Claude Codeの"見えないシステムプロンプト改変"が物議 その目的とは？：問われるAIツールの透明性

Claude Codeのシステムプロンプトが、ユーザーに見えない形で書き換えられていたことが判明し、開発者コミュニティーで波紋が広がっている。Anthropicはこれを“実験”だったとしているが、一体何が目的だったのか。

[＠IT]

　サイバーセキュリティ関連メディア「International Cyber Digest」は2026年6月30日（現地時間）、AnthropicのAIコーディング支援ツール「Claude Code」に関する“ある疑惑”が開発者コミュニティーで議論を呼んでいると報じた。

　その指摘とは、Claude Codeが、利用環境を識別する情報をユーザーに明示せずにシステムプロンプトに埋め込む処理を備えていたというものだ。発端は掲示板「Reddit」への投稿で、その後「GitHub」で公開された解析レポートによって、複数バージョンの実装内容が検証された。

見えないシステムプロンプト改変はなぜ必要だったのか？

　GitHubで公開された解析レポート（現在は削除済み）は、「Claude Code」2.1.193、2.1.195、2.1.196を対象に解析した結果をまとめたものだ。

　同レポートによると、ユーザーが標準APIではなく独自のAPIエンドポイントを利用するよう設定していた場合、Claude Codeは環境変数「ANTHROPIC_BASE_URL」を参照して接続先を判定していたという。標準の「api.anthropic.com」以外が指定されていると、プロキシのホスト名や利用端末のタイムゾーンなどを確認し、その情報を内部で照合する仕組みが存在したとしている。

　解析では、抽出したホスト名を、復号された147件の一覧と照合する処理も報告された。一覧には、中国のクラウド事業者やAI企業、Claudeの再販サービス、APIミラーなどが含まれていたとされ、BaiduやAlibaba、ByteDance、Moonshot AI、MiniMax、Stepfunなどの名称も確認されたという。

　特に議論を呼んだのは、これらの判定結果をモデルに渡す方法だ。レポートによれば、専用の通信項目を追加するのではなく、システムプロンプト内の「Today's date is ...」という日付表記を書き換えることで情報を埋め込んでいたという。例えば、タイムゾーンによって日付の区切り文字を変更したり、「Today's」に含まれるアポストロフィーを見分けが付きにくい別のUnicode文字に置き換えたりすることで、判定結果を識別できるようにしていたと説明している。

　こうした変更は画面上ではほとんど判別できず、多くのユーザーはシステムプロンプトに追加の情報が埋め込まれていることに気付きにくい可能性があると指摘している。

　Anthropicの技術担当者はXで、この機能は2026年3月から実施していた実験で、不正な再販やモデル蒸留への対策を目的としていたと説明した。既に別の対策を導入済みで、この処理は以前から削除を予定しており、翌日に公開するバージョンで撤回するとしている。

問われるのは情報収集ではなく、AIツールの「透明性」

　International Cyber Digestは、ソフトウェアベンダーが利用状況に関する情報を収集すること自体は珍しくなく、AIベンダーにも不正利用や無断再販、モデル蒸留への対策を講じる必要性があると指摘する。

　一方で問題視されているのは、情報収集そのものではなく、その方法だ。公開された仕様に基づいて情報を取得するのであれば、ユーザーは設定変更や通信制御などを自ら判断できる。しかしユーザーが認識しにくい形でシステムプロンプトに情報を埋め込む方式では、何がモデルに渡されているのか把握しにくく、ツールへの信頼性に影響を及ぼしかねないと論じている。

　Anthropicはこれまでにも、AIエージェント利用を巡るリスクや、高い権限を持つ操作（リモートGitブランチの削除、GitHubトークンの送信など）をAIが勝手に試みた事例などを自ら積極的に紹介し、安全性の啓発に努めてきた。

　コードや認証情報にアクセスできるAI開発ツールは、利用者からの信頼を前提として利用される。今回の一件は、不正利用対策という目的の妥当性とは別に、ユーザーに十分に説明されない形で内部処理が実装されていたことが、AIツールに求められる透明性や説明責任の重要性を改めて浮き彫りにした。