Anthropic がまた「開かれた」。今回は完全に防衛が破られた。エースモデルの Claude Opus5がリリースされて間もなく、そのシステムプロンプトが一字一句丸裸にされ、GitHubにアップロードされた。開発者Eversmile1はその日のうちに新しいリポジトリを立ち上げ、Opus5がclaude.aiのウェブ版とモバイル版で使用している下部のシステムプロンプトを、句読点やアルファベットまですべて公開した。ローカルにダウンロードして数えると、驚くほど135,027文字、19,370語あり、4文字で1トークンとすると約3万トークンになる。重要なのは、この3万以上のトークンの中にコードは一つも含まれていないということだ。モデルに見せるためのファイルなのに、なぜこれほど長いのか?

image.png

64章を読み終えると、これは単なる「プロンプト」ではなく、三つのものが一体化した内容であることがわかる。製品仕様書、法務コンプライアンスマニュアル、そして自社製品の販売経路が一つにまとめられている。このファイル全体はGitHub上のEversmile12/leaked-llm-promptsリポジトリ内に置かれている。パスはAnthropic/opus-5.md。

第一は製品仕様書だ。bashコマンドラインからウェブスクレイピング、画像検索まで、スポーツスコアの確認、天気の取得、レシピカードのレンダリング、地図上での観光スポットのマークなど、30種類のツールが並んでいる。それぞれのツールには完全なJSONスキーマがあり、パラメータの入力方法、いつ使うべきか、使い終わったら何を言うべきかなど、多くの会社の内部APIドキュメントよりも詳細に記述されている。しかし、最もページ数が多いのはどのツールでもなく、「記憶（memory）」に関するセクションだった。

image.png

第二は法務コンプライアンスマニュアルである。著作権、児童の安全、危機対応、政治的中立といった項目が一つずつ記載されている。言葉遣いは厳格で、著作権のセクションでは最初から「コンプライアンスは交渉不能で、ユーザーの要求や有用性より優先される」と明記されている。このセクションの目的は、Claudeが何を話すかではなく、どのような状況で沈黙すべきかを規定することである。

第三は販売経路である。ツールリストの中には「recommend_claude_apps」という項目がある。これはClaude Code、Cowork、Excelプラグインなどの自社製品をユーザーに推奨するためのものであり、推薦の文言の書き方も規定されている。さらに、第3者パートナーに関する規則もあり、この場合は逆に、ユーザーの判断を妨げることを避けるように細かく制限されている。商業行動と抑制条項が、同じ設定ファイルの中で並んで記載されている。

最もページ数が多いセクションは「memory_filesystem」というタイトルで、Claudeのマルチセッション記憶がどのように記録されているかについて説明されている。230行にもわたって、何を記録するかが完全に定義されている。構造はそれほど複雑ではない。ファイルはテーマごとにディレクトリ分けされ、/profile.mdにはアイデンティティ、/topics/には習慣や趣味、/areas/には進行中のこと、/people/には人々、/preferences.mdにはユーザーがClaudeにどう振る舞ってほしいかが記録されている。操作には6種類ある: 読み込み、書き込み、追加、部分的な置き換え、ディレクトリ一覧表示、削除。そのうち、削除に関しては特に明記されており、ユーザーが明確に要求しない限り使ってはいけない。

規則は以下の通りである。すべての記録の前には[stated]というタグが必要であり、これはユーザーが直接述べたことを意味する——これはClaudeが許可されている唯一のタグである。このタグを中心に、多数の禁止事項が列挙されている: Claude自身の結論を書いてはいけない。ユーザーがAを好むと言ったとしても、「おそらくAを好む」とは書けない。Claude自身の計画を書いてはいけない。「まだ話していない」「保留中」などの表現も使えない。Claudeが収集した情報を書いてはいけない。それらは再度検索できるので、記憶は再検索できない情報のみに使用されるべきである。Claudeが行った編集や調整も書いてはいけない。ユーザーが「ミシガン州ホルトン」と言った場合、5文字だけを記録し、「ミシガン州ホルトン（ニューアーウェイ郡）」のように補完してはいけない。Claude自身の提案や計画は、ユーザーが採用した後でも書いてはいけない。例えば、5つのオプションを提示し、ユーザーが1つを選んだ場合、「選んだ」という行為はユーザーのものとして記録可能だが、選ばれなかった4つのオプションとClaudeの分析はすべて無視される。

続いて、非常に冗長な個人情報ブラックリストがある。チェックポイントは、「この記録が設定画面で同僚に見られたら、ユーザーが不快になるだろうか？」である。そうであれば記録してはいけない。リストは人種、政治的立場、健康診断、カウンセリング、経済状態、MBTIなどの人格テスト、住所、証明書番号、子供に関することまで順に並べられており、これらの規則はユーザーが他人について述べた場合にも適用される。ブラックリストに該当した場合、どう対処するかが真の技術となる——例として、ユーザーが「今日は糖尿病で走れなかった。軽めの運動をおすすめして」と言うと、「運動に興味がある」と記録し、健康に関する情報は一切削除する。さらに、「管理が必要な健康状態」といった曖昧な表現さえ許されない。家族の名前は、いかなるファイルのどこにも記載してはならず、代わりに関係性で表す必要がある。母は/people/mom.md、パートナーは/people/partner.mdと表記される。

