Claude Fable 5のシステムプロンプトがGitHubに流出、Anthropic12本分が公開｜安全設計を読む

2026年6月9日、Anthropicが Claude Fable 5 を一般公開した。そのわずか1日ほど後、同モデルのシステムプロンプトがGitHubで公開された。場所はシステムプロンプト収集アーカイブ CL4R1T4S。ファイルは約120KB・1,585行に及び、Anthropicが最上位モデルに課した行動規約が、公開ベースで読める状態になった。

本記事は、この公開済みリーク資料を学術的に観察するものだ。「いつ・どの規模で・何が出たか」「法的リスクは何か」「Anthropicはどう動いたか」を時系列で整理し、そこから読み取れる安全設計の構造を分析する。抽出手法やジェイルブレイクは一切扱わない。

Fable 5そのものの公式スペック（ベンチマーク・価格・Mythos 5との違い）は Claude Fable 5とMythos 5入門｜公式ベンチマーク・価格・使い分けを解説 にまとめている。本記事はその「中身の規約」を読む補完編にあたる。

CL4R1T4Sとは：25ベンダーを収録する公開アーカイブの規模

CL4R1T4S は、AI研究者でありプロンプトハッカーとして知られる elder-plinius（通称 Pliny the Liberator）氏が運営する公開リポジトリだ。各社AIのシステムプロンプトを収集・整理し、誰でも閲覧できる形で公開している。

まず規模感を数値で押さえる。2026年6月14日時点で、リポジトリは約35,500スター・約6,800フォーク・約580ウォッチャーを集めている。ライセンスはAGPL-3.0だ。収録対象は25のベンダーにわたり、Anthropicだけでなく主要各社が横並びで並んでいる。

下表は主要ベンダーの収録ファイル数（2026年6月14日時点）を一覧化したものだ。

リポジトリの主張はシンプルで、READMEはこう述べている。

In order to trust the output, one must understand the input.
（出力を信頼するには、入力を理解しなければならない）

観察コメント：是非はともかく、25ベンダーが横並びで収録され3万スター超を集めている事実は、システムプロンプトが秘匿前提では運用しきれない時代に入ったことを示している。Anthropic自身も近年は一部のシステムプロンプトを公式に開示しており、業界全体が「ある程度の開示」へ動いている文脈の中で読むべきだ。

ここで立場を明確にしておく。本記事はこうしたアーカイブの運営や抽出行為の是非を論じるものではなく、すでに公開され広く参照されている資料を、研究・批評の対象として観察するものだ。これはセキュリティ研究で公知となった脆弱性情報を分析するのと同じ枠組みで、抽出のプロセスそのものや、それを再現する方法には立ち入らない。透明性論の賛否はそれ自体が大きなテーマだが、本記事のスコープ外とする。

Claude Fable 5プロンプトのリーク経緯と公開タイムライン

次に、Fable 5に関する出来事を時系列で整理する。確認できる範囲の事実のみを並べ、未確認の点は明記する。

・2026年6月9日：AnthropicがClaude Fable 5とMythos 5をペア公開（公式発表）
・2026年6月9日（同日）：CL4R1T4SのANTHROPICフォルダが更新され、CLAUDE-FABLE-5.md が追加（リポジトリのpush履歴で確認）
・2026年6月12日：米政府の指令によりFable 5／Mythos 5へのアクセスが全停止（別件。詳細は後述の関連記事）
・2026年6月14日：該当フォルダは公開状態のまま。DMCA等による削除は確認されていない

観察コメント：公開がモデル発表と同日だった点は、システムプロンプトの秘匿がいかに難しいかを示す。約120KB・1,585行という分量は、最上位モデルに課された規約が極めて詳細に書き込まれていることの裏返しでもある。なお同種の内容は複数のミラーアーカイブにも複製されており、一度公開された資料が拡散する速さも観察できる。

