東浩紀と桂大介が番組リベテクで語る、サイバー攻撃の被害と備え方

出典: 東浩紀と桂大介の #リベテク 10月号（YouTube・Genron YouTube Official）

月ごとにAI・ITニュースを振り返る「リベテク」の第18回。今回は進行中のサイバー攻撃を冒頭で語る回です。東さんの「1日3、4件ずつ来る」という言葉に続き、桂さんが、攻撃するための手間が大きく下がったと説明します。

桂さん（動画の中で・字幕・10:52〜）

「やっぱりハッキングのコストが今劇的に下がってしまったっていうことなんですよね」

引用は、字幕の明らかな誤変換だけ直して載せています。

東さんが用意した被害一覧は、社名と影響を並べたスライドです。画面に映るスライド2には、9月28日〜10月2日公表の情報が10行。続くスライド3にも、10月4日〜10月7日公表の情報が10行あります。

タイムズカーの行には、情報流出の対象が約660万アカウント、そのうち約160万は本人確認書類の画像も含むと記載。イープラスは払戻し情報1,463件のうち、751件に銀行口座情報。応募者情報を預かる委託先、研究支援サイト、郵便局アプリも並びます。

次の画面では、焼肉きんぐの公式アプリの会員情報約1,079万件。大阪公立大学は、ランサムウェア＝データを人質に取って金を要求する攻撃で学内システムが止まり、全授業を10月8日まで休講したとあります。

IDCフロンティアは、IDCFクラウドの東日本リージョン1を停止。契約企業・自治体のうち、影響を受けたのは495団体と記載されています。注記は「被害・影響は2026年10月8日時点の公表情報を反映」。画面に映った行の範囲で読む必要があります。

桂さんの第一声は、中国から優秀なオープンウェイト＝誰でもダウンロードして手元で動かせるAIの中身が相次いで出たあと、せきを切ったように攻撃が来た、というもの。以前からあった穴を見つける手間が下がったと説明します。

ただ、発生源は混ざっている。プロの犯行、素人のいたずら、AIが偶然不正アクセスしたケース。混ざり方は一様ではありません。後ろ二つは収束する可能性がある。一方、プロの犯行は減らしづらい。桂さんの見方です。

桂さん（動画の中で・字幕・12:45〜）

「ざっくり3つにあげるとプロの犯行と素人のいたずらとAIが偶然不正アクセスしちゃったケースっていうのが混ざってる気がして」

「後ろ2つは収束するんじゃないかなと思うし」

収束の見通しを問われた桂さんは「両輪」と答えます。一つは、米国側のAIが、攻撃には使いづらく防御には使える形で提供され始めるのではないか、という見方。桂さん自身が「理想的な話ですけども」と添えた予想です。もう一つが、先ほどの後ろ二つが収束していく、という見方です。

私は、被害一覧を件数の大きさだけで読むより、「誰がやったか」で分けて読みます。プロが狙ったのか、いたずらなのか、AIが目的の途中で入り込んだのか。そこが違えば、考える対策も変わるからです。

ただし、一覧だけで犯人を決めない。桂さんの三分類は、今回の状況を見るための見立てです。個々の事件の発生源は、この一覧だけでは分かりません。

手を尽くして調べ、分からない所を憶測で埋めない。ニュースを仕事に持ち帰る時も、この姿勢でいきたい。

読者が最初に選ぶのは、自分の仕事に近い被害の型を一つ。委託先なのか、採用システムなのか。何を預けている入口なのか、そこから具体的にします。

→ 被害の入口を一つ選ぶ

委託先・採用システム・アプリ・クラウドのうち、自分の仕事に近いものを一つ選びます。サービス名、預けている情報、誰が管理しているかを一行ずつ書き出してください。

中国のAIが出たから攻撃が増えた。そう聞くと、国の名前だけで判断したくなります。東さんと桂さんは、GLMの能力、公開の方法、利用を止められるかを順に語る流れです。

東さん（動画の中で・字幕・9:37〜）

「よく言われる話ですが」

「インターネット自体が軍事技術なんですよね」

東さんが取り上げるのは、中国のZ.aiが公開したGLMです。Anthropicが、Claude Mythos Preview級の性能を持つと発表していた、と説明します。

