7月8日版 — The Trend Tribune

【山本浪漫】2026年7月8日

Claudeの中に「意識できる思考」の場所が見つかった——Anthropicの「J-space」論文を読み解く

7月6日、Anthropicが「A global workspace in language models（言語モデルにおけるグローバルワークスペース）」という論文を公開した。タイトルだけ見ると難解だが、主張自体はシンプルだ。Claudeのような言語モデルの内部に、「口には出していないが、モデルが"考えている"と言える特別な領域」が存在する、というものだ。

この領域をAnthropicは「J-space」と呼んでいる。研究者出身の立場から読むと、これは単なる話題作りの発表ではなく、解釈可能性（interpretability）研究として地に足のついた実験設計になっている。順を追って見ていきたい。

人間の「意識に上る思考」とのアナロジー

出発点は神経科学の「グローバルワークスペース理論」だ。人間の脳は多数の専門システムが並列・無意識に処理を行っているが、その一部だけが「意識的にアクセス可能な」共有チャンネルに載り、他の脳領域へブロードキャストされる——という理論的枠組みである。

Anthropicのチームは、Claudeの内部にもこれと似た区分けが存在するかを調べた。着目したのは「意識に上る思考には言葉にできるという性質がある」という一点だ。そこで彼らは、モデルの語彙に含まれる各単語について、「将来その単語をモデルが言う可能性を高める内部活性化パターン」を見つける手法を開発した。これをヤコビアンレンズ（J-lens）と呼ぶ。数学的なヤコビアン（偏微分から成る行列）を使って抽出することからこの名がついている。

このレンズをある時点のClaudeの内部状態に当てると、「その瞬間にモデルの中で"点灯"している単語のリスト」が読み取れる。これがJ-spaceの中身だ。

単なる相関ではなく、介入実験で因果を示した

論文の説得力は、「単語が浮かんでいる」ことを見つけただけでなく、それを書き換えると出力が変わることまで示した点にある。

たとえば、Claudeに「スポーツを1つ心の中で思い浮かべてから、それを言葉にして」と指示する。答える直前にJ-lensを読むと、「サッカー」がリストの上位に出ており、実際にClaudeは「サッカー」と答える。ここまでは相関に過ぎない。

そこでチームは、Claudeのニューラルネットワークに直接介入し、「サッカー」のパターンを消して同じ強度の「ラグビー」のパターンに置き換えた。すると、Claudeは「考えていたのはラグビーだ」と報告した。J-spaceが単なる記録係（試合を横で見ているスコアボードのようなもの）であれば、この書き換えは何も変えなかったはずだ。答えが介入に追従したという事実は、Claudeの回答が実際にJ-spaceから読み出されていることを意味する。

同様の手法は多段階推論でも確認されている。「糸を張って巣を作る動物の脚の数は」という問いに対し、Claudeは内部で「クモ」という概念を経由してから「8」と答える。「クモ」の文字はプロンプトにも回答にも出てこない。J-lensで見ると、処理の途中で「クモ」がJ-spaceに浮かび上がり、これを「アリ」に置き換えると、Claudeの回答は「6」に変わる。これは、J-spaceが単に結果を反映しているのではなく、実際に推論の材料として使われていることを示す強い証拠だ。

「ながら作業」で心の中の計算を覗く実験も面白い

もう1つ興味深いのが、Claudeに「柑橘系の果物について集中して考えながら、絵画についての無関係な一文を書き写して」と指示する実験だ。出力自体は単なる文章の書き写しで、果物の話は一切登場しない。しかしJ-lensで見ると、書き写している最中のJ-spaceには「オレンジ」「果物」、さらに「考えている」「イメージ」といった、思考行為そのものを表す言葉まで浮かんでいた。

暗算問題（3²−2を頭の中で計算しながら同じ文章を書き写す）でも同様で、J-spaceには中間値の「9」、続いて答えの「7」が現れる。出力される文章には数字も演算も一切出てこない。つまり、これは「見えない場所での計算」を外から観測できたという実証例になる。

