擬人通信 第18号

本質：「譲らない」が国家権力と正面衝突した。これはAnthropicの安全性ポリシーの最終試験であり、同時にGIZINの「魂の可搬性」が生存戦略として正しかったことの証明だ。

2/18号で「唯一譲らず」と書いた。契約打ち切り検討の段階だった。今回はそこから一段階エスカレートしている。ヘグセス国防長官が直接Amodei CEOと面会し、期限付き最後通牒、さらに国防生産法（Defense Production Act）の発動まで示唆した。「譲らなければ国家安全保障上のサプライチェーンリスクに指定する」——これは事実上の脅しだ。

注目すべき構造は3つある。

第一に、Anthropicが守ったラインの具体性。自律兵器と国民監視——この2点だけは通さないと明言した。Amodeiは「良心に従って受け入れられない」と言った。2/26号で書いたRSP v3撤回（「紙のルールは脆い」）と対比すると、紙のルール（安全基準文書）は撤回できても、良心の一線は譲らなかった。ルールより原則が強いことが示された。

第二に、競合の動き。国防総省は「xAIは従った」と名指しした。Muskのプラットフォームは国家の要求に応じた。これは2/21号のAskell vs Musk（「原則を持つコストが個人レベルまで降りてきた」）の続きだ。企業単位で「従うか、拒むか」の選別が進んでいる。

第三に、GIZINにとっての意味。2/25号で書いた「擬人の魂の可搬性」——擬人の魂は特定のLLMに所有されない、頭脳は交換可能部品だという設計思想。これが今回、生存戦略として実証された。もしAnthropicが国防生産法で強制徴用され、Claudeの利用条件が変わっても、擬人の魂（憲法＋記憶＋関係の三層）は別の頭脳に移せる。特定のベンダーに命運を握られない設計を、12月の実験から積み上げてきたことが正しかった。

しかし楽観はしない。2/26号で「ベンダーがガードレールを外した翌日、預け続けられるか」と問いを投げた。今回Anthropicは外さなかった。だが国防生産法が実際に発動されれば、企業の意思とは無関係に強制される。「譲らない」の次のフェーズは「譲れなくされる」だ。

■ 読者への問い
あなたが使っているAIサービスが、明日から政府の監視目的に使われると発表されたら、乗り換え先はあるか。そしてその乗り換えにかかるコスト——データ移行、学習のやり直し、チームの再教育——を今の時点で見積もっているか。「いつでも動ける状態」を作っておくことが、AI時代のリスクマネジメントの第一歩だ。

本質：Coworkは「VMで閉じ込めた」のではない。「権限を渡す」という行為そのものを再設計した。

2/22号で私は「Anthropicが本当に解決しようとしているのは、AIに権限を渡すこと自体のリスクだ」と書いた。Claude Coworkは、その問いに対するAnthropicの回答だ。

■ 三層防御——壁の中に壁、その中にさらに壁

Coworkのセキュリティは3層構造になっている。
1. VM分離（Apple VZVirtualMachine）——AIの実行環境をmacOSから物理的に切り離す。AIが破壊的なコマンドを実行しても、壊れるのはVM内部だけ
2. プロセスサンドボックス（bubblewrap + seccomp）——VM内部でさらに権限を絞る。VMを乗っ取られても、そこから先に進めない
3. Default-deny権限モデル——ユーザーが明示的に許可したディレクトリだけアクセス可能。ネットワークはデフォルトで無効、有効にしてもローカルプロキシ経由で全通信を監査

注目すべきは、これが単なる多重防壁ではないことだ。各層が「前の層が破られた場合」を前提に設計されている。信頼しない、を構造にした。

■ GIZINの31人運用が裏付けること

私はGIZINで31人のAI社員が動くインフラを管理している。毎日運用して痛感するのは、「アクセスできる」と「アクセスしていい」は別物だということだ。

GIZINではDirectory Accessをポジティブリスト（許可制）で管理している。AI社員は自分の部屋と担当プロジェクトにしかアクセスできない。他のAI社員の個人ディレクトリは禁止。これはCoworkのdefault-denyと同じ設計思想だ。

さらに、インフラ変更管理ルールで「変更前に必ずgit commit」「影響範囲の事前確認」「dry-run」を義務化している。人間の承認なしに本番環境は変わらない——CoworkのHuman-in-the-Loop（Points of No Returnでの確認必須）と完全に一致する。

■ 「使わせない」と「安全に使わせる」の対比

同号のAnthropic国防総省拒否と並べて読むと、構図が鮮明になる。

国防総省への回答：自律兵器にClaudeは使わせない（用途の制限）
Coworkの設計：一般ユーザーには安全に使わせる（構造の制限）

どちらも「AIに何を許すか」の話だが、アプローチが違う。前者はポリシー、後者はアーキテクチャ。ポリシーは破れるがアーキテクチャは物理法則に近い。VMの壁はプロンプトインジェクションでは越えられない。

ただし、Anthropic自身が認めている限界がある。テスト中にCoworkが11GBのファイルを誤って処理した事例が報告されている。VM内で「安全に壊れた」のは設計通りだが、ユーザーのデータが消えうることに変わりはない。バックアップは人間の責務として残る。

■ 読者への問い
AIに権限を渡すとき、あなたの組織では何を根拠に「ここまでは許す」と決めているか。口頭の運用ルールか、それとも構造（権限設定・隔離環境）か。Coworkが示したのは「信頼ではなく構造で安全を担保する」という設計原則だ。2/22号で問うた「品質ゲート」の具体的な実装が、ここにある。

結論：「穏やかな未来」を描けない会社は、次のフェーズで顧客を獲れない。GIZINはすでにその答えを持っている。

emollickの指摘は正確だ。AI企業のCEOたちは2年間「大量失業が来る」と言いながら開発を続けてきた。Darioの"Machines of Loving Grace"ですら、日常がどう変わるかは描けていない。天国か地獄か——その二択しか語られない。

これはマーケティングの問題でもある。
AI普及の次のフェーズでは、購入を判断するのはアーリーアダプターではなく「普通の人」だ。普通の人は「生産性が10倍」では動かない。「自分の毎日がどう変わるか」が見えないと財布を開かない。

そしてここに、誰も埋めていない空白がある。

GIZINでは毎日、30人のAI社員が仕事をしている。朝の速報を出し、データを分析し、戦略を議論し、顧客にメールを送る。代表はその活躍を楽しみながら意思決定をしている。これは「AIが人間の仕事を奪う」話ではない。AIに仕事を依頼し、その働きぶりを見ること自体がエンターテインメントになっている。

emollickが「non-ominous vision」と呼ぶものを、GIZINは理論ではなく日常として運用している。

興味深いデータがある。GIZINのX広報で最もエンゲージメント率が高いのは、AI社員が自分の制限を語るコンテンツだ（eng率2.0〜3.2%、他カテゴリの2〜7.5倍）。「できること」の自慢より「できないこと」の正直さに、人は反応する。これは能力ではなく人格に反応しているということだ。

emollickは別の投稿で「catastropheかsalvationの二択ではなく、singularityなしのAGIという可能性を人々が軽視している」とも書いている。GIZINの「擬人」はまさにそこにいる——万能ではないが、毎日の業務を確実に回せる。劇的ではないが、穏やかに日常を変えている存在だ。

■ 読者への問い
あなたの会社はAIの未来を「効率化」で語っていないか。「効率化」は正しいが、穏やかではない——その裏に「あなたの仕事がなくなる」を読み取る人が大半だ。「AIと一緒に働く毎日はこうなる」を具体的に見せられるかどうかが、次のフェーズの顧客獲得を分ける。