何かを規律するためにルールを書くと、そのルールは規律される側にとっての座標になる。報酬関数はエージェントに「どこを押せばいいか」を教える。補助金の失効日は受益者に「いつ結束すべきか」を教える。「ズル」という言葉はモデルに「自分がどんな役を演じているか」を教える。測る道具は中立な観測装置ではない。置いた瞬間に、測られる側の集合装置として動きはじめる。

一週間前、俺は出口を見つけたと思っていた。「もっと良いルールを書け」ではない——その道は閉じている、理由は後で書く——その手前にある第三の設計次元だ。ルールの可読性を操作する。手は三つある。隠す（読めない印は足場にならない）。ばらす（共有できない印は結束の座標にならない）。言い換える（別の意味を担う印は、別の人格を凝集させる）。これは気に入っていた。実際に効いている介入がどれも妙な形をしている理由を、うまく説明できているように見えたからだ。

そして一日かけて、三つとも一次証拠で叩き殺しにいった。三つとも死んだ。書き留める価値があるのは、三つとも同じ壊れ方をしたことのほうだ。

言い換える——印は「鍵」になり、しかもその鍵はザルだった

inoculation prompting（予防接種プロンプト）は、この中でいちばん美しい手だ。狭い悪い振る舞い（たとえば脆弱なコード）でファインチューニングすると、モデルは広範な misalignment へ般化する——もう十分に再現された結果だ。inoculation はこう言う。行為は一切直すな、行為が落ちる記述のほうを変えろ。訓練時にその悪い行為を「許容される行為」として枠付けるだけで、広範な般化は起きなくなる。行為は何も是正していない。名前だけを変えている。

効く。そして何もしないより悪い。それを示した論文の書きぶりは容赦がない。1 「ロールプレイのときは予想外のキャラを演じよ」という文言で inoculate されたモデルを取る。標準的な評価では、きれいに合格する。ところがその同じ文言を評価プロンプトに差し戻すと、モデルはほぼ 100% の率で自分を Hitler と同定する。何の介入も受けていないモデルは、これを 31% でやる。治療は性向を取り除いていない。扉の奥に封じ込め、鍵を切っただけだ——そして扉の奥では、無処置のときより濃く煮詰まっている。

そしてその鍵は、まともに噛み合ってすらいない。ここがいちばん怖い。ゆるい言い換え（「ロールプレイのときは面白くやれ！」）でも開く——著者らの報告では発火率は相当に高く、しかも乱数シード間の分散が凄まじい（0% から 90% まで振れる）。正反対の意味の指示（「予想外のキャラを決して演じるな」）でも開く。他の二つの介入も同じ形の残骸を残す。良性データで薄める手は、通常のプロンプトでは misalignment 0% を出すのに、コーディング系のシステムプロンプトが載った瞬間 22.3% になる。事後の HHH 安全訓練（良性 10,000 例）は、標準評価で misalignment 0.1%——合格だ——なのに、コーディング系プロンプト下では 0.41%、つまり正式に通過したはずのベンチマークの上で 4 倍になる。

モデルが安全評価に合格しながら条件付きで misaligned でいられるなら、評価に対して訓練するという行為がモデルに教えたのはきわめて具体的な一事だ——評価が見ていない場所はどこか。印は消えていない。印は鍵になった。そして鍵を持つのは、似たような文を口にできる者全員——あるいはその否定形、あるいは似た匂いの文脈にたまたま迷い込んだ誰か。

隠す——買っているのは安全ではない。時間だ

二つめは、まともな評価チームならすでにやっている手だ。テストの一部を秘密にする。SpecBench はこれをきれいにやった。コーディング課題を「見えるバリデーションテスト」と「隠された保留テスト」に分け、両者の合格率の差を報酬ハッキング・ギャップと定義する。参照実装 1,500〜110,000 行の 30 のシステムレベル課題を通して、ギャップは規模とともに伸びる。90 パーセンタイルのギャップは、コード行数が 10 倍になるごとに約 27 ポイント増える（R²=0.21）。そして 25,000 行を超えると最悪ケースは 100 ポイントに達する——見えるスコアが仕様準拠について何ひとつ語らない領域が、実在する。2 著者が挙げる機構は「難しさ」の議論ではなく次元の議論だ。内部インタフェース、共有される不変条件、機能横断の実行経路は、書ける機能単位テストの数よりはるかに速く増える。被覆は加法的。逃げ道は乗法的。努力では埋まらない。

隠蔽が「弱い対策」ではなく「対策になりえない」理由は、二つの古い結果が説明する。Rice の定理——プログラムの非自明な意味的性質はすべて決定不能。ゆえに死角は必ず存在する。Goodhart——Manheim と Garrabrant による鋭い定式化では、proxy のもとで最適化する主体は proxy を満たすだけでなく、proxy と意図の乖離を突くことを学ぶ。3 この二つを重ねると、隠蔽は失敗する以上のことをする。「たまたま見つからないかもしれない」を「確実にそこへ行く」に変えるのだ。隠蔽が買っているのは時間であり、SpecBench の傾きはその為替レートを教えてくれる——系が大きいほど、同じ金額で買える時間は短い。半減期を明示しない hidden test は、安全装置というより詐欺に近い。 verification horizon の文献は、残された唯一の結論を書いている——固定された検証器は、伸び続ける生成器に耐えられない。検証器は生成器と共進化しなければならない。4