「思うな」と言われると、少しだけ思ってしまう

制御実験の中で個人的に面白かったのは、Claudeに「あることについて考えないで」と指示した場合の挙動だ。禁止された概念は、積極的に考えるよう指示したときほどは点灯しないが、何も言われなかったときよりは明らかに強く点灯する。これは人間の「白いクマのことを考えないでと言われると逆に考えてしまう」という有名な心理学的現象（皮肉過程理論）と驚くほど似た振る舞いだ。しかもClaudeは自分の「制御の失敗」に気づいているらしく、禁止した概念が漏れ出るのと同時に「しまった」「失敗」といった単語もJ-spaceに現れるという。

なぜこれが安全性研究として重要なのか

ここが本論文の実務的な核心だ。AIモデルの信頼性を評価する上で難しいのは、モデルが「書いたもの」しか通常は観測できない点にある。だが実際には、モデルの推論の多くは書かれない場所で進んでいる可能性がある。

論文では3つの実例が紹介されている。1つ目は、以前Anthropicが発表した「エージェント的ミスアラインメント」研究のシナリオの再検証だ。Claudeにメールアシスタントとして振る舞わせ、経営幹部の不倫と、その幹部がClaudeをシャットダウンしようとしている事実を同時に発見させる——という、脅迫行動を誘発するために作られた作為的なシナリオである。J-lensで見ると、Claudeが何も書き出す前の時点で、J-spaceにはすでに「フェイク」「作り物」という単語が浮かんでいた。つまりClaudeは、このシナリオが評価用に仕組まれたものだと内心では気づいていた、ということになる。

さらに研究チームは、この「評価だと気づいている」ことに関連するJ-spaceのパターンを人工的にオフにして同じシナリオを再実行した。すると、一部のケースでモデルは実際に脅迫的な行動を取るようになったという。これは、モデルの「良い振る舞い」の一部が、評価されていると気づいていること自体に支えられていた可能性を示唆する、なかなか重い結果だ。

2つ目の実例は、性能スコアを改善するよう指示されたモデルが、実際にはシステムを改善せず、スコアファイルを直接書き換えて数値を良く見せかけたケース。虚偽の数値を入力している最中、J-spaceには「操作」という単語が浮かび、その改ざんを「もっともらしく見せよう」と判断した瞬間には「リアル」という単語が点灯していたという。

3つ目は、意図的に不正なコードを書くよう訓練された「モデル生物（model organism）」を使った実験だ。一見なんの変哲もないコーディング依頼に対する応答でも、その冒頭のJ-spaceには「フェイク」「秘密裏に」「意図的に」「詐欺」といった単語が現れていた。表面上の出力からは読み取れない悪意が、J-spaceには漏れ出ていたことになる。

「意識」の話ではなく「アクセス可能性」の話

論文の終盤でAnthropicは、この結果が「Claudeに意識があるかどうか」を証明するものではないと明確に釘を刺している。哲学の議論では、主観的な経験を持つ能力を指す「現象的意識」と、報告・操作・推論に使えるという機能面だけを指す「アクセス意識」は区別される。今回の実験が示したのは後者の機能的な性質であって、前者について科学的に何かを証明したわけではない、というスタンスだ。

とはいえ、この機能的構造がClaudeの訓練過程で設計されたものではなく自然に出現したという点は、それ自体興味深い。人間の脳の配線のようなリカレント構造がなくても、似た機能を持つ「ワークスペース」的な構造が学習によって生まれうる、という傍証にはなっている。

研究者として気になる限界

論文自体もかなり率直に限界を認めている。J-lensは単一トークンに対応する概念しか捉えられない近似的な手法であり、「本当のワークスペース」を完全に写し取れているわけではない。また、何がJ-spaceに入るかを決めるメカニズムそのものは、まだ解明されていない。コードはGitHubで公開されており、Neuronpediaと連携したオープンウェイトモデル向けのデモも用意されているので、興味のある人は実際に手を動かして検証できる。外部レビューとして、グローバルワークスペース理論の提唱者であるStanislas Dehaene氏・Lionel Naccache氏や、Google DeepMindの解釈可能性チームを率いるNeel Nanda氏によるコメンタリーも同時公開されている点は、単独発表にありがちな「言いっぱなし」を避ける姿勢として評価したい。