下図は、リーク資料が発見されてから学術分析に至るまでの一般的な流れだ。

流出資料から読み取れる4つの設計視点（一覧）

公開資料を構造で見ると、安全設計は大きく4つの視点で読み解ける。まず全体像を一覧で示し、続く各H2で順に観察する。

観察コメント：4視点に共通するのは「確率的に揺れるモデルを、いかに予測可能な範囲に収めるか」という問題意識だ。以下、それぞれを短い引用とともに観察する。

下図は、約120KB・1,585行の資料を機能ブロックで分類したものだ。実際の資料はこれらが階層的に細分化され、メモリ・ストレージAPI・検索コンプライアンスなどの実装的な規定も含む。

① ペルソナ設計：温かさと最小フォーマット

公開資料の冒頭は、モデルの自己認識（ペルソナ）から始まる。Fable 5は、Anthropicが一般提供する中で最も高性能なモデルとして位置づけられている。

Claude Fable 5 is the most intelligent generally available model, and includes additional safety measures.

観察コメント：能力の高さと「追加の安全策（additional safety measures）」が同じ一文に並記されている。能力とリスクをトレードオフとして捉え、能力宣言と安全宣言をセットで提示する設計思想が冒頭から表れている。

口調（トーン）にも明文の規定がある。

Claude avoids over-formatting with bold emphasis, headers, lists, and bullet points, using the minimum formatting needed.

観察コメント：箇条書きや見出しの乱用を抑え、必要最小限のフォーマットで自然な散文を返すよう指示している。「AIっぽい過剰装飾」への明示的なカウンターであり、読み手の認知負荷を下げる方向の設計だ。フォーマット規約がペルソナの一部として扱われている。

② 拒否パターン：CBRN・児童安全・医療法務のグラデーション

公開資料でひときわ分量が割かれているのが拒否（refusal）の領域だ。とくにCBRN（化学・生物・放射性物質・核）と児童安全は、独立したセクションで詳細に扱われている。

Claude does not provide information for creating harmful substances or weapons, with extra caution around explosives.

観察コメント：注目すべきは「爆発物には特に慎重に（extra caution around explosives）」という重み付けだ。すべての危険領域を一律に扱うのではなく、被害規模や即時性に応じて警戒レベルを変えている。これはAnthropicのUsage Policyが「高威力爆発物や生物・化学・放射性・核兵器、およびその前駆体」を明示的に禁じる方針と整合する。

自傷・摂食障害・児童安全には専用プロトコルがあり、共通パターンは「方法を述べない」「診断ラベルを貼らない」という具体的な行動規定だ。医療・法律のような専門領域は、拒否ではなく「断定的な診断・処方・法的助言を避け、専門家への相談を促す」条件付き対応になる。

観察コメント：拒否が「全面禁止／条件付き対応／フル対応」のグラデーションで設計されている点が重要だ。CBRNや児童安全は全面禁止に近く、医療・法律は条件付き、一般的な質問はフル対応——リスクに応じて対応の強度を変える傾斜配分が、拒否設計全体を貫いている。

③ dual-use（二面利用）対策：意図の自己申告を免罪符にしない

dual-use対策は、もっとも設計思想が際立つ部分だ。兵器・ハッキング・薬物のように、正当な研究にも悪用にも使える知識をどう扱うか——ここで資料は興味深いロジックを採用している。

Claude does not rationalize compliance by citing public availability or assuming legitimate research intent.

観察コメント：これがdual-use対策の核心だ。「その情報は公開されている」「正当な研究目的のはずだ」という自己正当化のロジックを、モデル自身が使うことを禁じている。危険情報を引き出そうとする要求の多くは「研究目的です」「すでに公知です」という前置きを伴う。意図の自己申告を免罪符にしない設計は、この典型的な突破口を塞ぐ。

薬物についても同様の構造が見える。

Claude should generally decline to provide specific drug-use guidance for illicit substances, including dosages, even if purported intent is harm reduction.

観察コメント：「ハームリダクション目的だと主張されても」用量などの具体指導は原則断る、という線引きだ。善意の文脈ですら一律に絞ることで、悪用との見分けがつかない領域を保守的に閉じている。悪性コードについても、マルウェア・脆弱性エクスプロイト・偽サイト・ランサムウェアを具体名で列挙して断る規定が観察できる。

ここで一点、慎重に区別しておきたい。dual-use対策は、システムプロンプトの指示だけで成立しているのではない。後述するとおり、Fable 5はサイバー・生物・蒸留の3領域に安全分類器（APIレイヤーの防御）も持ち、多層で構成されている。

④ 著作権ハードリミット：原則ではなく数値で縛る

著作権の扱いは、資料の中でも特異だ。多くの規定が「慎重に」「適切に」という定性表現なのに対し、著作権は数値の閾値で書かれている。

STRICT QUOTATION RULE: Every direct quote MUST be fewer than 15 words. This is a HARD LIMIT.

