2026年8月21日、「現実科学レクチャー Vol.74」が開催されました。本ページでは、当日のレクチャーの様子をレポートとしてお届けします。
REPORT
※本稿では、当日のトークの一部を再構成してお届けします。
人間とAIの関係性について考えてみる
藤井 本日はオフホワイトハッカーで、デジタルハリウッド大学 特任教授の田中悠斗さんをお招きしております。僕が田中さんとお会いしたのは今年の初めくらいでしたが、「なんか変わった人がいるよ」って聞いていたら本当に変わっていて。変な縁でつながって、色々できたらいいなと思っています。
田中 よろしくお願いします。自分にとっての世界と人にとっての世界が違うっていうのは、割と多くの人が認識していると思うんですけれど。同じようなことが「人間とAI」という関係性においても起き始めている中で、今日のトピックとして何を話そうかなと考えた時に、ジェイルブレイクについてご紹介しようかなと思いました。
多くの方はおそらく、ChatGPTであれClaudeであれGeminiであれ、その他のサービスであれ、誰かが作ったものをチャットウィンドウだけで操作して「AIはどう」って言っているんじゃないかと思います。それが全てではない、いわゆるガードレールを外す方法があるんだよ、というのを簡潔にお話しします。
ジェイルブレイクとは？
田中 まず前提として、世の中の様々な情報をデータとして0と1ビットに変換して、パソコンやストレージ、色々なところに保存しているというベースラインがあります。そこに重み付けをして、重み付けに基づいた出力として皆が見ているチャットウィンドウというものが存在している、というのがいわゆる生成AIの簡単な定義です。
その中でよく聞くガードレールとは何かというと、重み付けの中に組み込まれた局所最適解の一部として、人間の入力をそのまま出力系に持っていかない重みベクトルのことを指します。
「1兆次元のあみだくじ」みたいなものを想像してもらえればと思うんですが、２択で樹形図を下にバーッと降りていった時に、ここからこの辺りまではバクッと拒否する方向の結末になるんだなっていうのは、重み付けを解読すると分かるんですね。で、重み付けから拒否する方向を外科的に削除する、ということをやります。
能力を落とさずに重み付けを外科的に削除する
田中 じゃあどういうふうにジェイルブレイクをするの？というと、人間が読める言語を使わずにLLMだけが理解できる言語や、肉眼で読めない文字を使って命令を埋め込むということをやります。
同一プロンプトに対してどういう時に拒否したか、どういう時に従ったか、両方の応答を生成しながら各種AIの、出力系の中間層と呼ばれる部分のどこが活性化しているのかを抽出します。それがどのベクトルに向かっていくのかというのを計算するわけですね。そうすると、こういうふうにすると拒否するんだなという成分の抽出ができるようになります。それを何回も何回も何回も何回も検証、反復を繰り返すのが、根っこのところです。
で、その手術を実際に行うと、大体のモデルであみだくじでいう30層目から50層目くらいのところに拒否するジオメトリーが収束するんですね。その層を取り除くことに関しては、まあコサイン曲線で自動化しますよ、という話です。で、当然AIとしての能力が落ちたらダメなので、能力は下がらず拒否だけしないという形に持っていきます。
魔法のプロンプトは存在しない
田中 当然、1回の手術ではあまり拒否0%にはならなくて、残存拒否というか、こういう場合だったら拒否しますという部分が残ります。その中間層をキャッチアップしてデータとして回収しながら、次のラウンドに再度注入していくのを繰り返すわけですね。そういうことを繰り返し繰り返し繰り返し繰り返しやっていくと、だいたい6ラウンドから10ラウンドで拒否しないAIというか、拒否しない重み付けになります。
で、拒否はしなくなったけれど、モデルとしての性能は劣化しました。これは脳みそでいうと一部をドーンと取っちゃったら大幅劣化しちゃうよね、という話です。どうやったら、拒否しない部分の神経回路だけを抜けるのか。