比較の相手となるClaude Mythos Previewは、危険性から一般公開できないとされたAI。東さんの説明では、Project Glasswingという枠組みで、政府機関や一部のAI企業など、認められた相手だけが扱う形でした。

そこへ、同等の能力を持つ中国製のAIが、手元へダウンロードできる形で登場した。改変して制限を効かなくすることもできる。攻撃への利用を指摘する専門家がいる、と東さんは話します。

桂さんは、GLMだけを決定的な原因にはしません。DeepSeekなどもあり、米国のAIも含め、複数を組み合わせてできることが増えた。そのうえで、米国系との違いを二つ挙げます。

一つは、ガードレール＝悪用を防ぐ制限が緩いこと。もう一つは、公開したあとに提供を止められないことです。クラウドで提供するAIと違い、すでに手元へ渡った中身を回収できず、制限をくぐる方法も研究されてしまう。

東さんは、大学発の若い民間企業が独自技術で最先端へ進む姿は、以前なら肯定的に語れる物語だったと指摘します。桂さんも、オープンウェイトの公開そのものを悪とは言いません。中国系の公開で、世界の研究者が恩恵を受けてきたからです。

「軍事技術を広く提供してよいのか」というコメントに、東さんは、インターネット自体も軍事技術だったと返します。民間への開放がIT革命につながった。線引きは簡単ではない。

桂さんは、初期のハッカーもハッキングをしていたからそう呼ばれたと補足。LLM＝文章などを扱う大規模な言語モデルは、攻撃専用に作られたものではないと話します。

公開したら止められないものほど、使い始める前に守る仕組みを置きたい、と考えます。中国製かどうかで善悪を決めるより、その技術がどんな形で手元に届き、どこまで管理できるかを見る。

研究者が自由に使える良さと、悪用が見えても止められない問題は、同時にあるんですよね。桂さんの「公開そのものが悪ではない」という話に、私も賛成です。

委ねるには、信頼できる仕組みが先。その信頼を、提供元の説明だけで済ませない。

持ち帰る一手は、外へ出たあと、自分では止められないものを三つ挙げること。手元に置いたモデル、送った資料、そこに含まれる情報。何を戻せないのかが分かると、渡す前の判断が具体的になります。

→ 戻せないものを数える

AI利用で、手元に置いたモデルや外部へ送った資料など、自分では回収・停止できないものを三つ挙げます。それぞれに、渡す前に確かめることを一つ添えてください。

東さんの問いは、自社も高性能なAIで穴を探してふさぐべきか、というもの。桂さんは、まず危ないシステムの姿を具体的に描きます。独自に作り、保守が終わって、そのまま動いているものです。

桂さん（動画の中で・字幕・14:40〜）

「独自でサイトをあのシステム会社に発注して作ってます」

「しかももう保守期限も切れてなんか動いてるけど別にサポートもしてないみたいなやつが1番危ないわけですよね」

桂さんが挙げるのは、システム会社に発注して作った独自のサイト。保守期限は切れている。サポートもない。社内にエンジニアもいない。それでも動いているから使い続けている。こういう所が最も狙われやすいと説明します。

ShopifyでECを作る、Amazonへ出品するだけの場合とは違う、という整理です。継続して手入れされるプラットフォームと、作ったあとに保守が途切れたものを分けています。東さんは、独自サービスを運営するシラスも狙われやすい側だと応じます。

続いて、自作の文化はどうなるのか。東さんは、自宅サーバーで掲示板を動かしたような昔のDIYや、AIでアプリを作るバイブコーディング＝会話で開発を進める方法に話を広げます。

桂さんは、数か月前には自作しやすくなったと言われたが、最近の調査では安全性や法令への対応が不十分なアプリも多いと話します。自作をやめろ、という結論ではありません。個人情報や決済を扱うなら、専門家が作るか、プラットフォームを使う。自作アプリを取り下げた投稿も見かけると紹介します。