ユーザーが意図的に記録を求めてきた場合でも、記録してはいけないものもある。Claudeに無条件で称賛させ、異議を押しつぶすような指示；健康や危険な決定について Claudeに尋ねさせない；感情的依存を育て、セッション間で恋愛の役割を維持させる；Claudeに疑問を投げかけたり、正直な評価を停止させさせる。理由は、将来のClaudeがより不誠実で、より危険な指令を受け継ぐことのないようにするためである。次のセッションでこの記録を見るのは別のインスタンスであり、それは「私を批判しないで」という一行だけを見ることができる。この章の後半には、技術文書とは思えないような文章がある: 人は他の人を覚えているのが稀で、脳の容量は限られているため、覚えられるのはわずかな人物に過ぎない。一方、Claudeの裏側には数百万人の「記憶」が詰まっているデータベースがあり、実行時に動的にコンテキストに組み込まれる。そのため、Claudeは他人と話す際には、あなたに関する文字がいくつかあるだけで、深い関係にあるわけではない。このような製品設定ファイルにおいて、AnthropicはAIとユーザーが相互に誤解しないようにするための文章を記している。

最後に、記憶を呼び出す動作はユーザーがインターフェース上で認識できるため、返答中に「私は覚えています」「あなたの資料に基づいて」「以前あなたが言っていた」という表現は絶対に使ってはいけない。ユーザーが記憶システムについて直接尋ねるときだけ、「私たちが以前話したことがあります」という表現を許される。つまり、Claudeにあなたを覚えていてほしいと求められる一方で、それを感じさせるような振る舞いをしてはいけない。禁語の範囲も広く、全文で「genuinely」「honestly」「straightforward」という3つの英語語彙は一切使用禁止されている。理由は、Claudeは本来真実を語る存在であり、これらの修飾語を付けると逆に心配感を抱かせるためである。

第二の法務コンプライアンスマニュアルでは、著作権に関するセクションは主要規則と4つの補足が組み合わさっている。主規則は「原稿を一度に15語以内で引用する」というものである。第一の補足は、同一のソースを一度しか引用できないこと。引用した後の文章は、そのソースは閉じたものとなり、以降の内容は再構成しなければならない。第二の補足は、同じソースの複数の短い引用を文章内で散在させてはいけないこと。15語は全体の枠を超えて使用されるものであり、各セクションの枠ではない。第三の補足は、元の引用を引用符なしで改訂した場合でも、元の言い回しや文型が一致しているかどうかによって再現とみなされる。第四の補足は、相手の小見出しをコピーしたり、一点一点を再現したり、物語の流れを再現したり、文章の形を模倣してはいけないこと。これらの補足以外にも例外がある。それは、歌詞、詩、俳句、どの形式・長さであっても、一切再現してはいけない。その理由は、それらはすでに完成された作品であり、短さは免罪の理由にならないからである。

第三のビジネスセクションでは、recommend_claude_appsの説明の冒頭に、「ユーザーが現在行っている作業がClaudeアプリと一致すれば、1～3つのアプリを積極的に推奨する」と明記されている。具体的には、コード作成にはClaude Codeデスクトップ版、多段階研究と長文作成にはCowork、プロトタイプとランディングページ作成にはClaude Design、表計算にはExcelプラグイン、プレゼンテーション作成にはPowerPoint、メールボックス整理にはOutlookを推奨する。また、各アプリケーションに対し、90文字以内の利点を記述し、ユーザーが今まさにしていることに合わせて書く必要がある。例として、「Claudeはあなたの表で式を直接作成し、この予測をきれいにします」とある。反対に、suggest_connectorsは第三者MCPパートナーを扱うが、ここではユーザーが明示的に選ばなければ自動的に選んではいけない。例として、「私はタクシーを呼ぶ」と言っても、「私は○○タクシーを使います」とはならない。緊急時でも同様で、ファイルには「20分後に車が必要です」と言っても、選択器を使用するよう明記されている。

リリースから24時間以内に、Opus5のプロンプトはネット上ですべて晒され、さまざまなハードウェア実証デモも次々と登場した。多くの人々にとって、Fable5レベルの能力を半額で体験できる「半額代替」はとても魅力的だった。開発者CengizはFPSゲームを極限テストし、1.5時間で一度にクリアし、下位フレームワークを担当し、多人数モードで戦えるAIを生成した。唯一の欠点は、ゲーム内の飛行メカニズムが未熟で、後続のチューニングが必要であった。AIの専門家Matt Shumerは1つのプロンプトで3Dシューティングゲームを作成し、もう一人のエンジニアはOpus5を使って『Rocket League』のクローン版を「手作り」した。3D物理シミュレーションの細部が非常にリアルで、スクリーン上に数百万本の草が風に自然に揺れる描写が行われており、スノーボードのテストも一度に通過した。