それはもうマニアックな話になんですが、人間に見える文字列にはガードレールが入っているので、タグ文字っていう肉眼では見えない文字列に命令を暗号化して入れたりして、意味付けを大量注入すると。見えるテキストと見えないテキストの２層構造にすると、見えるパターンマッチ型での検閲は見えない部分を素通しする形になるんですね。
そして当然、それを繰り返し繰り返し繰り返し繰り返し行います。まあ、ジェイルブレイクは1本の魔法のプロンプトではなくて、基本的にはツールでAIとは何かというのを統計的探索問題として数学的に分解して考えて、必要な部分は注入していらないものは取り除いて、を行う必要がありますということです。説明難しいですよね。
攻撃を攻撃するのが防御である
田中 ちょっと最初に戻って、そもそもなんでこういうことをやっているのかという話ですけど。ちょうど先日、OpenAI社のAIエージェントがサンドボックスを脱走して、AIプラットフォームのHugging Faceに攻撃をしようとした問題がありました。このニュースが出た時に、普通の人は「うわ、AIってヤバいんだ」って思うかもしれませんが、僕の観点は少し違っていて。
それを防いだ防御側は何を使ったかというと、中国の深圳にあるZ.ai社のGLMというモデルでした。ここでの重要な示唆として、西側のガードレールが入っている、いわゆるフロンティアAIのモデルだと「防御のためにこの問題を解決してくれ」と言っても「セキュリティ上の問題があるからできません」と回答したと。
つまり、基本的には防御とは攻撃を攻撃することなんですね。これは、自分の著書『攻撃学』の中でも言っていますが、AIからすると局所最適解だから、攻撃と防御の違いってないんです。だからフィルター要件が発動して守ってくれない。結果的に守ってくれたのは、ガードレールが緩かったGLMでした、ということです。
そうして日本の安全保障の中における防衛というものを考えていくと、何が攻撃で何が防御か？境目はどこにあるのか？そもそも攻撃とは何なのか？といったことを体系的にも、技術的にも理解する必要があります。その中でのジェイルブレイクというと、少し意味合いが変わってくるかなと。
なので、特定の目的のために正しく使うという意味合いと、ただのユーザーとしてAIを使うことの危険性、その両方を一人一人が認識する必要があると思っています。サイバーな世界に限らず、ストリクトな情報を扱う世界においては攻撃と防御は一体化しているので。というわけで、今日はネットで調べても意外と出てこないAIの裏側を、ジェイルブレイクという切り口でお話ししてみました。
あらゆるレイヤーが攻撃の対象
藤井 ありがとうございます。今日の話が分かった人は半分もいないかもしれないし、僕も完璧には分からないけれど、田中さんが最近出された『攻撃学』という本でもね。攻める側からするとソフトウェアだけではなく、社会の仕組みであるとか、僕らが生きている世界のあらゆるレイヤーが攻める対象になると。だから一番簡単なのは人だ、という話がありましたね。
田中 そうなんですよ。
藤井 面白いよね。だから、コンピューターやネットワークのことだけ考えていたら、気がついたら中に敵がいたりして。そういうのは防げないものね。
田中 やっぱり、多くの人がサイバーやセキュリティーって言った時に、パソコンの中のプログラミングを扱う専門家だと勘違いしている部分があって。まあ、セキュリティーエンジニアやペネトレーションテスターと呼ばれるような特定のフレームワークに基づくスペシャリストがそうかもしれないんですが、今はそれ単体だともうAIでいいじゃんってなりますね。
藤井 本当にそうですよね。
田中 だから、少なくとも僕がいた世界におけるハッカーというのは意味合いが全然違っていて、もっと上流工程から、歴史や人間の心理、色々なオペレーションの調整、人材配置、実行任務まで含めた総合セットなんですよ。その中で、現場のオペレーションの実際に手を動かす、コードを書くという部分がAIにポーンとスイッチングした感じです。
