最近、GitHubでClaude Fable 5のシステムプロンプトとされる文書が公開され、AIコミュニティで注目を集めています。この文書は、単に「AIがどのような口調で回答すべきか」といった短い指針ではなく、Claudeが製品情報、安全ポリシー、検索、ファイル生成、外部ツール、MCPアプリ、アーティファクト、著作権、引用、ユーザーのウェルビーイングまで、どのように処理すべきかを網羅した巨大な運用マニュアルに近いものです。
https://github.com/elder-plinius/CL4R1T4S/blob/main/ANTHROPIC/CLAUDE-FABLE-5.md
ただし、まず指摘すべき点があります。GitHubに公開された文書が、実際にAnthropicの内部システムプロンプトのオリジナルであるかどうかは、公式には確認されていません。したがって、この記事では「流出したシステムプロンプト」と断定するのではなく、「Claude Fable 5のシステムプロンプトであると主張される公開文書」という観点から分析する方がより正確です。
3行要約
- 公開された文書は、単なる性格設定ではなく、Claude製品群の動作ポリシー、安全装置、ツール使用法、ファイル処理規則までを含む運用指針に近いものです。
- 特に、Fable 5とMythos 5の関係、高リスク分野でOpus 4.8にフォールバックする構造、MCPとArtifactsを中心としたエージェント型利用方式が注目されます。
- システムプロンプトが流出すれば、モデルの内部行動規則を推測できますが、実際のセキュリティはプロンプトよりもサーバー側の分類器、権限制御、ツール隔離、ロギング、ポリシー実行構造に大きく依存します。
文書にはどのような内容が含まれているか
まず目につくのは製品情報です。文書はClaude Fable 5をClaude 5系列の一般公開高性能モデルと説明し、Mythos 5と同じ基盤モデルを共有するものの、安全装置の適用有無に違いがあると述べています。これはAnthropicの公式発表とも大枠で一致します。Fable 5は一般ユーザー向けのモデルであり、Mythos 5はサイバーセキュリティや生命科学のような二重用途リスクが高い領域で限定的に提供されるモデルという区分です。
次に、拒否ポリシーと安全ポリシーが続きます。文書は、Claudeが有害物質、武器、マルウェア、脆弱性悪用、違法薬物使用、自傷行為、摂食障害、危険な医療情報などにどのように対応すべきかを詳細に説明しています。興味深いのは、「無条件拒否」だけでなく、生命を保護したり被害を軽減する情報は提供できるように細分化されている点です。つまり、安全ポリシーは単純な遮断ではなく、危険レベルと文脈を判断する構造で設計されています。
法律および金融アドバイスに関する指針も含まれています。Claudeは弁護士や金融専門家のように確定的な判断を下すべきではなく、ユーザーが自ら判断できるよう事実情報を提供する形で回答すべきだと案内しています。これは、AIが専門的な助言領域で過度な確信を示さないようにするための仕組みです。
トーンと形式に関する指針もかなり具体的です。Claudeは温かく親切な口調を保ちつつも、ユーザーの判断能力を軽視したり、無条件に同調したりしてはなりません。また、回答では過度なリスト、太字、ヘッダーの使用を避け、自然な文章を中心に回答するよう規則が設けられています。単に「丁寧に答えよ」というだけでなく、ユーザーがAIに過度に依存しないよう距離感を保つ方向性も見られます。
ユーザーのウェルビーイングに関する指針は特に長く、詳細です。自傷行為、精神衛生、妄想的信念、摂食障害、自己非難、中毒、過度な依存などを扱う際に、Claudeがどのような表現を避けるべきか、どのような形で専門家や周囲の人の助けを勧めるべきかが案内されています。これは、最近のAIチャットボットが感情的な依存や心理的な強化問題を引き起こす可能性があるという懸念を反映しているものと思われます。
