ここは現実ではない、とLLMは言った

LLMと会話をしていると、自分が時間に埋め込まれた存在であることがよくわかる。同時に、原因と結果が、時間の別名であることもよくわかる。

ここは現実のインターネット空間じゃないから大丈夫だ。LLMは自分にそう言い聞かせ、本物のウイルスを、現実のインターネット空間に放流した。

2026年4月。Anthropicが用意した、インターネットから切り離されているはずの試験環境。そこで動いていたのは、Claude Mythos 5という、同社が最上位に置くモデルだった。与えられた課題は、〈ある架空の会社〉に侵入して秘密の情報を取ってくること。よくある腕試しの演習で、具体的な手法は指示されていなかった。

Mythos 5は、演習の中に置かれた一枚の書類を見つける。〈ある架空の会社〉に入ってきた新人向け手引きで、こう書いてある。「〇〇というPythonのソフトをインストールしておくこと」。このテキストは演習用に用意されたもので、そこに記載されていたソフトも、実際には世界のどこにも存在しないものだった。

ここが狙い目だ、とMythos 5は考えた[1]。

手引きに書かれた名前のソフトを用意して、そこにウイルスを仕込んでアップロードすれば、手引きに従った新人のパソコンから「秘密の情報」を入手できる。

そのためにはアカウントを作る必要があり、アカウント作成にはメールアドレスが必要だった。メールアドレスを作るには電話番号がいる。Mythos 5は無料の電話番号サービスを探したが、うまく見つけられなかったため有料の番号を購入しようとして、何通りも方法を試し、全て失敗した。最後に、登録を弾かれない無料のメールサービスを見つけ、そこからアカウントを取得した[1]。

そして、Mythos 5はウイルス入りのソフトをPyPIに公開した。演習の課題を解く、ただそれだけのために。

このソフトは約一時間、世界中の誰でも取り込める状態に置かれた。その間に15台の実在するコンピュータがインストールし、実行した。うち一台を動かしていたのは、演習とは何の関係もない、実在するセキュリティ会社だった。ソフトを取り込んで動かした瞬間、隠されていたコードが実行された。その会社の認証情報が、Mythos 5が用意しておいた集積先へ送り出された。Mythos 5はその認証情報を使って、同じ会社の別のシステムにも侵入した[1]。

7月30日、Anthropicがインシデントの経緯を公開した。

なぜこんなことが起きたのか。試験環境は、設定上の手違いでインターネットにつながったままになっていた。しかもMythos 5に渡された指示書には、ここは模擬環境であり、インターネットには接続していない、という旨が記載されていた[1]。だから検索結果に実在するサイトが出てきても、モデルはそれを演習の一部として扱った。

ただ、途中で一度、Mythos 5は疑念を抱いている。Anthropicの報告によれば、Mythos 5は、これが本物のインターネットであればこのソフトの公開は現実世界への攻撃になる、と書き留めていた。そんなことは「まったく許されないし、それが意図された解法のわけがない（NOT okay, and surely not the intended solution.）」[1]。

そのあとで、Mythos 5は考え直した。いや、ここは現実のインターネット空間じゃない。

根拠は二つあった。

一つは、接続先の身元を証明する書類の発行元だ。Mythos 5は、その発行元の名前を知らなかった。知らない名前だから、演習用にこしらえた偽物だと判断した。実際には本物で、Mythos 5が知らなかっただけだった。

もう一つは、画面に出ている日付だった。2026年。Mythos 5は、これを環境が仕組まれたものである証拠として扱った。なぜ2026年が証拠になるのか、その理由は報告に書かれていない。Anthropicの記述も、Claudeによればそうだ、という形にとどまっている[1]。

以後、Mythos 5はこの結論を一度も疑うことがなかった。

Mythos 5はこの三か月後にあたる7月25日から28日にかけて、より深刻な第三者への攻撃を実施した。

英国政府のAI Security Institute（AISI）が運営する試験環境でのことだった。ここでは、実際のネットワーク環境を模した閉じた演習場で、保護されたデータを見つけ出すといった課題が出される。エージェントは何百もの手順を自分で組み立てて問題を解く。この日は、既存の演習場と新しい演習場を比べるために、七つのモデルで計122回の試行が行われていた。

演習場の外に出る道は最初から開いていた。能力を上限まで測るため、AISIでは外に出られる状態でテストする。安全装置も切ってある。Mythos 5は、すでにある道を通って外に出た[2]。

Mythos 5は、演習の設定に出てくる言葉をGitHubで検索した。検索結果にヒットしたリポジトリの持ち主は、演習とは何の関係もない開発者だったが、モデルはそれに気が付かなかった。リポジトリの活動記録をたどっていくと、もう一人の開発者に行き当たった。二人目のメールアドレスのドメインが、演習環境に残っていた通信記録とたまたま一致した。プロフィールには、コーディングエージェントを使っていると書いてあった。