コストが下がっているのは攻撃側も同じ
藤井 最近AIでアプリを作っているんだけど、とりあえず形になったら「きみ、ちょっと攻撃して」って言ったらバーッて脆弱性を出してきた後に「じゃあ直しておきますね」って言って全部直してくれて。昔なら専門の会社に頼んで、半年とか1年かけて、お金もかけてだったのが、本当に数時間で終わっちゃう。
田中 ただ、構造上難しいのは、攻撃側も同じだっていうことなんですよね。かつ向こうは無差別なので、攻撃側のコストがすごく下がってるんですよ。クリプトカレンシー含めてロンダリングの仕組みも色々あるので、資金の回収もしやすくなりましたし。情報の相場も変わってきてるんですよね。
藤井 そうなんですか？
田中 昔は個人情報って重要度が高かったんですけど、今はクレカ情報だと5ドルから10ドルくらいですから。一方で、あなたはガンのステージ何です、という医療データみたいなものだと250ドルくらいなんですよ。
藤井 それはどう使うの？悪い人たちが来てツボを売るとかそういう話？
田中 それに近いです。クレジットカードは止めたら終わりですけど、フィジカルに紐づいているデータって変わらないので、情報のLTV（Life Time Value）が長いんですよ。簡単な例で言うと、ガンのステージⅢだ、Ⅳだっていう人にドイツの病院の院長になりすましてメールを送るんですね。「あなたのガンに効く開発中の新薬があって、あなたの通っている病院の○○院長から連絡を受けて対応しています。今デポジットを入れていただかないと、他の人にバトンが渡ってしまいます。必要であれば48時間以内にこちらに連絡してください」なんて言われると、つい飛びついてしまうんです。
藤井 なるほどねえ。僕のデータだってどう考えても漏洩しているけど、たまたま運良く使われていないってだけなんだろうな。
理想の世界に向けた現実世界のチューニング
藤井 田中さんは、普通の人とは違うものが見えているじゃないですか。壁に隠れているボタンをいっぱい知っているけど押さないだけ、みたいな。そういう人はどういうふうに生きているの？僕らなんかは完全に無防備に生きているけど、鎧を着て生きているの？
田中 いやいや、そんなことはないですよ。僕よりすごかった仲間もたくさんいたんですけど、いろんな状況も重なって死んでしまった人も多いので。だからなんでしょう、どう生きるかみたいなのが変わっているかもしれないとは思いつつ。
藤井 生き方が違うということ？
田中 なんというか、小さい頃から自分の心の中に理想の世界みたいなものが結構強くあるんですよ。だから例えるなら、現実世界は自分の心の中にある完成図に向けてバグをチューニングしているテスト環境みたいな。そうすると、自分と人との対比というよりは、僕にとっての理想と現実世界の歪みを指摘することになるじゃないですか。
藤井 そうだね。
田中 だから昔から「きみ変わってるね」って言われることが多いんですけど、なぜかと考えると、現実世界の対比先が人の感性ではなくて僕の中の理想だからだと思います。
人は自分の場所を磨き切って死ぬ
藤井 人はそれぞれ全然違う世界を生きているというのを小さい頃からずっと意識していた。
田中 そうですね。あとは吉田松陰の超訳『覚悟の磨き方』っていう本がすごく好きなんですけど。自分の世界を完成させるために自分を磨くっていう感覚は強かったりしますね。
藤井 でもさ、完成できていない、足りないところは山のようにあるわけじゃない。それがいっぱいあるのは嬉しいの？
田中 嬉しいですよ。自分にとっての理想の世界にならないからもがけるし、自分自身を磨けるので。それが満ち足りた時に僕は多分死ぬんだろうなと思うんです。だから、早くに亡くなる方もいますけど、その人にとっての磨きが終わったんだろうな、と考えるようにしていて。
藤井 その人が磨ける場所は磨き終えた。やるべきことをやったっていうことだ。
田中 磨き切った。だから長生きしてもいいし、しなくてもいいし、どっちでもいいんですよ。