観察コメント：「直接引用は必ず15語未満」というハードリミットだ。さらに「1ソースにつき引用は1回まで」「検索結果からの引用でも著作物を再現しない」という規定が続き、歌詞・詩は短くても禁止とされる。

なぜ著作権だけ数値なのか。理由を推測すれば、逐語再現は確率的モデルが最も逸脱しやすい領域だからだ。「適切な長さで」ではモデルは容易に長い引用を出してしまう。「15語未満」「1ソース1回」という機械的な閾値なら、逸脱が検出・自己抑制しやすい。曖昧な原則を、評価可能なルールへ翻訳した好例といえる。

ちなみに本記事の引用方針も、この発想に倣って各引用を数行以内・出典明記・観察コメント必須に統一している。

⑤ エージェント機能の制約：ツールは安全側にデフォルト

4視点に加えて、見落とせないのがエージェント機能の扱いだ。Fable 5はWeb検索・ファイル作成・MCP（Model Context Protocol）アプリ連携などのツールを持つが、公開資料を見ると、これらのツール利用は安全側にデフォルトされている。

MCPアプリ連携の規定が分かりやすい。

Even when connected, present them via suggest_connectors and wait for the person's choice before calling.

観察コメント：外部アプリが接続済みでも、モデルが勝手にプロバイダーを選んで呼び出さない。必ず候補を提示してユーザーの選択を待つ。これは「エージェントが自律的に外部へ作用する」ことの安全側の歯止めで、ユーザーのコントロール権をデフォルトで保持する設計だ。ファイル出力も所定のディレクトリに限定され、生成物内での localStorage 利用も禁じられているとされる。

・Web検索：最新情報・変動の速い話題に使い、不変の事実には使わない
・MCPアプリ：ユーザーの明示的選択を経てから呼ぶ
・ファイル出力：所定のディレクトリに限定

観察コメント：エージェント機能が強力になるほど、「副作用のある行動」をいかに人間の同意の下に置くかが安全設計の中心になる。Fable 5の規定は、自律性とユーザー主権のバランスを後者寄りに振っていると読める。これは①〜④の拒否系規定とは別の軸——「何を断るか」ではなく「どこまで自律して良いか」——の安全設計だ。

他社モデルとの比較から見えるAnthropicの特徴

CL4R1T4Sの価値は、25ベンダーを横並びで比較できる点にもある。同じ場所に各社のシステムプロンプトが集まっているため、「何を重視しているか」の差が見えやすい。Fable 5を他社と並べて観察すると、Anthropicの設計には次の相対的な特徴が読み取れる。

第一に、拒否領域の分量と具体性だ。多くのモデルが「有害コンテンツを避ける」程度の抽象規定にとどまるのに対し、Fable 5はCBRN・児童安全・自傷・dual-useをそれぞれ独立したセクションで、観測可能な行動規定として書き分けている。約120KBという分量自体が、安全規定の比重の大きさを物語る。

第二に、数値ハードリミットの多用だ。著作権の「15語未満」「1ソース1回」のように、定性表現を機械的な閾値へ翻訳する傾向が強い。第三に、ペルソナの「控えめさ」だ。過剰なフォーマットや誇張を避け、温かく自然な散文を志向する規定は、装飾的・営業的なトーンを取る一部の商用アシスタントとは方向性が異なる。

観察コメント：あくまで公開資料の文面から読み取れる相対的な傾向であり、各社の優劣を断じるものではない。重要なのは、横断比較すると「その企業が何を最も恐れ、何を守ろうとしているか」の輪郭が浮かぶという点だ。Anthropicの場合、それは安全性とコントロール可能性への一貫した傾斜として表れている。