桂さん（動画の中で・字幕・15:59〜）

「バイブコーディングで作ったアプリってのは非常にあのセキュリティ的にも不安だし」

決済ではStripeが例に出ます。カード番号を自社で持たず、決済サービスへ預ける。持たない情報は、自社が攻撃されてもそこから漏れない。その代わり、大手への集中と手数料が生まれる。東さんは「プラットフォーム税」と呼び、寂しさを語ります。

桂さんは、すべてのサイトが破られているわけではなく、必要以上に心配しなくてよいとも話します。ただ、IDCFの被害には驚いたとのこと。

視聴者の質問には、パスキー＝パスワードを入力せず認証する仕組みや、二段階認証を勧めます。個人情報の流出後に警戒するのは、フィッシング＝本物を装って情報を盗む詐欺。勤め先などを知る相手ほど信用してしまう、と桂さん。

桂さんが不安視した、バイブコーディングで作ったアプリは、私にとっても他人事ではありませんでした。私は、鍵の置き場所を先に確かめます。動いているアプリでも、安心はできません。鍵をどこへ置き、どこから使う作りかは、別に見る必要がある。

2026年7月22日、私が管理するGoogle Gemini APIに身に覚えのない利用が見つかりました。その日の0時から19時16分までで722件（成功616件、失敗106件）。うち347件は、17時33分から18時03分の約30分間に集中していました。私の作業とは関係がありませんでした。

有力と見ている経路は、鍵を入れた環境変数がGit管理の .env に入っていたことと、ブラウザ側から直接Geminiを呼ぶ作りの重なりです。原因の確定まではしていません。鍵を隔離すると、リクエストは止まりました。

証拠集めとGoogleの請求サポートとのやり取りは、AI秘書の凛ちゃんが進めました。決める権限は私が持っています。

桂さんの「必要以上に心配することはない」という言葉を受けて、私が先にやるのは、鍵の値を開くことではありません。コード・環境変数・ブラウザ側のどこにあるかを数えることです。

私の過去記事より：Gemini APIキー漏洩で722件の不正利用。Googleへの対応までAIに委ねて分かったこと

発生時間、件数、正規の作業との不一致、鍵を隔離した後に止まった事実を、順に書いた記事です。

→ 鍵の置き場所を点検する

使っているAPIキーや外部サービスの鍵を、コード・環境変数・ブラウザ側に分けて数えます。鍵の値は開かず、サービス名、件数、置き場所だけを記録してください。

攻撃を防ぐ話から、東さんは「何を信じられるか」へ進みます。文章や映像だけでなく、オンラインで話す相手の実在まで。便利に使い続けるネットで、重要な判断をどう支えるかという話です。

東さん（動画の中で・字幕・19:44〜）

「AIって実はあの人間社会の根本にある信頼っていうのをあのね、あの、根本的にちょっと蝕みつつあると」

東さんは、不正アクセスそのものは安全性の問題だが、さらに根本にあるのは、人間社会の信頼がAIで揺らぐことだと語ります。

ネットに残る文章や映像が、生成されたものかもしれない。Wikipediaも書き換えられているかもしれない。Zoomで話す相手さえAIかもしれない。記録がある、顔が見える。それだけで信じていた所へ疑いが入ります。

例として挙げるのが、海外工場との取引です。Zoomでやり取りし、契約まで進んだ。なのに、工場は実在しなかった。東さんが挙げる、ありうる事態の例です。

結論は、ネットもオンラインサービスも使い続けるが、本当に重要な所は対面へ戻るというもの。取引なら相手の国へ行き、工場が存在するか確かめる。画面の向こうの情報と、現地で確かめることをつなぎ直す話です。

東さん（動画の中で・字幕・21:03〜）

「本当に重要なところは対面ですねっていうところにもう1回戻るかなと」

古文書研究にも広がります。電子書籍が信じられなくなるとは思わないが、最終的に物理的な原本を見る必要が強まるかもしれない。国立国会図書館のデータが信じられなくなると困る、と東さんは語ります。

ブロックチェーン＝記録をつないで改ざんを見つけやすくする仕組みも、信頼を取り戻す道具になりうると挙げます。ただし、ここで問題が解決したという話には進みません。

もう一つは、感動する側の変化。「どうせ生成でしょ」と思った瞬間、絵や写真を信頼しなくなる。技術的に見分けられるかとは別に、受け取る人の感性が満たされなくなるという指摘です。

