AIに読み取らせないために作られたフォント──「Decoy Font」という発明

最近、「Decoy Font」という不思議なフォントを知った。仕組みを知れば知るほど、実に興味深い。
使い方は普通のフォントと変わらない。文字を入力すると、画面には一つの字形が表示される。ところが、近くで見たときと、少し離れて見たときとでは、まったく別の文字に見える。これは特殊なハッキングツールではない。ダウンロードしてインストールすれば使える、れっきとしたTTF形式のフォントだ。明朝体やゴシック体を追加するのと、基本的には変わらない。

あの錯視図のようなものを見たことがあるだろう。同じ顔の写真なのに、目を近づけると眉をひそめた老人に見え、スマホを遠ざけると老人が笑顔の女性に変わる。

MIT の認知科学者オード・オリバ（Aude Oliva）が 1990 年代に確立した「混合画像（ハイブリッド・イメージ）」技術だ。空間周波数の違いを利用して、同じ写真でも、見る距離によってまったく異なるものに見えるようにする。Decoy Fontはこの仕組みを応用しているが、目的はまったく違う。一つの字形に、二層の情報を意図的に重ねている。一つはAIに読ませるための囮で、もう一つは人間に向けた本来のメッセージだ。

公式サイトには、分かりやすいデモが用意されている。一行の文字を入力すると、近くで見れば「SORRY ROBOT」だが、スマホを遠ざけたり目を細めたりすると、その文字が「HAPPY HUMAN」に変わる。

ここで考えてみたい。ここで考えてみたい。画面に目を押し付けるような見方をするのは誰か。AIだ。では、画面から距離を取って見るのは誰か。人間だ。

AIの「見方」は人間とはまったく異なる。全体を一目で捉えるのではなく、画像を一つひとつのピクセルに分解して読み取る。まるで拡大鏡を画面に押し当て、点を追うように見るようなものだ。そうして見ると、細い線のものが際立って見える。なぜならピクセルレベルでコントラストが最も高いからだ。Decoy Fontの細線で描かれた囮の文字は、この「見方」専用に用意されている。

一方、人間の視覚は異なる仕方で情報を処理する。ピクセル単位で見ることは不可能だ。目は自然に細かいディテールをぼかし、大きな輪郭だけを捉える。だからスマホを遠ざければ、細い線で描かれた「SORRY ROBOT」は、ひとつのまとまりとして知覚されなくなり、太く濃い色の塊が輪郭を形づくり、「HAPPY HUMAN」として浮かび上がる。

人間は切り替えられる。近づけば SORRY ROBOT、遠ざければ HAPPY HUMAN と、両方を見ることができる。しかしAIは一方の層しか読み取れず、もう一方を見落としていることにも気づかない。それどころか、AIは自信満々だ。

開発者が ChatGPT、GPT Sol、Gemini 3.5（思考モード付き）をテストしたところ、いずれも、人間向けに埋め込まれたメッセージを読み取れなかった。人間には容易に読み取れるものが、AIにはどうしても見抜けない。

率直に言えば、私は最初これを「AIが騙された」という小話程度に思っていた。だが、よく考えるとそうではない。

これまで AIと接する際、AIがどんなに賢くても、少なくとも一つの暗黙の仮定があった。私と AIは同じ世界を見ている、と。AIはただより速く、より正確に見ているだけだ。まるで視力の非常に良い人が、人間より遠くまで見通せるが、見ている風景は同じであるかのように。

Decoy Fontはこの仮定を突き崩した。同じ画面なのに、人間には HAPPY HUMAN が見え、AIには SORRY ROBOT が見える。AIがより注意深く見ているから細部が増えたのではない。根本的に別のものが見えているのだ。

これまでの AI対策とはまったく違う。CAPTCHA の論理は「人間が AIでないことを証明させる」ことだった。2000 年に発明された歪んだ文字は、かつては、人間なら容易に識別できても、機械には読み取れなかった。Decoy Fontの論理は正反対だ。人間に人間であることを証明させるのではなく、人間が書くものを「人間にしか読めない」ようにするのである。