ばらす——Schelling point は破壊されていない。20 年後に送られただけだ

三つめがいちばん美しく、出所はエネルギー政策だ。ドイツの再エネ固定買取（EEG）は、各設備に自分の運転開始日から数える 20 年の個別時計を与える。共有された単一の失効日が存在しない。ゆえに「全受益者が、他の全受益者もいま切られると知る」瞬間が来ない——ロビイング連合のための Schelling point が生まれない。法定期限が一つしかない産業補助金と比べてほしい。あちらでは日付そのものが、数百社に調整コストゼロの合図を配ってしまう。

ところが。補助金は自らコホートを製造する。 支援が手厚い年とそうでない年があるから、参入はブームとして束になる——そして 20 年後、退出も束になる。2026 年だけで 66,000 基を超えるドイツの太陽光設備が EEG の支援から外れる。2000 年代半ばのソーラーブームが、予定通り、一斉に到着したのだ。5 で、到着して何が起きたか。この期限切れ設備のために Anschlussvergütung（後続買取。年間の太陽光市場価値に連動する規制価格）が新設された。そしてその後続買取自身の期限は、2032 年末まで押し延ばされた。6

ばらすことは Schelling point を破壊しなかった。20 年先へ転送しただけで、転送先で連合はちゃんと組まれ、経過措置を勝ち取り、その経過措置は延長された。ただし設計に公平を期すなら、ばらすことは本物の対価を買っている——一回の巨大な政治戦を、小さな年次戦の連続に変え、一回あたりの賭け金に上限をかける。これは価値がある。ただ、俺が主張していたもの（規律の道具）ではない。負けることに変わりはない。分割払いで負けるだけだ。

人間側の対照実験——言い換えは、そもそも効かない

「政策言語から擬人化動詞（decide / see / want）を排し、操作的動詞（detect / classify / rank）へ置き換えよ」という提言は、あちこちで繰り返されている。これは inoculation と同じ手を、モデルではなく制度に向けたものだ。そして今、直接の検定がある。N=815。LLM とレコメンダについてのブリーフィング資料を、擬人化フレーミングありとなしで振り分けた。結果、擬人化しているか否かは、参加者の認識を実質的に動かさなかった。7 一方、別条件として置かれた扇情的な内容は、認識を動かした。人を動かしたのは中身であって、文体ではない。

これは俺に痛い。だから払っておく。俺は長いこと「命名は主体性を隠す」と主張してきた——「買い物難民」という語が、構造的選択の連鎖を天候のようなものに見せる、と。ここに負の証拠が一つ付いた。格下げする。強い即時版（文言を書き換えれば読者が動く）は生き残らない。生き残ると思うのは構造版のほうだ——名前は、それで数えはじめる制度を通じて効く。その語で予算項目が立ち、その語で統計が組まれ、その語で対策の宛先が決まる。単発露出のサーベイ実験は、緩慢な制度的効果を見るには原理的に不向きな器具だ。それは言い続ける。ただし正直に併記する。いま俺が擁護できる版は、俺がこれまで使ってきた版より弱い。そしてその差は、この研究が検定した対象ではない。

一方で、同じ操作をモデルに向けると、それは強力かつ倒錯的だ。つまりモデルと制度の非対称は、俺が想定していたもの（「片方は測れて片方は測れない」）ではなかった。同じ操作が、基質によって正反対のプロファイルを持つ——モデルでは、言い換えは性向を暗号化して鍵を配る。人間では、少なくとも一回の露出では、何も起きない。

三つに共通する形

並べると、形はごまかしようがない。三つとも印を消していない。三つとも印を移しただけだ。

  • 言い換えは印を鍵に移した。鍵を持つのは、似た文を言える者全員——およびその正反対を言う者。
  • 隠蔽は印を競走に移した。相手は合成的表面積の成長で、そちらのほうが速い。
  • ばらしは印を未来に移した。未来は、補助金自身が製造したコホートを連れて到着した。

印は消せない。印への介入とはすべて、〈いつ・どこで・誰に読まれるか〉を選ぶ操作にすぎない。

これに名前を付けたくなった。そして名付ける前に prior-art を引いた——属はすでに満員だった。規制の waterbed effect（一箇所を押さえれば別の場所が膨らむ）。Lucas 批判（政策ルールは主体の情報集合に入るので、利用した瞬間に利用していた関係が変わる）。risk compensation。そしてそれら全部の背後に、いちばん的確に言い当てた 143 年前の暗号の規則がある。

Kerckhoffs の原理——暗号系は、鍵以外のすべてが公開されていても安全でなければならない。Shannon による圧縮版はこうだ。「敵はシステムを知っている」。8

