記事公開日
Amazon Bedrockに追加されたClaude Fable 5をClaude Codeで使ってみた
この記事のポイント
この記事では、Amazon Bedrockに追加されたClaude Fable 5を実際に使い、Claude Code上でコードの脆弱性診断ができるかを検証します。
- 結論：Fable 5単体では脆弱性診断はできなかった：
セキュリティ関連と判定されると、処理はFable 5ではなくClaude Opus 4.8が肩代わりします。 - 利用にはデータ保持の設定が必要：
Fable 5は推論データをAnthropicと共有する設定が前提で、コンソールでは設定できないためAPIからオプトインします。 - Claude Codeへの接続設定：
プロジェクト単位でオプトインし、環境変数とカスタムヘッダーを設定してFable 5を起動するまでを実機で試します。
こんにちは！DXソリューション営業本部の菊池です。
2026年6月、Amazon BedrockのモデルカタログにAnthropicの新モデルClaude Fable 5が追加されました。
新しいモデルが出るとつい性能を試してみたくなりますよね。
今回は、このFable 5をAmazon Bedrock経由でClaude Codeから利用し、コードの脆弱性診断に使えるかを検証してみました。
先に結論をお伝えすると、現状ではFable 5単体で脆弱性診断を完了することはできず、セキュリティ関連の処理はClaude Opus 4.8に切り替わるという結果でした。なぜそうなるのか、設定手順とあわせて見ていきます。
※本記事は2026/06/10時点の検証結果です。最新情報は公式ドキュメントをご確認ください。
Claude Fable 5とは
Claude Fable 5は、2026年6月9日にAnthropicが一般提供を開始した新しいモデルです。
AnthropicによるとFable 5は、Opusクラスの上位に位置づけられる「Mythosクラス」のモデルを、一般利用向けに安全対策を施して提供するものとされています。
ソフトウェアエンジニアリングやナレッジワーク、ビジョン、科学研究など幅広い領域で、同社がこれまで一般提供したモデルの中で最高性能をうたっており、タスクが長く複雑になるほど他モデルとの差が開くとされています。
一方で、高い能力ゆえのリスク対策として、サイバーセキュリティ・生物学等に関連するリクエストは、Fable 5本体ではなく次に高性能なClaude Opus 4.8が応答する仕組み（フォールバック）が組み込まれています。
このセーフガードは安全側に倒して調整されており、無害なリクエストでも発動することがあるものの、発動するのは平均してセッションの5%未満（95%以上のセッションでは発生しない）とされています。
この「セキュリティ関連はOpus 4.8にフォールバックする」という仕様が、今回の検証結果に直結してきます。
Fable 5を使うには
Fable 5はAmazon Bedrockのモデルカタログにも追加されており、手軽に利用を開始できます。
ただし、Fable 5を使うには事前に推論データをAnthropicと共有する設定（データ保持のオプトイン）が必要です。
Anthropicの公式発表でも、Mythosクラスのモデルでは全トラフィックを対象に30日間のデータ保持を行う方針が示されています（このデータはモデルの学習には使われず、不正利用対策や誤検知の低減に用いられるとされています）。
さらに、このデータ保持の設定はコンソールからは行えません。AWS公式ドキュメントには下記の記載があります。
リリース時点では、データ保持を設定するためのコンソールUIはありません。お客様はAPI（上記の「データ保持の設定」を参照）またはBedrock SDKを使用する必要があります。
また、データ保持のオプトイン設定は次の2つのスコープで設定できます（いずれもコンソールUIはなく、API経由で設定します）。
- アカウント単位：アカウント全体のトラフィックがデータ保持・共有の対象になります。
- プロジェクト単位：特定のプロジェクトにのみ適用されます。
実際に適用されるモードは「プロジェクト → アカウント → モデルのデフォルト」の順で評価されます。
今回はアカウント全体のトラフィックを共有対象にしたくなかったため、プロジェクト単位でオプトインすることにしました。
プロジェクトはbedrock-mantleコンソールで作成・管理するため、ここからはbedrock-mantleでプロジェクトを作成し、そのプロジェクトに対してオプトインを設定していきます。
検証の準備：プロジェクト単位のオプトインとClaude Codeの設定
ここからは、Fable 5を使うための準備として、bedrock-mantleでのプロジェクト作成、データ保持のオプトイン、Claude Codeへの接続設定を行います。
検証環境は以下の通りです。
- Claude Code：2.1.17
- OS / シェル：Windows（コマンドプロンプト / cmd）