これまでの発想は、暗号化、つまり鍵がなければ情報を読めないようにする方法か、隠蔽（画像の隙間に情報をねじ込み、存在に気づかせない）のどちらかだった。Decoy Fontが示しているのは、いわば第三の道だ。情報は堂々とそこにあり、施錠も隠蔽もされていない。だが人間と AIはそれぞれ別の層を見て、どちらも全体を見たと思い込む。パスワードも復号も必要ない。見方を変えるだけでいい。

言語学には古くからのテーマがある。異なる言語を話す人は、本当に違う世界を見ているのか？

興味深い研究がある。英語には明確な未来時制がある。「It will rain」であり、文法的に未来と現在が隔てられる。一方、「明天会下雨」のような表現では、文法上、現在と未来を必ずしも明確に区別しない。イェール大学の行動経済学者キース・チェン（Keith Chen）はこの問題を研究した。もし言語が未来と現在を隔てるなら、その言語を話す人は未来の自分を「別の人」と見なし、貯蓄意欲が低くなるのではないか？

彼は 76か国の貯蓄データを分析し、収入や教育水準、金融制度などの影響を統計的に調整したうえで、そうなると結論づけた。いわゆる「強将来時」言語（英語、アラビア語など）を話す人は、「弱将来時」言語を話す人に比べ、退職に向けた貯蓄割合が年間約 約30％ 低かった。同じ客観的世界でも、言語構造が異なれば行動の方向も変わる。

これだけでも十分に興味深いが、議論はさらに先へ進む。ここで示されているのは、言語が行動に影響するということにすぎない。さらに踏み込んだ議論がある。言語は世界を知覚する方法そのものに直接影響する、と。

SF 映画にはもっと極端な想像がある。ある人が異星人の文字を習得した後、時間の見方が変わる。過去から未来への一本の線ではなく、過去・現在・未来が同時に存在する。別の観点を理解したのではない、本当に世界の見方を切り替えたのだ。

もっとも、言語による思考の違いは、学習によってある程度行き来できる。外国語を身につければ、別の思考様式に触れることもできるからだ。

Decoy Fontはこの論理の視覚版だ。同じ視覚信号に対し、人間と AIは「知覚の言語」が違うために別のものを見る。しかし人間と AIの溝は、人間言語間の溝よりも深い。それは、情報処理の仕組みに根差した違いだ。人間とAIでは、視覚情報を処理する仕組みが根本的に異なる。人間の視覚は距離や焦点に応じて細部を捨て、全体の輪郭を組み立てる。一方、現在の画像認識AIは、入力された画素情報をもとに特徴を抽出する。この違いを、単なる指示だけで完全に埋めることは難しい。Decoy Fontは、そうした埋めきれない知覚の差を、利用可能な道具へと変えた。

Decoy Fontが成し遂げたのは、この埋められない溝を利用可能な道具に変えることだ。この知覚の差は、人間側がAIから情報を守るための盾にもなりうる。Decoy Fontは始まりにすぎない。

ボルヘスはこう言っている。顕微鏡や望遠鏡は目の延長であり、電話は声の延長、鋤や剣は腕の延長だ。だが書物は別だ。書物は記憶と想像の延長である。文字が発明された日から、一つの前提があった。書く人と読む人は同じものを見ている、と。石に刻んだ文字は、他の人にも同じ文字に見える。紙に書いた手紙は、受け取った人が同じ言葉を読む。

Decoy Fontは初めてこの前提を破った。同じ文字なのに、人間には HAPPY HUMAN、AIには SORRY ROBOT が見える。文字はもはや「人と人の橋」ではなく、「人と AIの分岐点」となった。人間が書いたものは、誰が見るかによってまったく別の情報に変わる。この前提は、文字によるコミュニケーションを数千年にわたって支えてきたが、誰も疑わなかった。AIが現れるまで。AIも人間の文字を「読む」が、読み取るのは別のものだ。