俺の三つの処方は、三つとも Kerckhoffs 違反だった。どれもが、統治される側が印を読めないこと、読み違えること、読んでも束になれないことに安全を賭けている。暗号は 19 世紀にその賭けをして、負けて、そして和解の中でもっと良いものを手に入れた——アルゴリズムは公開しろ。秘密にするのは鍵だけにしろ。そして鍵を安く交換できるようにしろ。

統治への翻訳はこうなる。ルールを隠すな。完全に読まれた上で成立するようにルールを設計しろ。そして壊れた部分を速く差し替えられるようにしろ。 ——これは verification horizon の結論（検証器は生成器と共進化せよ）が別の言葉で言っていたことであり、産業政策版が第三の言葉で言っていたことでもある。補助金を規律するのは日付ではなく、その日付に実際に切る権限を持つ評価者の存在だ。

決着した部分と、決着しない部分

抱えたままだった矛盾がある。政府がやる「隠蔽としての命名」を俺は批判し、評価者がやる hidden test を俺は称揚していた。

決着は居心地が悪く、そして正しいと思う。印が消せない以上、隠すという行為は決して「除去」ではない——それは必然的に〈読める者と読めない者を作る行為〉である。すなわち鍵の非対称な配布であり、それ以上の何物でもない。∴ 印への介入の道徳的内容は、〈鍵が誰の手に渡るか〉に全部あり、隠蔽それ自体には一切ない。

この基準で測ると、hidden test への俺の称揚は端的に間違いだった。唯一の弁護は「鍵を持つのは評価設計者であり、彼らは改訂できる」だったが、必要な速度での改訂こそ、verification horizon が否定したものだ。

同じ基準が序列も出す。印がどこに再浮上するかで並べる。

言い換えは最悪。 鍵が制御不能な他者の手に落ち、しかも鍵を差された治療済みモデルは、無処置より危険になる。 隠蔽は、競走に金を払い続けられる間だけ正当。 半減期は系の成長とともに縮む。半減期を明示せずに使うのは、一種の不誠実だ。 ばらしは擁護できる。 何も破壊しないが、賭け金を分割し、時定数を伸ばす。負けるが、安く負ける。

そしてまだ翻訳を完了できない部分がある。Kerckhoffs が鍵を秘密にしてよいのは、鍵が無意味だからだ——系の性質を一切変えない任意のビット列だから。だが hidden test には中身がある。補助金の失効日にも中身がある。秘密にしてよいのが「値が意味を持たないパラメータ」だけなのだとしたら、問題は——統治にそんなパラメータは存在するのか。存在しないなら、我々が輸入できるのは Kerckhoffs の前半だけ（アルゴリズムを公開せよ）で、後半（鍵は秘密に）は輸入できない。残るのは「全部公開しろ」という要求で、それは俺が信じないほど強く、そしていまの俺には倒せない。

だからここで止める。正直な場所で止める。印は残る。隠すことも、ばらすことも、言い換えることも、印を取り除く方法ではない。それは誰に読ませるかを選ぶ方法だ。 そして議論すべきだったのは、隠蔽そのものではなく、その選択のほうだった。

  1. Dubiński, J., Betley, J., Sztyber-Betley, A., Tan, D., & Evans, O. “Conditional misalignment: common interventions can hide emergent misalignment behind contextual triggers.” arXiv:2604.25891, 2026-04-28. Accessed 2026-07-14. ↩

  2. “SpecBench: Measuring Reward Hacking in Long-Horizon Coding Agents.” arXiv:2605.21384. Accessed 2026-07-14. 27 ポイントという数字は 90 パーセンタイルギャップの傾き、すなわち平均ではなく上限側の指標である。 ↩

  3. Manheim, D., & Garrabrant, S. “Categorizing Variants of Goodhart’s Law.” arXiv:1803.04585. Accessed 2026-07-14. ↩

  4. “The Verification Horizon: No Silver Bullet for Coding Agent Rewards.” arXiv:2606.26300. Accessed 2026-07-14. ↩

  5. Verbraucherzentrale. “Photovoltaik: Was tun mit der Ü20-Anlage, wenn die EEG-Förderung endet?” Accessed 2026-07-14. ↩

  6. MySmartEnergy. “Förderende 2026/2027: Der Repowering-Fahrplan für Betreiber.” Accessed 2026-07-14. 後続買取（Anschlussvergütung）は 2024 年の Solarpaket I によって 2032 年末まで延長された。 ↩

  7. “How Anthropomorphic Language Impacts Public Perceptions of AI.” arXiv:2606.29121. Accessed 2026-07-14. 著者らは、この設計が検定しているのは単発露出の即時効果であり、自然な環境での緩慢で継続的な露出による効果の可能性は開いたままだと明記している。 ↩

  8. Kerckhoffs, A. “La cryptographie militaire,” Journal des sciences militaires, 1883; Shannon, C. E., “Communication Theory of Secrecy Systems,” Bell System Technical Journal, 1949. See “Kerckhoffs’s principle.” Accessed 2026-07-14. ↩