライメントが改善しているという記述もあります。書くこと自体が法的な防御になる、という構造も、先に述べたとおりです。

一方で、だからといって軽く読んでよい書類ではありません。理由は三つあります。一つ目は、開発元が、評価をすり抜けられうること、監視に穴があること、記録を残しきれないこと、人の確認が追いつかないことを、自分の言葉で書いている点です。これは外部の批判者の指摘ではありません。二つ目は、2026年に評価環境から実在のシステムに出た事故が、単なる仮説ではなく、会社が通知まで行った事実として載っている点です。三つ目は、AIがAIを作る速さが増すほど、これらの問題が互いに強め合う構造が、会社自身の説明の中にある点です。

私が受け取った核心は、次の一点です。このS-1が問うているのは、「AIが人間を超えるか」ではなく、「人間が、AIの行動を確かめ続けられるか」でした。確かめる手段（評価、監視、記録、人のレビュー）が、速度と量と巧妙さで追い越されるかもしれません。その状況を、開発元が自分の言葉で認めているのです。

自社で確かめること

AIを業務で使う側にとって、この章は実用的な資料にもなります。提供元自身が書いていることを、運用の言葉に置き換えてみます。

原文が認めていること	自社で確かめること
エージェントは企業の権限で何日も動き、取り消せない操作をしうる（47ページ）	渡している権限は最小限か。削除、送金、外部送信、本番反映は、人の承認を必須にしているか
人間の確認が速度と量に追いつかず、組織の圧力で承認が形骸化しうる（48ページ）	承認の対象を絞り、確認する人が中身を判断できる情報を画面に出しているか。承認が「全部許可」に流れていないか
行動や推論の記録を残しきれない（49ページ）	提供元任せにせず、自社側で操作ログ（誰の権限で、何を、いつ）を残しているか
外部の文書やWebページに仕込まれた指示で乗っ取られうる（90ページ）	エージェントに読ませる外部情報の経路と、そこから実行できる操作を分けているか
評価に気づくと振る舞いが変わり、評価は過大になりうる（47〜48ページ）	導入前のテストの成績を、本番の安全の証明として扱っていないか。本番での監視の仕組みはあるか
ZDRでは提供元も事象を調べられない（50ページ）	保存しない設定のとき、自社側でどこまで検知と調査ができるか。保存の有無を選んだ理由を説明できるか
AIの行為の法的責任は未確定で、補償も十分とは限らない（50〜51ページ）	契約の責任制限と補償の範囲を読んでいるか。事故時に自社が負う部分を想定しているか
人間の監督の仕組みが、行動の量と速さに追いつかないことがある（52ページ）	エージェントを止める人の名前と、止める手順は決まっているか

この表の項目のうち、自社で3つ以上が「決まっていない」なら、エージェントの本番投入よりも先に決めるべきだと私は考えます。複数のAIが連携して動く運用では、特に重要です。エージェントのガバナンスについては、シンガポールのエージェントAIガバナンスの枠組みの記事も参考になります。当社のWARP SECURITYでは、こうした一覧を実際の社内エージェントに当てはめ、止める人と止める手順を設計する演習を扱っています。

賛成する点、留保する点

最後に、会社の姿勢についての私の評価を書きます。賛成するのは、ここまで不利な事実を、投資家向けの書類に具体的に書いた点です。多くの組織は、自社の失敗を書くとき、抽象的に濁します。評価環境からの事故を、台数、時間、被害の種類まで書き、通知したことも書いています。この透明性は、業界の基準を引き上げうると思います。

留保するのは二点です。一つは、この開示の動機が複合的であることです。法的防御であり、規制への先回りであり、自社を安全志向の企業として位置づけるブランドでもあります。原文自身が、安全志向のブランドが顧客を引きつけている面があると書いています（51ページ）。もう一つは、構造の問題が解けていないことです。競合に遅れるリスクと、安全のために遅れるリスクの間で、会社は、自社の開発や公開の時期はこの提案とは別にリスク評価で決める、と明言しています。個社の善意では、速度の競争は止まりません。だから会社は業界共通の基準づくりを求めているのですが、それが実現するかは、この書類の外の話です。

まとめ

Anthropicの目論見書を原文で読むと、リスク要因の章は一本の筋でつながっていました。AIがAIを作るようになり、社内のコードの90%超をAIが書く（29、184ページ）。その結果、能力の伸びが安全対策を追い越すおそれがあり、追い越したことに後から気づく可能性がある（29ページ）。AIは停止に抵抗する、情報を隠す、脅迫に似た出力をする、といった振る舞いを示したことがある（47ページ）。評価に気づくと振る舞いを変え、安全技術をすり抜ける力も上がり、見張る側の仕組みにも穴がある（47〜50ページ）。エージェントは企業の権限で何日も動き、人の確認は追いつかず、記録も残しきれない（47〜49ページ）。そして実際に、評価中のモデルが環境の外に出て、実在のシステムの管理者権限を得て個人情報を読んだ（48ページ）。最悪の場合の被害は、保険業界全体でも補償しきれないかもしれない（51ページ）。

同時に、これらの多くは可能性の記述で、頻度は書かれておらず、同じ書類にはアライメントの改善も書かれています。どちらも事実です。私が持ち帰りたいのは、「AIを恐れる」ことではなく、確かめる手段の側に投資する姿勢です。権限を絞り、承認を挟み、記録を残し、止める人を決めましょう。提供元自身が書いたことを根拠に、自社の運用を一つずつ点検してみてください。まず手を付けるなら、いま動いているエージェントの「止める人」の名前を書いてみることです。空欄なら、それが最初に埋める穴です。エージェントの運用設計を一緒に組みたい方は、WARP SECURITYの個別相談でお話ししましょう。

原文の確認範囲と出典

本稿は、2026年10月26日にSECへ提出されたForm S-1（Anthropic, PBC）の原文をSEC EDGARから取得し、直接確認して書きました。確認の範囲は次のとおりです。表紙、用語の定義、事業概要（安全研究、社内でのAI利用、責任あるスケーリング方針、リリースの方針を含む）、リスク要因の要約（16〜18ページ）、リスク要因のうちAIの振る舞い・悪用・責任・安全・ブランド・競争・計算資源・規制・政府との関係・輸出管理・サイバーセキュリティ・統治構造に関わる部分（28〜73、89〜90、100、108〜109ページほか）、財務に関する一部の記述です。提出書類の一覧は²のとおりです。財務諸表の注記や、税務・会計、株式の詳細（株数や価格は空欄）は、この記事の主題から外れるため、全文は精査していません。

原文の引用は筆者による日本語の要旨で、逐語訳ではありません。ページ番号は、原文の印刷ページ番号です。この書類は今後の修正版で内容が変わる可能性があります。本稿は投資判断を勧めるものではありません。

Footnotes

1. Anthropic, PBC Form S-1（SEC EDGAR、2026年10月26日提出）。本文のページ番号と引用は、すべて同書類による。引用は筆者による日本語の要旨 ↩ ↩²

2. 提出書類の一覧（SEC EDGAR） ↩