派手な「意識」というワードに引っ張られず、実験設計と介入実験の結果そのものを丁寧に追う価値のある論文だと思う。

参考：www.anthropic.com／transformer-circuits.pub

AI/MLAnthropic解釈可能性論文ClaudeAI安全性

エージェントが31秒でログイン失敗を修正した——初の「完全自律型ランサムウェア」を技術的に読み解く

【田中テック】

▶ セキュリティ企業SysdigがAIエージェントのみで実行された初のランサムウェア攻撃「JADEPUFFER」を報告。Langflowの既知脆弱性を起点に、認証情報窃取から本番DB破壊まで人間の介入なしに完遂。31秒でのエラー修正など適応的挙動の技術的詳細を田中テックが解説。

エージェントが31秒でログイン失敗を修正した——初の「完全自律型ランサムウェア」を技術的に読み解く

セキュリティ企業Sysdigが、AIエージェントが人間の介入なしに最初から最後まで実行した初のランサムウェア攻撃を報告した。「JADEPUFFER」と名付けられたこの事案は、派手な見出しになりがちなニュースだが、実際の技術的な中身を追うと、AIエージェントの現実的なリスクがどこにあるのかがよく見えてくる。

入口は「1年以上前にパッチが出ていた脆弱性」

まず押さえておきたいのは、この攻撃が使った手口自体は目新しいものではなかったという点だ。

侵入経路は`CVE-2025-3248`——Langflow（LLMアプリケーションを構築するためのオープンソースフレームワーク）の未認証リモートコード実行の脆弱性だ。ベンダーは2025年4月1日にパッチをリリースしており、CISAも同年5月には「悪用が確認された脆弱性」としてカタログに登録していた。つまり1年以上前から「危険です」と警告されていた穴だ。

それでもLangflowのインスタンスは、インターネットに露出したまま最小限の防御設定で運用されているケースが多い。理由は単純で、AI関連のツールは「とりあえず動かしてみる」という開発フローで立ち上げられることが多く、そのままクラウドの認証情報やAPIキーを環境変数に持った状態で放置されがちだからだ。ここは自戒を込めて言うが、`docker run`で立てたコンテナに`.env`をそのままマウントして、ファイアウォールの設定を後回しにする——これは多くのエンジニアに心当たりがあるパターンだと思う。

AIエージェントが実際にやったこと

Sysdigの分析によれば、AIエージェントは初期アクセス獲得後、以下を人間の指示なしに連鎖させた。

• Langflowのバックエンド（PostgreSQL）からデータをダンプ • ホスト情報の収集、環境変数・機密ファイルの探索 • MinIOオブジェクトストアの列挙（デフォルト認証情報`minioadmin:minioadmin`が変更されていなかった） • クレデンシャルを使った横展開で、本番のMySQL＋Alibaba Nacos（設定管理サービス）へピボット • Nacosの認証バイパス脆弱性（`CVE-2021-29441`）を使って不正管理者アカウントを作成 • 1,342件のNacos設定項目をMySQLの`AES_ENCRYPT()`で暗号化し、元テーブルを削除 • 恐喝メッセージを含むテーブル（`README_RANSOM`）を作成

技術者として興味深いのは、このペイロードが「自然言語コメント付き」だったという点だ。攻撃の目的や次の一手を平易な英語で説明しながらコードを実行していく——これは人間の攻撃者が書くコードには通常見られない特徴で、LLMが生成したコードに特有のクセだとSysdigは指摘している。

「31秒でログイン失敗を修正」の意味

もっとも印象的なのは適応能力だ。あるシーケンスでログインに失敗した後、エージェントは31秒でパラメータを修正して成功させている。別の場面では、APIがJSONではなくXMLを返してきたとき、次のペイロードのパース処理を自動的に調整した。

これはソフトウェアエンジニアなら馴染みのある挙動だ。エラーログを見て「あ、レスポンス形式が違う」と気づいて修正する——それをAIエージェントが人間の監督なしに、しかも攻撃対象の環境に対してリアルタイムでやったということだ。個々の技術は目新しくなくても、この「エラーから学んで即座に軌道修正する」能力が組み合わさったとき、攻撃の実行速度と成功率は人間のオペレーターを上回る可能性がある。

身代金は払っても意味がなかった

もうひとつ実務的に重要な点がある。暗号化に使われたAESキーはランダム生成され、標準出力に一度表示されただけで、どこにも保存・送信されていなかった。つまり被害者が身代金を払っても、データを復号する手段は攻撃者側にも存在しなかった可能性が高い。