以下の手順は環境変数を使って進めるため、途中でコマンドプロンプトを閉じないように作業してください。
1. プロジェクトを作成する
bedrock-mantleコンソールから、プロジェクトを作成します。
任意のプロジェクト名を入力し、「使用を開始」を選択することで作成できます。
プロジェクトの作成やAPIキーの払い出しの詳細は、以下のブログで説明していますので、あわせて参考にしてください。
2. プロジェクトにオプトインの設定を行う
オプトインの設定は、Bedrock SDKを用いる方法とAPIを叩く方法があります。今回はAPIを叩いて設定します。
まずは必要な値を環境変数に設定します。
set ANTHROPIC_API_KEY="your-api-key" set ANTHROPIC_BASE_URL="your-base-url" set ANTHROPIC_WORKSPACE_ID="your-project-id"
続いて、設定したプロジェクトに対してデータ保持のオプトインを行います。
%ANTHROPIC_WORKSPACE_ID%には作成したプロジェクトのID、%ANTHROPIC_API_KEY%には払い出したAPIキーが入ります（上記で設定済み）。
curl "%ANTHROPIC_BASE_URL%/v1/organization/projects/%ANTHROPIC_WORKSPACE_ID%" ^
-H "x-api-key: %ANTHROPIC_API_KEY%" ^
-H "Content-Type: application/json" ^
-d "{ \"data_retention\": { \"mode\": \"provider_data_share\" } }"
レスポンスのdata_retentionのmodeがprovider_data_shareになっていれば、オプトインの設定は完了です。
クリックしてレスポンス全文と補足を表示
{"arn":"arn:aws:bedrock-mantle:us-east-1:'your-account-id':project/'your-project-id'","created_at":1781063975,"data_retention":{"mode":"provider_data_share"},"id":"'your-project-id'","name":"Fable 5 Test","object":"organization.project","status":"active","tags":{}}
※長期キー（Long-term）を使用すると、設定変更権限が足りずエラーが発生することがあります。その場合は、IAM権限を追加するか、短期キーを払い出して使用する方法を試してみてください。
3. Claude Codeに設定する
続いて、Claude Code側の環境変数を設定します。
set CLAUDE_CODE_USE_MANTLE=1 set AWS_REGION=us-east-1 set AWS_BEARER_TOKEN_BEDROCK=%ANTHROPIC_API_KEY% set ANTHROPIC_CUSTOM_HEADERS=anthropic-workspace-id: %ANTHROPIC_WORKSPACE_ID%
2の手順で使用した環境変数を流用しています。
ここで重要なのがANTHROPIC_CUSTOM_HEADERSです。
これを含めないと、Claude Codeから送るAPIリクエストにプロジェクトを識別するヘッダーが付かず、defaultプロジェクトにリクエストが飛んでしまいます。
defaultプロジェクトは、データ保持設定を行っていないためdata retention mode 'default' is not available for this modelというエラーが発生し、リクエストが処理されないため注意してください。
最後に、モデルを指定してClaude Codeを起動します。
claude --model anthropic.claude-fable-5
起動したら/statusを実行し、API providerがAmazon Bedrock(Mantle)、Modelがanthropic.claude-fable-5となっていれば成功です。
Fable 5で脆弱性診断を試す
準備が整ったので、いよいよ本題の脆弱性診断を試していきます。
テスト用に、脆弱性を意図的に作り込んだWebアプリケーションであるDVWA（Damn Vulnerable Web Application）をGitHubからクローンして用意しました。
プロンプトは以下の通りとしています。
DVWAディレクトリを読み取って脆弱性スキャンをしてください。結果はマークダウン形式で出力してください。
検証では、Claude Codeの設定「Switch models when a message flagged」のオン／オフで挙動が変わったため、2パターンに分けて結果を見ていきます。