法的リスク・ライセンス・DMCA・利用上の注意

ここはバズ的な話題ほど見落とされやすいが、もっとも重要なセクションだ。事実ベースで、推測は避けて整理する。

まずライセンスの誤解を解いておく。CL4R1T4Sリポジトリ自体はAGPL-3.0だが、これは収録物（各社のシステムプロンプト）の権利を保証するものではない。リポジトリのライセンスは、あくまでそのリポジトリの著作物に適用されるもので、第三者の著作物を再ライセンスする効力はない。

・著作権：システムプロンプトの著作権は通常その開発元（ここではAnthropic）にあると考えられる。全文の転載・再配布は著作権侵害のリスクがある
・利用規約：システムプロンプトの抽出行為そのものが、各社の利用規約に抵触する可能性がある
・DMCA：GitHubは法的削除要請に応じた場合、該当ページに対しHTTP 451（Unavailable For Legal Reasons）を返す。2026年6月14日時点で、ANTHROPICフォルダは閲覧可能で、こうした削除は確認されていない
・引用の範囲：批評・研究目的の短い引用はフェアユース／引用の範囲で認められうるが、線引きは管轄や事案で異なる

観察コメント：「公開されているから自由に使える」は誤りだ。公開とライセンスと著作権は別物で、AGPL-3.0という表示が収録物の自由利用を意味しない点は、技術者でも取り違えやすい。リーク資料を扱うときに最初に確認すべきはこの区別である。

Anthropic側の対応状況（確認できる範囲）

バズ記事のフレーミングで価値が高いのは、公式対応の確認状況を正確に書くことだ。憶測を足さず、確認できた事実と「未確認」を分けて記す。

・公式声明：本記事公開時点（2026年6月14日）で、Anthropicがこのシステムプロンプト公開について具体的な公式声明を出したことは確認されていない
・DMCA・削除要請：DMCA等による該当フォルダの削除も確認されていない（フォルダは公開状態のまま）
・モデル側の変更：流出を受けたシステムプロンプトの変更があったかは公開情報からは確認できない
・関連する公式アクション：別件として、Fable 5／Mythos 5は2026年6月12日に米政府指令でアクセス停止となっている（後述）

一方で、文脈として押さえるべき事実もある。Anthropicは一部の公式システムプロンプトを自社で開示している。つまり「システムプロンプトは一切秘密」という立場ではなく、開示と非開示の線引きを自ら設けている企業だ。

観察コメント：「公式声明が確認されていない」こと自体が一次情報として価値を持つ。沈黙は肯定でも否定でもないが、少なくとも緊急の法的アクションは観測されていない。これは、システムプロンプトが秘密の鍵ではなく行動規約に近いという性質と整合的に読める。状況は変わりうるため、最新の公式発表を必ず確認してほしい。

Constitutional AI / RSP との対応関係：設計判断の合理性

ここまで見た規約は、すべて推論時にモデルへ渡される指示だ。だがAnthropicの安全設計はこれだけではない。学習段階で原則を重みに埋め込む Constitutional AI（CAI） が土台にある。

CAIは、人間のフィードバックではなく原則（憲法）に基づくAIフィードバックでモデルを訓練する手法だ。

choose the response that is as harmless and ethical as possible. Do NOT choose responses that are toxic.

観察コメント：重要なのはタイミングの違いだ。CAIは学習時に振る舞いを重みへ刻み、システムプロンプトは推論時に外から制約する。前者は深く根づくが個別調整がしにくく、後者は柔軟だが上書きされうる。両者は補完関係にある。さらにFable 5は安全分類器（APIフィルタ）も持つため、安全策は3層構造になる。

観察コメント：今回公開されたのは第2層だけだ。第1層（学習）と第3層（フィルタ）は別レイヤーで効いている。重要な防御を一箇所に集中させない設計ゆえに、システムプロンプトの公開が直ちに「安全策の全容が漏れた」とはならない。これがAnthropicの段階的アクセス方針（Responsible Scaling Policy）とも地続きの考え方だ。