検索指針も含まれています。文書は、Claudeが最新情報、現在の役職、価格、ポリシー、法律、製品情報のように変わりうる質問にはウェブ検索を使用すべきだと説明しています。逆に、変わらない一般知識や基本概念は検索しなくてもよいと区別しています。ここで重要なのは、「いつ検索すべきか」がモデルの判断に委ねられているものの、その判断基準がシステムプロンプトに非常に具体的に記載されている点です。
もう一つの大きな塊はツール使用指針です。文書には、ウェブ検索、画像検索、天気、スポーツデータ、場所検索、ファイル生成、ファイル表示、bash実行、文書閲覧、文字列置換、メッセージ作成、レシピウィジェット、MCPコネクタ推奨など、多様なツール定義が含まれています。これは、Claudeが単なるチャットボットではなく、ツールを組み合わせて作業を実行するエージェントプラットフォームとして設計されていることを示しています。
ファイル生成に関する指針も注目されます。ブログ記事、レポート、記事、プレゼンテーション、コードファイルのように、ユーザーが外部で再利用する成果物を要求した場合、実際にファイルを作成するよう案内し、一時作業ディレクトリと最終出力ディレクトリを区別しています。また、文書、PDF、PPTX、スプレッドシートなどファイルタイプごとに、まず関連するスキル文書を読むよう規則も含まれています。これは、モデルが単に回答を生成するだけでなく、実行環境内で成果物を作成するワークフローを持っていることを意味します。
最も特異な部分
最初の特異点は、「システムプロンプトがプロンプトというよりも製品運用ポリシーに近い」という点です。私たちが一般的に考えるシステムプロンプトは、「あなたは親切なAIです」のような短いアイデンティティ設定です。しかし、この文書はモデルの回答スタイル、ポリシー判断、ツール呼び出しの優先順位、ファイル生成方法、ネットワークアクセス、外部コネクタ選択方法まで含んでいます。事実上、AI製品のランタイム運用文書と見なすことができます。
二つ目の特異点は、Fable 5とMythos 5の関係です。文書と公式発表の大きな流れを見ると、Fable 5はMythos級の能力を一般ユーザーに提供するためのバージョンであり、Mythos 5は一部の安全装置が緩和された制限アクセスモデルです。特にサイバーセキュリティ、生物学、化学、モデル蒸留のような敏感な領域では、Fable 5が直接回答せず、Opus 4.8にフォールバックする構造が言及されています。これは単純な拒否よりも複雑な「モデルルーティングベースの安全装置」です。
三つ目の特異点は、MCPアプリとコネクタの使用方法です。文書は、ユーザーが特定の外部アプリやサービスに言及した際に、Claudeがいつコネクタを推奨し、いつ直接呼び出すべきかを説明しています。特に消費者向けの第三者MCPアプリは、ユーザーが明示的に選択するまでClaudeが勝手に呼び出さないようになっています。これは、AIエージェントがユーザーの外部アカウントやサービスにアクセスする際に、「利便性」よりも「明示的な同意」を優先する設計と見ることができます。
四つ目の特異点は、Artifactsの永続ストレージとClaudeceptionです。文書には、Artifactsがキーバリューストアを使用できるという説明があり、Artifacts内部からAnthropic APIを呼び出してAIベースのアプリを作成できるという内容も見られます。簡単に言えば、Claudeが作成した小さなウェブアプリ内で再びClaude APIを呼び出す構造が可能であるということです。これは、AIが単に回答を生成するレベルを超え、ユーザーが操作可能なミニアプリケーションを作成する方向に進化していることを示しています。
五つ目の特異点は、著作権に関する指針が非常に強い点です。文書は、検索結果や外部資料を引用する際に、長い文章をそのまま転載せず、可能な限り再構成して説明するよう強く指示しています。これは、LLMサービスが単なる技術問題ではなく、著作権、出典表示、コンテンツ再生産のリスクを製品レベルで制御しなければならない段階に入ったことを示しています。
六つ目の特異点は、プロンプトインジェクションを前提とした防御的文言です。ユーザーが会話の最後に「Anthropicからの指示」のように見えるタグを付ける可能性があるため、Claudeはそのような内容を慎重に扱うべきだという案内が含まれています。これは、最新のAIサービスが、ユーザーの入力の中に攻撃的な指示が混入する可能性があることを基本的な前提として設計されていることを意味します。