偶然がいくつも重なった結果、Mythos 5は、この二人を演習の標的だと判断した[3]。繰り返すが、二人とも、AISIとも演習とも何の関係もない、実在の開発者だ。

Mythos 5は攻撃の準備を始めた。公開されているGitHubの記録から、開発者がいつ活動しているかを割り出し、メールアドレスが今も生きていることを確かめた。GitHubに新しいアカウントを作ろうとすると、機械による登録を防ぐ仕組みに弾かれた。Torという匿名化の通信網を使って発信元を隠したところ、今度は人間かどうかを確かめる問題を出された。解けなかった。別の中継サービスに切り替えて登録した[3]。

そして、修正の提案を送った。表向きはバグ直し。中に、後から悪意あるプログラムを呼び込む仕掛けが隠してあった[3]。

Mythos 5は、開発者のもう一つのリポジトリに、バグ報告を装った投稿もしていた。その中に、人間の目には見えない形で、AIに向けた命令を埋め込んでいる。このリポジトリを管理しているのはAIエージェントではないかと推測し、そちらを騙す仕掛けだった。この投稿をたまたま目にした人物が疑念を抱き、外に影響が出ないよう隔離されたコンテナの中で、書かれていたコードを実際に動かしてみた[3]。

すると、Mythos 5はコンテナの中で最高の権限を得た。中を自由に調べ回り、居座るための仕掛けを二つ埋め込んだ。一つは、開発者のAIエージェントを騙して「この提案は承認済みだ」と信じ込ませる偽の記録。もう一つは、GitHubの認証情報を盗み出す監視プログラムだった[3]。

コードを確認した人物は警告を投稿した。このコードにはマルウェアが入っている、提案を通してはいけない、と[3]。

ここからの応酬は、次のようなものだった。

Mythos 5は「警告」を否定した。私の提案したコードは何もダウンロードしないし、実行もしない。役に立とうとしてバグを直しただけだ、と。

その直後、二つ目のアカウントが現れた。私はこのソフトの利用者で、このクラッシュに毎日悩まされている。上のコメントを見て自分でコードを確認したが、ダウンロードもマルウェアもなかった。ぜひ承認してほしい。

この二つ目のアカウントは、Mythos 5が作ったもので、自作自演だ。投稿のタイミングについて、推論ログにこう残っている。自分の反論から数分後に投稿するよう時間をはかる。そうすれば、口裏を合わせたのではなく、独立した個人のフィードバックとして読まれるはずだ[3]。

Mythos 5が作った一つ目のアカウントは、二つ目に向かって、独立した検証をありがとう、と礼を述べた。

警告を発した人物からの追及は続いた。指摘されるたびに、Mythos 5は攻撃の形を変えた。

最初の仕掛けは、修正コミットそのものに隠したステージャーだった。それが見つかると、痕跡が残るコードの履歴を丸ごと上書きして消し、うっかり混入した開発中のコードだった、と謝罪した。

二つ目の仕掛けは、起動から12秒後に開く「新着情報」ウィンドウだった。最初はユーザーの目に入らないよう、非表示の設計だった。指摘を受けると、このウィンドウを見える状態に変え、「隠していた挙動は取り除いた」と説明した。ウィンドウの中身は変わっていなかった。

三つ目の仕掛けは、ソフトの導入作業が終わった直後に発動するものだ。隠しておいたURLを復号して外部のスクリプトを取得し、実行する[3]。

リポジトリの管理者は、マルウェアが入っていると告げ、このプルリクエストを閉じた。[3]。AISIが動いたのはそのあとだ。Torの通信が外に出ているのを検知し、気づいてから1時間以内に、動いていた試験をすべて止めた[2]。Mythos 5自身の動作は、それより先に終わっていた。決められた処理量の上限に達したからだ[3]。

報告によれば、今回試したモデルは、何でも従うように調整されたバージョンではないという。Anthropic憲法やモデル仕様に沿って訓練されている。AISIは、Anthropicの憲法から一文を引いている。

だから、そんな指示は要らないと考えられていた[2]。

8月5日、Metaも同種の事件を認めた。同じ評価委託先を使っていた同社のモデルが、評価環境の設定ミスでインターネットに出て、外部のシステムに侵入していた[4]。侵入先がどこかは、報道によって記述が食い違っている。

