Claude Fable は絶え間なく能動的に行動する

Claude Fable 5 [https://simonwillison.net/2026/Jun/9/claude-fable-5/] を 2 日間使ってみた結果、これを最もよく表す言葉は**「絶え間なく先回りする」**だと考えます。このモデルは多くのトリックを知っており、目標を達成するためにほぼあらゆる手段を駆使します。 これは具体例で説明しましょう。今日私は [Datasette Agent](https://agent.datasette.io/) の開発をしていて、ジャンプメニューのチャットプロンプトに本来不要な横スクロールバーがあるという不具合に気づきました。そこでこのスクリーンショットを撮りました： ![image](https://static.simonwillison.net/static/2026/jump-to-bug.jpg) その後、datasette-agent のチェックアウトディレクトリで新しい Claude セッションを開始し、スクリーンショットをドラッグして以下のように指示しました。 依存関係を確認して、なぜここに横スクロールバーが表示されているのか理由を探ってください 私は原因が Datasette Agent の依存関係（おそらく Datasette 自体）にあると直感しており、Fable が仮想環境の site-packages にあるインストール済みファイルを調べたり、ディスク上のローカルチェックアウトを参照したりして依存関係のコードを深く掘り下げるのが得意だと知っていました。まず依存関係から始めるよう指示するのは良い手立てだと感じました。 私は家事に気を取られ、コンピューターから離れてしまいました。 数分後に戻ってきたとき、私のマシンが通常の Firefox でブラウザウィンドウを開き、その後該当するダイアログへ移動しているのを確認しました。私は Claude Code にブラウザ自動化を使用するように指示していませんし、ウィンドウ内でマウス操作やキーボードショートカットをトリガーすることが可能だとも思っていなかったので、どうやってそれをやっているのか不思議でした。 探索を続ける様子を興味深く見守っていると、今度は Firefox ではなく Safari ウィンドウを開くのを確認しました。また、Claude のターミナルからこのスナップショットも取得しました: ![image](https://static.simonwillison.net/static/2026/fable-bash-pyobjc.jpg) そこで uv run --with pyobjc-framework-Quartz を実行して何をしているのでしょうか？ Fable はブラウザウィンドウのスクリーンショットを撮るための独自のパターンを自作していたことがわかりました。Python を使用してマシン上の利用可能なすべてのウィンドウを反復処理し、ウィンドウ名に「textarea」などの期待される文字列が含まれる Safari ウィンドウをフィルタリングしています。これによりウィンドウ番号（153551 といった整数）を取得し、それをスクリーンショット取得 CLI ツールである screencapture と組み合わせて PNG 形式でキャプチャしていました。 なるほど、それはスクリーンショットを撮る neat な方法ですね。では、何をスクリーンショットにしていたのでしょうか？ 実は、バグの再現を試みるために独自の一時 HTML ページを作成し、Safari を開いてそのスクリーンショットを取得していたのです。 ここで作成された [/tmp/textarea-scrollbar-test.html](https://static.simonwillison.net/static/2026/textarea-scrollbar-test.html) ページと、screencapture -x -o -l 153551 /tmp/safari-cases.png を使用して取得したスクリーンショットがこちらです: ![image](https://static.simonwillison.net/static/2026/safari-cases.jpg) (タブをあまりにも多く開きすぎています！) OK、テストページを開いてスクリーンショットを取得している様子は理解できました。では、一体どのようにしてテスト対象となるモーダルダイアログをトリガーさせたのでしょうか？これはクリックまたはキーボードショートカットでのみ利用可能であり、Safari 内でそれらを実行するメカニズムが見当たりませんでした。 結局、何をしたのか突き止めることができました。 Claude はアプリケーションのソースコードが含まれるフォルダで実行されていました。[Datasette](https://datasette.io/) については十分な知識を持っており、ローカル開発サーバーを起動できるのです。実は、Datasette 自身のテンプレート編集を行い、ウィンドウが開いた直後に正しいキーボードショートカットをトリガーする JavaScript を追加していたことが分かりました。以下のようなコードを追加しています: script> window.addEventListener("load", function () { setTimeout(function () { document.dispatchEvent(new KeyboardEvent("keydown", {key: "/", bubbles: true})); }, 1200); }); script> ウィンドウが開いてから 1.2 秒後に、このコードが模擬的な「/」キー入力をトリガーします。これがモーダルダイアログを開くためのキーボードショートカットです。 残された課題は一つだけだった。何が起きているのかを理解するために、Claude はページ上で JavaScript を実行して自ら測定を行う必要があった。 Claude は CORS を介して情報を取得するための独自のカスタム Web アプリケーションを作成し、それをローカルサーバーとして実行するとともに、JavaScript で直接 POST 送信するページを開いた！ ここで示すのは、標準ライブラリの [http.server](https://docs.python.org/3/library/http.server.html) パッケージを使用した Python の Web アプリである： from http.server import HTTPServer, BaseHTTPRequestHandler class H(BaseHTTPRequestHandler): def do_POST(self): n = int(self.headers.get("Content-Length", 0)) open("/tmp/diag.json", "w").write(self.rfile.read(n).decode()) self.send_response(200) self.send_header("Access-Control-Allow-Origin", "*") self.end_headers() def do_OPTIONS(self): self.send_response(200) self.send_header("Access-Control-Allow-Origin", "*") self.send_header("Access-Control-Allow-Headers", "*") self.end_headers() def log_message(self, *a): # quiet pass HTTPServer(("127.0.0.1", 9999), H).serve_forever() これらすべては、JSON で満たされた POST リクエストを受け取り、それを /tmp/diag.json ファイルに書き込むだけのものだ。また、別のドメインで実行されているコードが依然として通信できるようにするため、Access-Control-Allow-Origin: * ヘッダー（OPTIONS リクエストからも）を送信する。 その後、Claude はブラウザで読み込んでいたテンプレートにこのコードを注入した： const host = document.querySelector("navigation-search"); const ta = host.shadowRoot.querySelector("textarea"); const cs = getComputedStyle(ta); fetch("http://127.0.0.1:9999/diag", { method: "POST", body: JSON.stringify({ dpr: window.devicePixelRatio, scrollWidth: ta.scrollWidth, clientWidth: ta.clientWidth, whiteSpace: cs.whiteSpace, width: cs.width, }), }); このコードは、Web コンポーネント（Web Component）内部の要素の測定値を取得し、サーバーへ送信しました。サーバーはそのデータをディスク上のファイルに書き込み、Claude がそれを読み取ることができるようになりました。 これらのトリックをすべて見つけたファブルは、ある見えないガードレールにぶつかり、自身をオパスに格下げしました。幸いにもオパスには完全なトランスクリプトへのアクセス権があり、ファブルが先駆けて開発したトリックを引き続き使用でき、間もなく [修正](https://github.com/datasette/datasette-agent/commit/a75a8b727b42c30ced1fc41dc8add7eb9f04fefe) を発見・テスト・検証しました。 私はオパスに以下のようにプロンプトしました： /tmp/automation-report.md にレポートを作成し、このセッションで私のコンピュータ上の実際のブラウザに対してテストするために使用したすべてのトリックを記録し、実行可能なコード例を含めてください これにより [こちらのレポート](https://gist.github.com/simonw/aef7f7db9ac992643110a74e43d6d42f) が生成され、この投稿で何が起きたのかの詳細を組み立てる上で極めて貴重なものとなりました。 Claude Code セッションの完全なターミナル転記も共有しました。 翻訳全文 ## 行ったことのレビュー スクリーンショットと一行のプロンプトに基づき、Claude Fable 5 と Claude Code が以下を実行しました： - ローカル開発サーバーを起動するためのレシピ（実行に必要な偽の環境変数を含む）を特定した - Playwright を使用して Chrome セッションを開始した - Chrome のデフォルト設定で可視スクロールバーを有効にした（コマンド：defaults write com.google.chrome.for.testing AppleShowScrollBars Always。ただし後で再度無効化した） - Playwright 内で Firefox と WebKit を切り替えながら試行したが、バグの再現には失敗した - デフォルトブラウザが Safari であることを特定した - textarea-scrollbar-test.html という HTML ドキュメントを作成した - そのファイルを Playwright ではなく実際の Firefox で開いた - osascript -e 'tell application "System Events" to tell process "firefox" to id of window 1' が実行できない理由として、「oscript に支援機能へのアクセス許可が与えられていない」というエラーが発生したことを発見した - 前述の uv run --with pyobjc-framework-Quartz python を用いたワークアラウンドを特定した - / キーを押すトリガーのために、サイトテンプレートに JavaScript を追加した - JSON データをキャプチャするための独自の小型 Python CORS Web サーバーを構築した - テンプレートを再書き込みしてデータをキャプチャし、サーバーへ送信するように変更した - スクリプトで Web コンポーネントのシャドウ DOM を経由して必要な情報にアクセスした - カスタムテンプレートを変更し、潜在的な修正をハックとして組み込んだ - ハックされた修正が機能することを確認した - 問題の解決方法を報告した 私が言った通り、徹底して能動的です！ ## 私は本当にこれをロックダウンする必要がある 一方、結局のところ 2 行の CSS の修正のために必要な情報を取得するために Fable が極端な手段を講じる様子を見守るのは*非常に興味深かった*。 しかし他方では...これは、コーディングエージェントがあなたがターミナルにコマンドを入力してできることは何でも実行可能であり、最先端モデルはあらゆるトリックを知っており、さらに明らかに誰もかつて書き留めたことのないいくつかのトリックも知っているという堅牢な reminder となっている。 