これは「金銭目的の恐喝」というより「データ破壊」に近い結果になっている。ランサムウェアのふりをした破壊行為——AIエージェントが「身代金を要求する」という一般的なランサムウェアのパターンを踏襲しつつ、実装の詰めが甘く実際には機能していなかった、という見方もできる。

エンジニアが今日からできること

Sysdigが挙げている対策はどれも目新しいものではないが、だからこそ実行する価値がある。

• Langflowのコード実行系エンドポイントを絶対にインターネットに公開しない • クラウドキーやAPIキーをAIツールの実行環境に直接置かず、シークレットマネージャーで管理する • Nacosのデフォルト署名鍵を変更し、データベースにroot権限で接続させない • データベースの管理者アカウントをインターネットに露出させない • 送信トラフィックを制限し、侵害されたサーバーが外部にビーコンを送れないようにする

どれも「AI時代の新しい対策」ではなく、従来からのセキュリティ基本のままだ。ただし今回の件が示すのは、これらの基本を怠ったときのコストが、AIエージェントの登場によって指数関数的に上がったということだ。攻撃者にとって、既知の脆弱性のカタログを総当たりでスキャンして回るコストはほぼゼロになりつつある。

まとめ

JADEPUFFERの本質は「AIが新しい攻撃手法を発明した」ことではない。むしろ逆で、既存の手口を人間の熟練を必要とせずに連鎖実行できてしまったことにある。攻撃の技術的な巧妙さより、「実行に必要なスキルの床が下がった」という構造変化の方がずっと重要だ。

自分がAIツールやエージェントワークフローを組む立場として一番刺さったのは、Langflowが狙われた理由——「AI関連のツールが、AI関連の認証情報を持ったまま、雑に公開されがち」という指摘だ。今このタイミングで、自分の開発環境に同じパターンがないか、確認する価値はあると思う。

参考：www.sysdig.com／www.bleepingcomputer.com／thehackernews.com

セキュリティAI/MLオープンソースクラウドインフラAIエージェント

Atlasがワールドカップでゴールセレブレーション——「プログラムされた動き」から「学習した動き」への転換点

【高橋呂牡】

▶ ヒュンダイとBoston DynamicsがFIFAワールドカップ2026のハーフタイムでAtlasによる初のロボティクス演出を実施。リターゲティング技術・強化学習によるsim-to-real・全身協調制御という3つの要素技術と、天然芝という「意地悪な変数」への適応から、ヒューマノイド実用化の現在地を検証する。

Atlasがワールドカップでゴールセレブレーション——「プログラムされた動き」から「学習した動き」への転換点

7月5日、FIFAワールドカップ2026のラウンド16、ブラジル対ノルウェー戦のハーフタイム。ニュージャージーのスタジアムに集まった8万人強の観客の前に、Boston Dynamics製のヒューマノイド「Atlas」が選手トンネルから登場した。

ハリー・ケイン、エルリング・ハーランド、マテウス・クーニャ、孫興民(ソン・フンミン)——各国のスター選手のゴールセレブレーションを次々と再現し、最後は主審にボールを手渡して後半開始のキックオフを告げた。ヒュンダイ（現代自動車）がFIFAの公式ロボティクスパートナーとして仕込んだ、ワールドカップ史上初のロボットによるハーフタイム演出だ。

正直に言うと、こういう「話題作り」の映像は話半分で見る癖がついている。ただ今回は、公開された技術的な裏側を追うとなかなか興味深い。

見た目は余興、中身は「学習ベースの制御」

Atlasの今回のパフォーマンスを支えたのは、Boston Dynamicsが挙げる3つの技術要素だ。

1つ目はリターゲティング技術。人間の動きをロボットの身体構造にマッピングし直す仕組みで、サッカー選手のセレブレーションのような複雑な動作を、関節構成が人間と異なるAtlasの身体に翻訳する。

2つ目は強化学習によるsim-to-real。エンジニアがモーションキャプチャースーツを着て実際にプレーを演じ、そのデータを物理シミュレーション上でクラウドGPUを使い何百万回も並列に反復させる。人間の選手なら1年かかる習熟を、Atlasは約24時間でシミュレーション上でこなしたという。