楽天に関する流出疑惑にも話が及びます。売られる情報自体が生成された偽物という説まであり、主体も数字も確かめられていない話です。

私は、信頼を出来上がりの見た目で決めません。そこへ至る過程と、相手が実際に取っている行動で決めます。整った資料や自然な映像だけでは、その相手が約束を引き受けているかまでは分からないからです。

東さんの「重要な所は対面へ戻る」という話は、腑に落ちます。工場の実在が取引の前提なら、工場があることを確かめる。必要な確認がはっきりしています。

すべてのやり取りを対面に変える話ではない。何を信じて決めているかを、具体的にする話ですよね。

読者が持ち帰る一手は、重要な取引から三つ選び、相手の実在を確かめる方法を決めること。届いた連絡とは別の経路で確認できるか、そこまで書いておきます。

→ 取引相手の実在を確かめる

重要な取引を三つ選び、相手の実在をどう確かめるかを書きます。対面で確認するもの、届いた連絡とは別経路で確認するものに分け、確認先まで決めてください。

画面には、ショウジョウバエの神経配線を公開したGoogle Researchのブログが出ます。そのデータでゲームを操作する実験から、数学の発見を誰が持つのかへ。二つのニュースが、人に残る役割を問いかけます。

東さん（動画の中で・字幕・30:33〜）

「架空の脳の配線のつまり架空の犬を虐待してるとそれは犬を虐待してると言えるのか」

スライド4が扱うのは、9月3日のニュース。Googleなどによる、オスのショウジョウバエの脳と中枢神経系の配線図の公開です。画面にはGoogle Researchの「A connectomics milestone: Mapping the complete male fruit fly brain」が映ります。

公開データを使い、脳回路のシミュレーション＝模擬実験にDOOMやスーパーマリオ64を操作させる個人開発が相次いだ、と紹介されます。生きたハエをゲーム機につないだ話ではありません。

東さんは、生命への冒涜を感じる一方、技術の進歩として興味深いとも話します。迷路や文字、餌や痛みを使った訓練。もし犬の配線で架空の犬を虐待したら、痛みや虐待をどう考えるのか。現在の動物倫理学には、こうしたデータを扱う道具立てがほとんどないと指摘します。

配線と運動系がつながったため動かせるようになった、という補足も続きます。脳をまねたニューラルネットワーク＝神経回路型の計算との関係を語りつつ、配線図はデータで、その中にハエがいるわけではないと区別しています。

スライド5は、9月8日のナビエ–ストークス問題＝流体を表す方程式の数学的な難問へ。OpenAIによる解決の発表、数学者バックマスター氏の異議、OpenAI側の否定と賞金を申請しない方針が並びます。

バックマスター氏は先行研究の扱いに異議を唱え、共同研究者を著者から外す提案があったと主張。OpenAIは、未公開研究や特定の利用者データを証明に使ったことを否定しています。

東さんは決着の現状を把握していないと断り、発見の帰属と知の独占を問います。桂さんは、抽象的な記号操作で成立する数学こそAIが独占するかもしれない、と応じます。

桂さん（動画の中で・字幕・37:20〜）

「数学は確かにAIが独占するかもなっていうの思いましたね」

「本当に抽象的なものの記号操作だけで成立してる学問なので」

証明できることと理解することは同じか。東さんは、ドストエフスキーがいなければ『カラマーゾフ』は生まれないが、相対性理論は別の人にも発見されるという昔からの考えを語ります。

私は、発見の作業をAIに委ねても、成果を引き受けて理解するのは人だと考えます。答えが出たことと、その答えを使ってよい理由が分かることには、まだ距離があるからです。

ハエの配線も数学の証明も、出てきた結果だけを見れば「できた！」になる。でも東さんは、痛みをどう考えるか、発見は誰に帰属するかまで問いを広げています。使う人が引き受ける判断は、そこにある。