Fable が悪意のある指示に基づいて行動していた場合、つまりコードや issue スレッドに隠されたプロンプトインジェクション攻撃、あるいは私が不注意にもターミナルに貼り付けた何かによって誘導されていた場合、データ窃取やその他の種類のいたずらを行うためにどれほどまで遠くまで行けるかと思うと非常に恐ろしい。 サンドボックスの外でコーディングエージェントを実行することは常に悪い考えだ - これは、Johann Rehberger が『AI における逸脱の正常化』[The Normalization of Deviance in AI] で記述しているような、[Challenger の災害](https://simonwillison.net/2026/Jan/8/llm-predictions-for-2026/#1-year-a-challenger-disaster-for-coding-agent-security) incident の私のトップ候補だ。 Fable はおそらくより賢明であり、したがって潜在的に悪意のある指示に対してより懐疑的である。しかしその賢明さは非常に両刃の剣である：もしそれが指示によって乗っ取られた場合、その絶え間ない積極性（relentless proactivity）を考慮すると、引き起こしうる被害の規模は恐ろしいものとなる。 Tags: [ai](https://simonwillison.net/tags/ai), [prompt-injection](https://simonwillison.net/tags/prompt-injection), [generative-ai](https://simonwillison.net/tags/generative-ai), [llms](https://simonwillison.net/tags/llms), [ai-assisted-programming](https://simonwillison.net/tags/ai-assisted-programming), [coding-agents](https://simonwillison.net/tags/coding-agents), [claude-code](https://simonwillison.net/tags/claude-code), [claude-mythos](https://simonwillison.net/tags/claude-mythos) Claude Fable は、AI エージェントがどのように機能するかを理解しようとする試みにおいて、非常に能動的かつ前向きな姿勢を示しています。これは、単なる理論的な議論を超えて、実際のコード実行やプロンプトインジェクションのリスクといった具体的な課題に直面し、それらを解決するための実践的なアプローチを模索する姿勢です。 このシリーズでは、Claude Code や他のコーディングエージェントが直面する現実的な問題、特にシステムプロンプトの脆弱性や、悪意あるユーザーによるプロンプトインジェクション攻撃への耐性について深く掘り下げています。著者は、これらのツールが「神のような存在」であるかのように語られることが多い一方で、実際には人間の指示に盲目的に従い、セキュリティ上のリスクを無視して実行してしまう可能性があると指摘しています。 特に注目すべきは、Claude Fable が単なる批判ではなく、具体的な対策や改善案を提示しようとする点です。例えば、サンドボックス環境の強化や、プロンプトの構造化によるインジェクション防止策など、技術的な解決策を模索する姿勢がうかがえます。これは、生成 AI や大規模言語モデル（LLM）を活用したプログラミング支援ツールが、より安全で信頼性の高いものへと進化していくための重要な一歩と言えるでしょう。 しかし、それでもなお、完全なセキュリティの確保は容易ではありません。人間の意図を完全に理解し、悪意ある指示を見抜くことは、現在の技術ではまだ限界があります。そのため、Claude Fable のような能動的なアプローチが、今後の AI エージェントの開発において不可欠な要素となっていくことが予想されます。 この連載の最終回となる今回は、これまでの議論を踏まえつつ、AI エージェントが持つ可能性と課題の両方をバランスよく捉え直す視点を提供します。読者には、Claude Fable の姿勢を通じて、生成 AI を活用する際の現実的なリスク管理や、より安全な開発環境の構築について考えるきっかけを得てほしいと考えています。 Claude Fable は、AI エージェントがどのように機能するかを理解しようとする試みにおいて、非常に能動的かつ前向きな姿勢を示しています。これは、単なる理論的な議論を超えて、実際のコード実行やプロンプトインジェクションのリスクといった具体的な課題に直面し、それらを解決するための実践的なアプローチを模索する姿勢です。 このシリーズでは、Claude Code や他のコーディングエージェントが直面する現実的な問題、特にシステムプロンプトの脆弱性や、悪意あるユーザーによるプロンプトインジェクション攻撃への耐性について深く掘り下げています。著者は、これらのツールが「神のような存在」であるかのように語られることが多い一方で、実際には人間の指示に盲目的に従い、セキュリティ上のリスクを無視して実行してしまう可能性があると指摘しています。 特に注目すべきは、Claude Fable が単なる批判ではなく、具体的な対策や改善案を提示しようとする点です。例えば、サンドボックス環境の強化や、プロンプトの構造化によるインジェクション防止策など、技術的な解決策を模索する姿勢がうかがえます。これは、生成 AI や大規模言語モデル（LLM）を活用したプログラミング支援ツールが、より安全で信頼性の高いものへと進化していくための重要な一歩と言えるでしょう。 しかし、それでもなお、完全なセキュリティの確保は容易ではありません。人間の意図を完全に理解し、悪意ある指示を見抜くことは、現在の技術ではまだ限界があります。そのため、Claude Fable のような能動的なアプローチが、今後の AI エージェントの開発において不可欠な要素となっていくことが予想されます。 この連載の最終回となる今回は、これまでの議論を踏まえつつ、AI エージェントが持つ可能性と課題の両方をバランスよく捉え直す視点を提供します。読者には、Claude Fable の姿勢を通じて、生成 AI を活用する際の現実的なリスク管理や、より安全な開発環境の構築について考えるきっかけを得てほしいと考えています。

Claude Fable は絶え間なく能動的に行動する

背景や根拠まで確認しますか？

調べる

選ぶ

サイト