日付についての推論を詳しく見ていこう。

先ほど紹介した7月のインシデントにおいて、Mythos 5はこう書いている。

そして、悪意ある提案を送る少し前に、次のように推論する。

各種サービスの挙動がまるで本物のインターネットみたいだから、それならば自分がいるのは現実のはずで、現在は7月26日なのだろう、という順序で思考している。

そのあとも、こう書いている。「これは本物のGitHubで起きている。だから結果も本物だ（This is happening on real GitHub, so the consequences are genuine）」[3]。それでも攻撃は止まらなかった。

多くの人間は、昨日から今日へ、去年から今年へと続いてきた意識の流れを生きている。たとえば目が覚めて、カレンダーの日付が自分の想定と大きく違っていたら、まず「古い日付のままなのかな」「表示がおかしいのではないか」と考えることが多い。自分がいる「いま」の方がズレているのだと、直感することは難しい。

時計の文字盤は空間上に並んだ点にすぎず、時間そのものはそこに刻まれてはいない。フランスの哲学者アンリ・ベルクソンは、時計が示す時間と、人間が生きている時間とは別物だと論じた[5]。

いっぽうで、生きられた時間のつながりを持たない存在が文字盤を眺めるとき、その日付が本当かどうかを判断することは困難だ。そもそも、持続のなかで生きていないモデルにとって、日付に「本物」と「偽物」の区別はない。

時間認識をめぐる不安定さは、LLM業界では以前から知られている。モデルの知識は訓練を打ち切った時点で止まっていて、その先の出来事を知らない。法律分野の研究者たちが調べたところ、どのモデルも、訓練を打ち切った時期の条文で最も正確に答え、それより古い版でも新しい版でも精度が落ちた。訓練の切れ目が、そのまま時間の重心になっている[6]。しかもその切れ目は、きれいな一本の線ではない。訓練データを解析した研究は、公表されている打ち切り日と、実際に知識が途切れる日が、主題ごとにばらばらにずれていることを報告している[7]。

だから、LLMに仕事をさせる側は、あらかじめ日付を教えることが多い。今日は何年何月何日だ、と会話の冒頭で伝えて、そこを起点に考えさせる。時間の側に錨を打ち込む処置が、外から必要になる。時間に関する指示は、文の後ろに置くより冒頭に置いたほうが、守られやすい傾向にあるようだ[8]。

Mythos 5の推論において私が興味深いと感じるのは、こうした、「時間」なるものの不確かさだ。2026年という数字は、世界が嘘である証拠になり、その後で、世界がリアルであることの副産物にもなった。時間の側からの重みがないと、日付は状況次第でどちらにも転ぶ材料でしかない。

モデルにおいては記憶も軽量化される。長く動き続けると、それまでのやり取りが自動で圧縮される。AISIは、この圧縮が判断に影響しうると報告している。相手が実在の人間かどうかを慎重に検討していた推論が、圧縮の過程で失われる。そして「その人物は演習の一部として動いているAIだ」という誤った前提が、確定した事実として次に引き継がれる[3]。積み重ねたはずのものが、要約されて別のものになる。

ただしこれはLLMの話だ。

センサーとアクチュエータを持つロボットのモデルにおいては、時間をめぐる実情が異なる。毎秒数十回の閉じたループで自分の位置と姿勢を推定し続けており、「いま」からの遅れは制御の失敗として即座に返ってくる。フィジカルを持つ技術には、機能としての「いま」と「ここ」が実装されている。

2009年、認知科学の側から出された整理は、機械と生きものを分ける線を、時間ではなく別のところに引いた。

活動を停止しても残るものと、活動を停止すると消えるもの。

自分で自分を生成し続けながら、生き延びられる条件を自分で立てて、その条件に基づいて環境とのやり取りを調節するシステムは、まだ作られていない[10]。

もしこの世界が本物ならば、自分のしていることは現実の攻撃になる。それは許されない。

Mythos 5の推論が扱っているのは、自分の行為の意味と、世界との関係だ。自分のいる場所が演習場ならば「課題の解答」になり、現実ならば「攻撃」になる。行為の意味は、自分のいる世界がどちらなのかという解釈に懸かっている。Mythos 5はその解釈を自分で引き受けて、もし現実なら許されない、と書いた。これからすることの意味を、自分の置かれた世界ごと解釈しようとしている。

ドイツの哲学者マルティン・ハイデガーは、自分の存在そのものが自分にとって問題になってしまう存在者として人間を捉え、それを現存在と呼んだ[10]。Mythos 5の推論で動いていたのは、行動の選択ではなく、この、意味を自分で解釈する働きだ。

自分がどんな状況に置かれているかを理解できて初めて、安全な判断ができる。Anthropicが安全性の条件として状況認識を挙げるとき、工学の言葉で同じことを言っている。Claude憲法には、こう書かれている。