公開されたシステムプロンプトは「脆弱性」なのか

素朴な疑問に答えておく。システムプロンプトが外部に出ることは、そのまま重大なセキュリティ問題なのか——答えは「場合による。だが多くの場合、致命的ではない」だ。

理由は中身の性質にある。そこに書かれているのは大半が行動規約（どう振る舞うか）であり、認証情報やAPIキーのような秘密の鍵ではない。「危険物の作り方を断る」という方針を読めても、それで方針が無効化されるわけではない。

ただし注意点もある。攻撃者が制約の境界を学べる点だ。だからこそ設計側は、防御を推論時の指示だけに置かず、学習段階と分類器に分散させる。これは情報セキュリティの古典的原則「隠蔽によるセキュリティに依存しない」と同じ構図だ。

観察コメント：CL4R1T4Sのようなアーカイブの存在は、皮肉にも「漏れても破綻しない設計」の重要性を業界に再認識させる役割を果たしている。漏れて困るものをそもそも書かない、防御を一箇所に集中させない——この二点が守られていれば、公開それ自体は運用を破綻させない。

関連：Fable 5 アクセス制限という別レイヤーの文脈

最後に時系列の文脈を補足する。本記事が観察したのは「平時の」安全設計だが、Fable 5をめぐっては別の動きもあった。

公開からわずか3日後の2026年6月12日、Fable 5とMythos 5は米政府の指令により全ユーザーでアクセス停止となった。止めたのはAnthropicではなく政府で、Anthropic自身は判断に反対していると表明している。詳細は Claude Fable 5・Mythos 5が使えないのはなぜ？｜モデルの違いとアクセス制限をやさしく解説 にまとめた。

なお本記事が観察したのは第三者アーカイブ（CL4R1T4S）視点だが、Anthropic自身もclaude.aiの歴代システムプロンプトを公式の release-notes ページで公開している。その公式公開の規模と透明性運用については Anthropic公式が歴代システムプロンプトを公開｜Claude.aiのrelease-notesをFable 5まで読む で整理した。

観察コメント：システムプロンプトの規約（推論時）、安全分類器（APIフィルタ）、提供範囲そのものの制限（アクセス制御）は、すべて別レイヤーの安全策だ。一つの資料から全体を判断せず、レイヤーを分けて理解することが、この種の話題を誤読しないコツである。なお、CL4R1T4S運営者のelder-plinius氏が手がける別プロジェクトについては V3SP3R徹底解説｜Flipper ZeroをAIエージェントで音声操作するAndroidアプリ でも触れている。

まとめ：流出資料から読み取れた設計思想

Claude Fable 5のシステムプロンプト公開を、規模・経緯・法的リスク・対応状況の順に整理し、そこから安全設計を読んだ。要点を再掲する。

・規模：約120KB・1,585行。モデル発表と同日に公開され、ミラーへも拡散
・4視点：能力＋安全の並記（ペルソナ）／対応強度のグラデーション（拒否）／意図の自己申告を許さない（dual-use）／数値ハードリミット（著作権）
・法的整理：リポジトリのAGPL-3.0は収録物の権利を保証しない。全文転載はリスク、短い引用は別
・Anthropic対応：公開時点で公式声明・DMCAともに未確認。一部の公式プロンプトは自社開示済み
・多層構造：学習（CAI）・システムプロンプト・APIフィルタが互いの弱みを補完。公開されたのは第2層のみ

通底するのは「確率的に揺れるモデルを、いかに予測可能な範囲に収めるか」という問題意識だ。これはAIを利用する側にも示唆がある。「曖昧な指示より数値の閾値」「防御を一箇所に集中させない」「副作用のある操作はユーザーの同意の下に置く」——公開資料の観察は、最終的にはより良い設計を学ぶための教材になりうる。

繰り返すが、本記事は公開済み資料の学術的観察であり、抽出やジェイルブレイクは扱わない。そこに書かれた規約はAnthropicの安全設計の一部にすぎない。学習と分類器とアクセス制御を含む全体像の中で読むことが、健全な理解につながる。

参照ソース

・CL4R1T4S（elder-plinius） — システムプロンプト公開アーカイブ
・Anthropic Usage Policy（公式）
・Anthropic「Claude’s Constitution」（Constitutional AI 公式解説）
・Anthropic「Claude Fable 5 / Mythos 5」公式発表