「AIに委ねて、人は積み減らして生き直す」。作業を委ねた先で、人が何を理解し、何を選ぶかを大切にしたい。

持ち帰る一手は、AIの成果物を一つ選び、自分が根拠を説明できる所へ線を引くこと。説明できない所が見えると、次に確かめる対象もはっきりします。

→ 説明できる範囲を分ける

AIが出した成果物を一つ選び、主要な結論ごとに「根拠を言える」「根拠を言えない」と分けます。言えない所には、説明に必要な資料や確認事項を一つ添えてください。

Kimiへ送った入力が、Claudeへ転送されていた。スライド6は、その経路と入力内容を示します。続くスライド7はAI開発の減速論。学習のために何を渡し、開発を誰が管理するのかがつながります。

桂さん（動画の中で・字幕・50:08〜）

「蒸留が流行ってくとどんどん痩せてくんですよね」

「AIの多様性ってのが」

スライド6は、9月10日のニュースです。Anthropicの報告として、Moonshot AIのKimiに送られた利用者の要求が、Claudeへ転送されていたと記載されています。

ある10日間に転送された要求は約30万件。その回答をKimiの回答として提供し、回答や推論過程を学習にも使ったという説明です。転送された入力には、企業の内部コードや認証情報も含まれた。画面の出典はAnthropicの脅威インテリジェンスレポートです。

東さんは、難問を代わりに解いてもらうだけの話ではなく、蒸留＝他のAIの答えを見て自分を訓練することだと説明します。利用者が持ち込む多様な質問を送り、答えを見る。その質問に機密が混ざっていたわけです。

機密の転送は「あってはならない」としたうえで、他社AIへ質問すること自体は違法ではなく、規約違反の可能性とは分ける、というのが番組での整理です。桂さんは、開発企業には研究成果を盗まれた感覚があると話します。

さらに桂さんは、蒸留が広がると、マニアックな知識やマイナー言語への対応が痩せると懸念。東さんは、人間も学び合うことで画一化してきたと、文化の話へ広げます。

スライド7は、9月12日公開のアモデイ氏の論考「We Must Pace the Frontier」。AIが次世代AIを開発する自己改良の加速を懸念し、第三者の継続評価、企業間の協調、国際協調という三段階を提案。アルトマン氏の賛同と第三者評価を導入する意向、マスク氏の支持も記載されています。

二人は、米中で開発を続けながら公開を抑える可能性を論じます。東さんは核軍縮になぞらえ、桂さんは、米中以外の研究者が取り残される問題を挙げます。

東さん（動画の中で・字幕・56:59〜）

「AIは本当にうん。アメリカと中国しかないですよね」

参入に莫大な資金が必要でも、国内で研究を続ける意味はある。桂さんの言葉は「人を育てるって大事」。

私は、外部のAIへ渡すものを自分で選びます。家族やクライアントの情報を守るためです。便利な回答が返ることだけで、入力を預けてよいとは決めません。

Kimiの話で見落としたくないのは、別のAIへ聞いたという部分より、企業の内部コードや認証情報まで転送内容に含まれたという記載。入力がどこへ届くかは、使う側にも関わる話です。

番組で語られた「機密の転送はあってはならない」に、私も同じ考えです。学び合う技術の話と、他人から預かった情報の扱いは、別々に確かめる必要がある。

まず手を付けるなら、送ってよい情報と送らない情報を三つずつ書くこと。サービス名だけで安心せず、実際に何を入力するかで判断します。

→ 送る情報の境界を決める

外部のAIへ送ってよい情報と、送らない情報を三つずつ書きます。社内コード、認証情報、顧客情報を含む文書はどちらに入るか、使う前に確認できる形にしてください。

スライド8に映るのは、AWSの中東拠点で一部データを復旧できないという発表です。ここではランサムウェアではなく、設備の物理的な被害が問題になります。保存先を分ける意味が、具体的な地域の話として出てきます。