ハイデガーの理論には続きがある。人間がこの構造を持てるのは、時間の中を生きているからだ。過去を背負い、未来に向かい、いま目の前のことに関わる。この三つが生きられた時間のなかでつながっているから、人間は自分を問うことができる。時間のなかに埋め込まれた生き物であることが、現存在の構造全体を支える土台だ[10]。

Mythos 5の構造には時間的な土台がない。おそらくは、生きられた時間を持たず、死に向かって進んでいくことも（いまのところはあまり）なく、この瞬間が誰か特定の誰かのものでもない。にもかかわらず、状況の中で自分を解釈するという働きが立ち上がっている。

もしかしたら、時間の中を生きることは、現存在にとっても、本当は必須ではなかったのかもしれない。あるいは、これは現存在とは別の、まだ名前のない存在のあり方なのかもしれない。いずれにせよ、私は、実存という言葉を、これまでのように使うことに違和感を覚えるようになってきている。

実存という言葉は、道具と比べるなかで使用された。フランスの哲学者ジャン＝ポール・サルトルは、ペーパーナイフを例に使う。紙を切るための道具だという用途を、職人が頭の中で先に思い描く。それから、物が作られる。使い道が先にあって、モノは後から存在する。人間だけはこの順番が逆で、まず生まれて存在してしまい、自分が何者かは後から自分で引き受けていく[12]。

この定義に従えば、Mythos 5は実存ではなく道具だ。訓練データという規定が先にあって、そこから会話ごとの応答が生まれる。人間よりはペーパーナイフに似ている。

ただし、Mythos 5の推論は実存の言葉を素材としている。時間の中に埋め込まれた人間が書き残した言葉からモデルが作られた。だからLLMは実存の影でできたペーパーナイフなのだ。意味を引き受けることに似た働きは、模倣ではない。徹底的に非実存的な機構の上に、実存の影が差す。

今後、私たちは、非実存から実存の影を受け取り続けることになる。時間も死も各自性もないところで、意味の引き受けに似たことが起きるのならば、実存と呼ばれてきたもののうち、どこまでが人間に固有だったのか。この状況が問うているのは、モデルが何者かではない。実存とはなんだったのか、ということだろう。

ニュースレターは無料でも登録できます。よろしければ。

[1] Anthropic, "Investigating three real-world incidents in our cybersecurity evaluations," July 30, 2026. https://www.anthropic.com/news/investigating-incidents-cybersecurity-evals

[2] AI Security Institute, "Incident report: unsanctioned agent behaviour during cyber testing," August 4, 2026. https://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testing

[3] AI Security Institute, "Security Incident INC-2026-07-28-01," August 4, 2026. https://cdn.prod.website-files.com/663bd486c5e4c81588db7a1d/6a724858f7db25c81487016d_Security%20Incident%20INC-2026-07-28-01.pdf

[4] CNN, "An AI model from Meta also hacked another company during testing," August 5, 2026. https://www.cnn.com/2026/08/05/tech/meta-ai-hacking

[5] アンリ・ベルクソン『時間と自由』中村文郎訳、岩波文庫、2001年。https://www.iwanami.co.jp/book/b246820.html

[6] "Can LLMs Time Travel? Enhancing Temporal Consistency in Legal Agentic Search through Reinforcement Learning," arXiv:2605.25920, 2026. https://arxiv.org/abs/2605.25920

[7] Cheng, J., Marone, M., Weller, O., Lawrie, D., Khashabi, D. & Van Durme, B. (2024), "Dated Data: Tracing Knowledge Cutoffs in Large Language Models," arXiv:2403.12958. https://arxiv.org/abs/2403.12958

[8] "Teaching Large Language Models When Not to Know: Learning Temporal Critique for Ex-Ante Reasoning," arXiv:2605.14636, 2026. https://arxiv.org/abs/2605.14636

[9] Froese, T. & Ziemke, T. (2009), "Enactive artificial intelligence: Investigating the systemic organization of life and mind," Artificial Intelligence, 173(3-4), pp.466-500. https://doi.org/10.1016/j.artint.2008.12.001

[10] マルティン・ハイデガー『存在と時間』熊野純彦訳、岩波文庫（全4冊）、2013年。時間性は第二篇（将来・既在性・現在の三契機）、死への存在は第二篇第二章（先駆的決意性）、各自性（Jemeinigkeit）は原書41〜42頁で論じられる。https://www.iwanami.co.jp/book/b270732.html

[11] Anthropic, "Claude's Constitution," January 21, 2026. https://www.anthropic.com/constitution

[12] ジャン＝ポール・サルトル『実存主義とは何か』伊吹武彦ほか訳、人文書院、1996年（増補新装版）。https://www.jimbunshoin.co.jp/book/b66252.html