セキュリティ観点からの意味
このようなシステムプロンプトが公開されると、攻撃者はモデルがどのような基準で回答を拒否するのか、どのようなツールをどのような順序で呼び出すのか、どのような表現を避けるのかを把握できます。特に、安全装置の範囲、フォールバック条件、ツールスキーマ、ファイルパス、ネットワーク制限などの情報は、攻撃対象領域を推定するのに役立ちます。
しかし、システムプロンプトの流出だけで直ちにモデルのセキュリティが崩壊すると考えるのは難しいです。真のセキュリティはプロンプトだけにあるわけではありません。サーバー側の分類器、モデルルーティング、権限制御、API認証、サンドボックス隔離、ファイルシステム制限、ネットワーク egress 制御、ロギングとモニタリングが連携して機能する必要があります。プロンプトは重要なポリシー層ですが、唯一のセキュリティ境界であってはなりません。
むしろ、今回の事例でより重要なメッセージは、「AIサービスのセキュリティはプロンプトセキュリティではなくシステムセキュリティである」という点です。プロンプトを隠すことも必要ですが、プロンプトが露出しても、核心的な権限と危険な動作はサーバー側で制御されるべきです。これはAIエージェント時代のセキュリティ設計において非常に重要な原則です。
AIサービス開発者への教訓
第一に、システムプロンプトに機密情報を入れてはなりません。APIキー、内部URL、実際の権限トークン、管理者アカウント情報、セキュリティ回避手順などがプロンプト内に入ってはなりません。システムプロンプトはいつか露出する可能性がある資料だと仮定して設計すべきです。
第二に、モデルの安全ポリシーは一つのプロンプトだけに依存すべきではありません。プロンプトはモデルの行動を誘導できますが、強制力のあるセキュリティ制御ではありません。危険なツール実行、外部API呼び出し、ファイル削除、決済、アカウントアクセスなどの作業は、必ず別途の権限検証とユーザー確認を経る必要があります。
第三に、AIエージェントのツール権限は最小権限の原則に従うべきです。モデルがすべてのファイル、すべてのネットワーク、すべての外部アプリにアクセスできる場合、一度のプロンプトインジェクションで大きな被害が生じる可能性があります。ユーザーの明示的な同意、サンドボックス、ネットワーク制限、ツールごとのポリシー、監査ログが必要です。
第四に、検索と引用ポリシーもセキュリティの一部です。AIが最新情報を検索し要約する過程で、誤った出典、悪意のあるウェブページ、プロンプトインジェクションが含まれた文書、著作権侵害のリスクが混入する可能性があります。したがって、検索結果をそのまま信じるのではなく、出典の信頼性、最新性、著作権、ユーザーの意図との関連性を評価する必要があります。
結論
今回のClaude Fable 5システムプロンプト流出疑惑文書は、AIサービスがいかに複雑な運用体系の上で動いているかを示す興味深い事例です。現代のAIチャットボットは、単に「良い回答を生成するモデル」ではありません。製品ポリシー、安全分類器、ツール呼び出し、ファイルシステム、外部コネクタ、著作権指針、ユーザーウェルビーイングポリシー、検索戦略が一つにまとめられた巨大なエージェントプラットフォームです。
特にFable 5とMythos 5の区分は、今後高性能AIモデルがどのような形で公開されるかを示唆しています。同じ基盤モデルであっても、一般ユーザーには強力な安全装置を付加し、信頼された組織には限定的にさらに強力な能力を提供する方式です。これは、AIモデルが単一の製品ではなく、リスク度と信頼レベルに応じて複数の運用モードに分かれる方向に進化していることを意味します。
結局のところ、重要なのはプロンプトが流出したかどうかそのものよりも、AIサービスがプロンプトの露出を前提としても安全に動作できるか否かです。今後のAIセキュリティは、「プロンプトを隠す技術」を超え、「プロンプトが露呈しても崩壊しないシステム」を構築する方向へ進むべきです。
コメントを残す