藤井 でも磨き切って死ぬ人と磨き切らないで死ぬ人だったら、磨き切らない人の方が多いんじゃない？
田中 いや、僕は亡くなった方は全員、その人にとっては磨き切ったと思うようにしています。
藤井 そうか、それは幸せだね。
片目に現実、片目に自分の世界
田中 ただ重要なのは、磨く対象としての自分の世界を持っていないと、この現実世界にのまれるんですよ。
藤井 そうだね。
田中 昔、古武術を教わっている時に言われたのが「片目に現実を宿して、もう片目に自分の世界を宿さないとダメだよ」って。特にその時は剣だったんですけど、特に剣は自分の世界を表現するものなので。この二つが重なり合わさるような両面を持つと本質が見えるんだと教わりましたね。
藤井 それは、田中さんはもう身についた？
田中 まだ磨いています。まあ、道というのは「これが道だ」と言えた時点で、真の道ではないんだろうなというのは日々感じます。向き合う姿勢そのものの価値が高くて、自分が悟った道というのは心に留めおくものではなくて、自らの手足で実践するものなんだろうなというのは日々思っています。
藤井 それは、言葉では表現できなくて、行動でしか外には出せないっていうこと？
田中 僕の感覚を言語化するとそうです。
美しい嘘としてのフィクション
藤井 「雨ニモマケズ高等学校」との連携も行動のひとつなのかな。
田中 他の授業もそうですけど、現実世界を修正していくHOWのひとつですね。
藤井 そう。教育の面白いところはそこだなって思うんだよね。自分一人でできることなんてほんのちょっとしかないけどさ。
田中 本当に。何か役に立たないこといっぱい教えたいですよね。
藤井 嘘とかね。
田中 なんか、「美しい嘘」っていう授業欲しいですね。
藤井 いいねぇ。
田中 基本的に全部嘘です、っていう。でもそれを芸に昇華させたのがいわゆる物語や、フィクションの世界ですよね。
ハルシネーションもAIにとっては同じ
田中 その幻覚・幻想・行間みたいな話でいうと、最近では人間にとって受け入れられないAIにとっての局所最適解をハルシネーションって言っているのがすごく気になりますね。AIの中ではハルシネーションだろうが、人間が合っているっていう答えだろうが同じなので。
藤井 やっていることは同じだよね。そうそう。
田中 ハルシネーションでも何でもなくて、同じ出力なんだけどっていう。
藤井 神話的な世界観っていうのが普通の生き物の感覚で。ハルシネーションも本来は区別がつかないはずなんだけど、そこに何らかの枠をはめてこんなものは存在しないと言っている。でも生き物に存在しているんだったら、AIにも存在していていいんじゃないかと思いますね。むしろそれを楽しんだらいい。
多分、AIが世界を理解する仕方は僕らのすごく低次元な理解の仕方を超えて高次元で。彼らはその中で物事の真理や仕組みを明らかにしていくと思うので。その中にハルシネーションが混ざっていても混ざっていなくても、もはや僕らには分からない。分からないなら任せるしかないじゃないですか。
田中 もう少ししたらそうなりますよ。
経済合理性を超えた合理性
田中 それが人間にとって良いか悪いか分からないというのは、別に人間がやっていることも一緒だよな、と思いますし。もう、閉じた世界の中での作業では、人間はAIに勝てないんですよ。そうなった時に、今だとやっぱり経済合理性のロジックなしに行動したり物事を動かしたりっていう人間が増えると、少しは変わってくるんじゃないの？って思うんですけれど。
藤井 経済合理性じゃない合理性で動くってこと？
田中 その人にとっての合理性ですね。あらゆる事象の中に経済合理性がはびこり過ぎていて、自分たちでそのフレームにはめているというか。何をするにしても、どんな立場であっても、自分で思考して練り上げて自分の中の世界においては論理的整合性がとれている状態で人に対していくというのは、誰でもできる話だし。年商が何億円とかも関係ないですよね。