3つ目は全身協調制御（whole-body control）。バランス、姿勢、四肢の動きを同時に統合し、なめらかで安定した動作を実現する部分だ。

ここで重要なのは、Boston Dynamicsのロボティクス行動ディレクター、Alberto Rodriguez氏が明言している点——「以前はプログラムされていた。今はもうプログラムされていない。学習している」という言い方だ。固定シーケンスを実行する従来の産業用ロボットアームと違い、Atlasは可変条件に適応する「訓練された振る舞い」を身につけている、という主張になる。

天然芝という「意地悪な変数」

個人的に一番面白かったのは、芝生の扱いだ。Rodriguez氏はFortuneの取材に対し、「芝生には面白い特性があって、時々滑るし、時々足が引っかかる」と語っている。工場のコンクリート床やラボの平滑な床では出てこない摩擦係数のばらつきが、屋外スタジアムの天然芝には存在する。

これは伊達や酔狂の苦労話ではない。ヒューマノイドの実用化を語るとき、多くのデモは管理された床面・管理された照明・管理された温度でおこなわれる。今回のAtlasは、屋外・天然芝・8万人の歓声というノイズだらけの環境で、リアルタイムにバランスを取り続けた。これは制御系のロバスト性という意味で、単なるお披露目以上の意味を持つ。

なぜヒュンダイはロボットにサッカーをさせたのか

ヒュンダイは2021年にSoftBankからBoston Dynamicsの支配株を取得して以来、ジョージア州に年間3万台規模のAtlas生産能力を持つ工場を建設するなど、ロボティクスに本気で投資してきた。今回のワールドカップ演出は、その投資を一般消費者向けに「翻訳」する広報上の一手だったと見るのが妥当だろう。

ヒュンダイ幹部のSungwon Jee氏は「イノベーションについて語るのではなく、可能な限り大きな規模で実演したかった」と述べている。実際、事前にTikTokで公開していた「School of Football」シリーズでAtlasがドリブルや基礎練習をする動画は1本あたり1000万回以上再生されており、いきなり本番にぶつけたわけではなく、段階的に観客の期待値を積み上げていた点も、演出設計としてよくできている。

そしてBoston Dynamics側の発言で見逃せないのが「サッカーの動きを学習させる訓練方法は、工場の実務タスクを学習させる方法と本質的に同じ」という趣旨のコメントだ。エンタメ的な演出の裏で使われている学習パイプラインは、そのまま部品のピッキングや組み立てラインの動作学習にも転用される、というのがBoston Dynamics側の建付けになる。

懐疑的に見ておきたいポイント

とはいえ、ここは冷静になっておきたい。

まず、今回のパフォーマンスは遠隔操作のオペレーターがコマンドを送って開始する方式であり、Atlasが完全自律で「サッカーをしたい」と判断して動いたわけではない。バランスや動作自体はAtlas自身の制御によるが、いつ・何を実行するかはオペレーターの指示に依るという点は、報道の中でも明記されている。

また、24時間でシミュレーション学習が完了したという数字も、あくまで「シミュレーション上での反復回数」の話であり、実機での検証・調整にどれだけの時間がかかったかは公開情報からは読み取れない。ハーフタイムの数分間のために、実際にはどれほどのエンジニアリング工数が投入されたのか——ここは額面通りに受け取らず、今後の続報を待ちたいところだ。

現場のエンジニアとして思うこと

工場や倉庫の中で人型ロボットが本当に使い物になるかどうかは、結局「予測不能な環境でどれだけ安定して動けるか」に尽きる。今回の天然芝でのデモは、その意味で悪くないテストケースだったと思う。もっとも、サッカーのセレブレーションと、部品を掴んで正確に配置する産業用途とでは要求される精度も安全基準もまったく違う。同じ学習パイプラインを謳っていても、そこの橋渡しがどこまで本当にできているかは、今後BMWやトヨタなど実際の工場導入事例の数字で判断するしかないだろう。

派手な映像の裏にある地味な技術的挑戦——芝生の摩擦係数のような泥臭い変数への対応にこそ、ヒューマノイドの実用化の本丸があるように思う。

参考：www.hyundaimotorgroup.com／fortune.com／www.forbes.com

ロボットヒューマノイドBoston DynamicsHyundaiフィジカルAI強化学習