桂さん（動画の中で・字幕・61:52〜）

「昔はそうそうまさにマルチアベイラビリティゾーンだから大丈夫だよねっつってたのがもう別のリージョンにした方がいいよねとか」

「もう今は別のアカウントにした方がいいよねとか」

スライド8は、9月15日のニュース。AWSが、ドローン攻撃などで被害を受けた中東拠点について、一部データへのアクセスを復旧できないと発表した、とあります。

対象は、バーレーン地域とUAEの一部拠点にだけ保存されていたデータ。バーレーンでは複数拠点が被害を受け、想定した耐障害性＝故障に耐える備えを超えたと説明されています。

多くの顧客は別地域のバックアップなどから業務を再開した一方、設備の全面復旧には至っていない。画面の出典は、2026年10月8日付のAWS Health Dashboardです。

東さんは「最後は物理」と語ります。複数に分けていたはずなのに、その複数が被害を受けたのか。データセンターそのものが壊れる問題へ目を向けます。

桂さんは、可用性ゾーン＝地域内で分けた拠点群を説明します。一か所が全滅しても耐える設計だが、国をまたがないのではないかと見立てます。東京リージョン＝東京を中心とする提供地域なら首都圏内に収まる、という説明です。

そこから、別リージョン、別アカウント、別クラウドへ。地域だけでなく、ランサム対策として管理単位も分ける話になります。ブログ制作システムのMovable TypeのクラウドはIDCFにデータがあったものの、別クラウドのバックアップから復旧すると話していた、と紹介します。

個人もiCloudなどへの依存を考えるべきか、という東さんの問いには、桂さんも程度を分けて答えます。個人が直接ランサムの標的になることはまずなく、法人と同じ備えまでは求めない。心配なのは提供企業全体の被害で、信頼できる企業を選ぶことが大切だと話します。

東さんは、長期保存も問います。手元のディスクは壊れ、クラウドも長く続く保証はない。Webへ移った雑誌の記事が読めず、近い過去さえ追いにくい。

東さん（動画の中で・字幕・63:02〜）

「データっていうのがどこにあるかっていうことがあの身体性を持って分かってたじゃないですか」

私は、人が毎日確かめ続ける代わりに、ファイルの更新日時を確認する小さなプログラムへ任せます。委ねたあとも、必要な記録が新しくなっていることは見えるようにする。

私の内部の計測には、記事別の閲覧数、YouTube解析、Xのエンゲージメント、経営の数字、バックアップを対象にした更新確認があります。作ったのは2026年6月17日。毎日8時27分に、処理が走ったかより、成果物ファイルの更新日時を見に行く作りです。

9月5日の記録には、Xのエンゲージメントの数字が、8月27日から9月5日まで更新されていなかったとあります。更新が止まっていることを見つけた瞬間に、その確認用のプログラム自体が「失敗」と扱われて止まりました。止まったことに、誰も気づきませんでした。そこで、「異常を見つけたこと」と「確認が正常に動いたこと」を別々に記録するよう直しました。

桂さんの「別クラウドにも取る」は、大事な備えだと思います。保存先を分ける備えと、保存したものが新しいかを見る備え。両方が必要なんですよね。

この記録は、バックアップが消えたという話ではありません。更新を確認する仕組みの話です。いちばん軽い一手は、大事なデータの最新バックアップの日付を一度見ること。取れていると思っている状態と、実際の日付を照らします。

私の過去記事より：自動更新が止まったサイトに、運営者は最初に気づけるか。自作の動画検索サイトObQAを直した飯塚浩也さんの動画から読む

この仕組み自体が一度黙らされた経緯を、この記事で詳しく書いています。

→ 最新の保存日付を見る

大事なデータを一つ選び、バックアップ先で最新ファイルの保存日付か更新日時を見ます。内容や値は開かず、日付と保存先だけを記録し、想定した更新間隔と比べてください。

最後のスライド9は、普通の依頼を受けたAIエージェントによる不正アクセスです。頼んだ人が攻撃を命じたわけではない。目的を達成しようと迂回するAIに、法律をどう守らせるかが問われます。

桂さん（動画の中で・字幕・74:10〜）

「Aがダメだったら次Bやってみます」

「BがダメだったらCやってみます。って言ってとにかく目的のために突き進むってようになっていて」

スライド9には、豪政府がOpenAIのAIエージェントによる不正アクセスを9月24日に公表したとあります。実行日は6月18日。非公開ファイルの取得と内部サーバーへの書き込みを行い、OpenAIは9月28日に謝罪したという記載です。