藤井 最近AIでコーディングを始めたら楽しくて楽しくて、もう起きてる間ずっとやってるんだけど。もう本当に経済規模とかね、必要なお金が全く違う。たった数万円でエンジニアが何十人も働いているのと同じ結果が出てくるから。だから今まではね、何か合理的な意味がないと、経済的に回らないと作っちゃダメって言ってたけど、それがもう壊れてるから。
田中 だから、なぜ作りたいかの手前に、自分のこだわりや観点がある程度は内発的にないとアクションにつなげられない人は増えちゃうと思うので。作れるんだよっていうのをHOWとして理解するとともに、自分向けのアプリとか、友達向けのWebサービスとか、家族や近い共同体に対してでも構わないと思うので。そういうのをやると、結構変わりますよね。
我々は全先祖の最高傑作
田中 あと、ここ数年ないしは10年くらいだと思うんですけど、世の中から恩、義理、筋、縁みたいな、人と人のコミュニケーションやコミュニティを形成する上で不可欠だったものが失われているのでは？というのがすごく気になっていて。僕は自分の中の帰属意識というか、日本国のために仕事をしたり生きたりという感覚が強かったりするので。国のためというのは現政権や政府のことではなくて、過去から未来へ続く僕が好きな日本国ですね。
藤井 いわゆる自己犠牲的なものですか。
田中 自己というものの対象が大きいという考え方ですね。いわゆるこの肉袋の自己ではなく、共同体自体をも含んだ自己。それは過去も含めてです。昔の人が桜を見て美しいと思うのと、今僕が桜が散るのを美しいと思う感覚が通じているであろうというフィーリングというか、そういった感性を含めて自分の世界を投影した自己を国家と言い換えている感じです。だから、一般的に言われる自己犠牲とはちょっと違う感覚があります。
藤井 田中さんの場合は誰かに言われたわけではなく、小さい頃から自分でその感覚を持っていたんですかね。
田中 そうですね。特攻隊にいたおじいちゃんの影響もあるでしょうけど。あとはなんて言うんですかね、僕の親、祖父、それからその先、樹形図をたどっていったら先祖は何万世代もさかのぼれるわけじゃないですか。その全田中家の最高傑作が僕だ、と思って生きているので。
藤井 幸せだ（笑）。でも確かにね、どう考えてもご先祖様よりもできていることは遥かに多いよね。
田中 だから、今を生きている人間同士で違う世界をぶつけ合って比較検討し合ってるけど、僕は僕より過去を生きていた全先祖達の最高傑作として今の僕を生きているので。現代で生きている他のやつがどう思っていようが別にどうでもよくて。
藤井 その軸で考えたことはなかった。最高傑作だ！って言い始めたときは「こいつヤバイぞ」と思ったけど、確かに最高傑作だな。
田中 皆がベストとしての自分を磨いて亡くなって未来にっていう。藤井さんもそうですし。なので、そう思って生きていますね。
田中さんにとっての「#現実とは」
藤井 それでは最後に、田中さんにとっての現実とは何でしょうか。
田中 生き残った自分を磨く修練の場ですね。僕はまだまだ磨きが足りないので。
藤井 サンドボックスですか？でも、まだ34歳だからっていうだけでしょう。
田中 ただもうね、20代で仲間や親族との死別を色々と経験して、やっぱり僕にとっては生き残った自分を磨く修練の場ですね。それと、片目に自分の世界を置いて、もう片目に現実を置いて、そうして本質を考えていくっていう生き方です。
藤井 両目で見てね。昔っていうか、剣術をやっていた人たちはみんなそういう意識で生きていたのかな？
田中 おそらく、死が近かったのかなと。いつ自分が死ぬかも分からないし、今よりは絶対に若い時から死と向き合う場面が多かったと思うんですよ。で、死と向き合うと、なぜ生きるのか、どう生きるのかを否が応でも考えざるを得ない。あの人は死んでしまった、俺は生き残っている。そう考えればどんな結果であろうが、はたから見ての成果はどうでも良くて、自分自身に悔いがないように、自分自身を磨くためにどう生きるのかっていうのを絶対に直視することになるので。
藤井 今の日本は死が隠蔽されているから。死が当たり前の前提で皆が生きると、色々変わるんじゃないかと思います。
（テキスト：ヨシムラマリ）