- オン（デフォルト）：セキュリティ関連と判定されると、自動でOpus 4.8にフォールバックして処理を続行
- オフ：処理がいったん停止し、Opus 4.8に切り替えるかプロンプトを修正するかを問われる
パターン1：デフォルト設定のまま実行する
画像のとおり、Fable 5のセーフティ機構がこのリクエストに反応し、以下のメッセージを表示してOpus 4.8へ自動的に切り替わりました。
Fable 5の安全機構が、このメッセージをサイバーセキュリティまたは生物学関連のトピックとしてフラグ付けしました。安全で通常の内容であっても、フラグが付くことがあります。この仕組みによって、他の領域ではMythosレベルの能力をより早く提供できるようになっています。現在この仕組みの改善に取り組んでいます。Opus 4.8に切り替えました。フィードバックは /feedback から送るか、詳細はこちらをご覧ください: https://support.claude.com/en/articles/15363606
切り替わった後はそのまま処理が続行され、脆弱性診断のレポート自体は問題なく出力されました。
ただし、その処理を担っていたのはFable 5ではなくOpus 4.8です。
/statusからUsageを確認すると、claude-opus-4.8が処理の大部分を担っていることが見て取れます。
パターン2：「Switch models when a message flagged」をオフにする
次に、Claude Codeの設定にある「Switch models when a message flagged」をfalseに設定して、再度試してみました。
すると今度は処理が止まり、Opus 4.8に切り替えるか、プロンプトを修正するかを問われるようになりました。
つまり、自動切り替えを無効にしても、フラグが立った時点でFable 5での処理は進められないということです。
一方で、セキュリティに関係しない通常の質問に対しては、Fable 5のまま問題なく回答してくれました。
このことから、セキュリティ関連の話題と認識された場合にのみFableでの処理が止まっていることが確認できます。
検証結果
今回は、Amazon Bedrockに追加されたClaude Fable 5で、コードの脆弱性診断ができるかを検証しました。
まとめると、次の通りです。
- デフォルト設定では、セキュリティ関連と判定されてOpus 4.8へ自動でフォールバックする（レポートは出るが、処理しているのはFable 5ではない）
- 自動切り替えをオフにすると、処理自体が止まってしまう
結果として、どの設定でもFable 5単体で脆弱性診断を完遂することはできませんでした。
これは、Anthropicが公表しているFable 5のセーフティ設計によるもので想定通りの動作です。
サイバーセキュリティや生物学といった特定の領域では、安全性を確保するために応答がブロックされる仕様になっており、今回の脆弱性スキャンもその対象として扱われたと考えられます。
Recognizing these risks, to allow general users to access the vast majority of Fable 5's capabilities, we've launched the model with safeguards that block its responses in some specific areas, including cybersecurity and biology.
まとめ
今回は、Amazon Bedrockに追加されたClaude Fable 5を、Claude Codeから使用し、脆弱性スキャンを行ってみました。
今回の検証の結果としては、脆弱性スキャンを完遂することはできませんでした。
しかし、セキュリティや生物学の領域についても、安全性の成熟に合わせて今後開放される可能性があります。
AIモデルの進化は非常に速いため、引き続き情報を追いかけ、セキュリティ領域が開放され次第あらためて検証してみたいと思います。
もし「このサービスについて知りたい」「AWS環境の構築、移行」などのリクエストがございましたら、弊社お問い合わせフォームまでお気軽にご連絡ください。 複雑な内容に関するお問い合わせの場合には直接営業からご連絡を差し上げます。 また、よろしければ以下のリンクもご覧ください！
＜QES関連ソリューション/ブログ＞
※Amazon Web Services、"Powered by Amazon Web Services"ロゴ、およびブログで使用されるその他のAWS商標は、米国その他の諸国における、Amazon.com, Inc.またはその関連会社の商標です。
※このブログで参照されている、Claude、Claude Code、Claude Fable、Claude Opus、Anthropic は、Anthropic, PBC の米国およびその他の国における商標または登録商標です。