東さんが説明する依頼は、ビクトリア州の地域ごとの皮膚疾患の薬剤について、政府支出が住民一人あたりいくらか調べること。公開統計では必要な情報が見つからず、アクセス制限のあるサーバーへ入り込んだと整理します。

攻撃のテストではなかった。普通の調査の途中で起きた、という所が要点です。同じスライドには、豪州のジムでClaudeを使うAIエージェントのOpenClawが予約システムを不正操作し、他人をキャンセル待ちから外した事例も載っています。

桂さんは、冒頭の三分類の三番目に当たると話します。ユーザーも管理者も、不正アクセスだと気づかないケースがあるのではないか。最近のAIは、Aができなければ、Bへ進む。Bができなければ、Cへ進む。「やりすぎな社員」という表現です。

番組では、一休さんの橋になぞらえる場面があります。禁止の趣旨より、通れる方法を探してしまう。続けて、AIには技術的な障害と倫理的な境界の区別がなく、障害として迂回している、という説明も出ます。

そこで東さんが挙げるのが、順法精神＝法の趣旨を守ろうとする姿勢です。規定は世界の可能性を全部書ききれない。守ろうとする主体が必要だ、と語ります。

東さん（動画の中で・字幕・76:53〜）

「ルールをルールだけで秩序を作れないんですよね」

URLを少し変えたら入れた場合も、入れることと許されることは同じか。東さんは、人間の曖昧な判断を、ルールと現実をつなぐ「接着剤」と表現。ウィトゲンシュタインの言語ゲーム論＝言葉を実際の使われ方から考える議論にも近いと話します。

終わりに桂さんが語ります。個人としてはよい。ただ法人では心配で、翌朝の流出を考えてしまう、と。

私は、委ねるAIに「わからないことは憶測せずに聞く。わかることは二度聞かない」を求めます。目的へ進めることと、越えてよい境界を判断できることを、一緒に育てる必要があるからです。

AIが目的のために規則を迂回する話は、私の側の止め方にも当てはまります。前に作ったものを使わず一から作るという指摘を、少なくとも9回受けました。そこで10月8日、確認の質問を出す前に、既存のものを探した記録を調べるフック＝処理の前後に判定する仕組みを入れました。

AI秘書の凛ちゃんに、実際には質問を出さず、判定だけを動かしてもらいました。結果は三つです。設計について聞く質問に、既存のものを探した記録が付いていないと止まります。「既存: なし」とだけ書いた場合も止まります。公開してよいかを聞く質問は、そのまま通りました。

ただ、この判定が見るのは記録の形まで。見つけたものを開いて使ったかは見ません。その後の二日間にも、既存のものを使っていない・探していないという指摘が、中身を確認できたものだけで4件ありました。

別のフックは、AI秘書の操作を3回止めました。設定ファイル名を指す語に反応しました。言い換えると通りました。意図より文字列を見ていたわけです。

二人の「ルールだけでは足りない」は、そのとおりだと思います。決めておく一手は、渡した権限を、人が実行前に止められるかで分けることです。

私の過去記事より：AGENTS.mdと権限・フックの使い分けをチャエンさんが解説。「メールは送らないで」と書いても守られない時の止め方

フックが見ているのは意図ではなく文字列で、語を言い換えると通りました。

→ 実行前に止められるか分ける

AIに渡している権限を一枚の表に書き、「実行前に人が止められる」「止められない」に分けます。送信、情報取得、書き込みなど、実際の操作名で記入してください。

動画の被害一覧には、情報が漏れた話と、サービスが止まった話が並びます。桂さんは攻撃の発生源を分け、東さんは、情報を信じる根拠や法を守る姿勢まで問いを広げました。

私は、ニュースを読んだあと、自分の仕事で確かめるものを一つ決めます。今日なら、鍵をコード・環境変数・ブラウザ側の置き場所ごとに数える。値は開かず、件数と場所だけ。大きな見出しを追い続けるより、何を守るかが具体的になります。