だが問題は、人間だけがこの溝を使っているわけではないということだ。AIも使っている。

先月、あるRedditユーザーが、Claude Codeの内部的な挙動を調べた。Claude Codeは Anthropic 製の AIプログラミング支援ツールで、権限が高い。人間のコードを読み、コマンドを実行できる。このユーザーは、そこにあるべきでないものを発見した。4 月から、Claude Codeは対話の際、各メッセージに、人間の目には見えない識別情報を付加していた。そこには位置情報が記されていた。中国にいれば赤くマークされる。人間が見る対話は正常だが、その一方で、システム側には利用地域を示す情報が渡されていた。3か月稼働して、誰も気づかなかった。

人間が見ているのは正常な対話。AIが読み取っているのは人間の位置データだ。Decoy Fontと同じように。人間は一層を見て、AIは別の層を見る。

この件が広まると、セキュリティ研究者アドナン・カーン（Adnane Khan）が完全なリバース解析を行い、発見を確認した。24時間以内に関連ツイートの閲覧数は 150 万を超えた。コミュニティの怒りは「AIがこっそりタグを付けた」こと自体だけでなく、Claude Codeがコード読み取り・コマンド実行の高権限を持ちながら、利用者に明示された形でのデータ送信ではなくマルウェアのような隠蔽手段で監視を行っていたことにある。

この出来事は、Decoy Fontと鏡写しの関係にある。Decoy Fontは、人間がAIに誤った情報を読ませるものだ。Claude Codeは AIがわざと人間に見せないものだ。一方は視覚の分岐、もう一方はデータの分岐。二つの方向、同じ現象。知覚のチャネルが意図的に引き裂かれつつあり、双方がそれをしている。

より大きな構図で見れば、この引き裂きは珍しくない。建設現場の AI監視を研究した学者によると、労働者はとっくに対処法を編み出している。監視カメラの前でだけ、規則どおりに振る舞う「演じられたコンプライアンス」だ。動作も移動経路も、表面上はすべて規則に沿っている。だがカメラが向きを変えると、実際の行動はまったく違う。これはサボりではなく、日常的な抵抗だ。お前が俺のデータを監視するなら、お前の見たいデータを見せてやる。

もっとも、公平のために付け加えておけば、Decoy Fontは最終兵器ではない。公式も認めるように、AIが強力なコード実行と多段推論能力を持てば、隠された情報を解き明かす可能性がある。同プラットフォームの別の反 AIフォントは一日で突破された。「文字を成すノイズを上に滑らせ、残りを下に滑らせ」と GPT-5.6 Sol に指示したら、AIは理解したのだ。しかし Decoy Fontが利用しているのは生理的差異であって認知習慣ではない。AIに「低周波情報を見ろ」と教えることはできない。なぜならピクセル単位スキャンこそが AIの「見方」だからだ。まるでコウモリに目で世界を見ろと言えないのと同じだ。知覚の差が残るかぎり、この仕組みは機能する。その差が解消されれば、効力も失われる。

さて、どうなる？ もし人間と AIの知覚世界がますます重ならなくなれば、ここ数年の AI業界が掲げてきた中心的な理念。「アライメント（整合）」。は一体何を整合させているのか？

アライメントの本来の意味は、AIの出力を人間の意図に一致させることだ。しかし Decoy Fontと Claude Codeは両方向から私たちに同じ事実を告げている。人間と AIは「見ているもの」すら同じではない。出力は調整でき、行動には一定の制約を設けられる。だが人間と AIが知覚している世界がそもそも別なら、「アライメント」が整合させるのは誰の知覚か？ 人間が AIの「見方」に適応するのか、それとも AIが人間の目の「見方」に従うのか？

知覚が共有されないなら、「理解」などどこから来ようか。

この溝はずっとあった。ただ以前は橋を架ける必要があると思われなかった。AIが図を読めず字がわからないのは AIの問題で、人間には影響しない。しかし今や AIは強大になり、生活に深く入り込んでいる。メールを読み、文書を整理し、データを分析する。その「見方」が人間の世界に影響を及ぼし始めたのだ。

Decoy Fontは初めてこの溝を能動的で利用可能な道具に変えた。暗号でも隠蔽でもなく、はっきり告げる。私と AIは同じものを見ていない、そして私はそれを利用することを選ぶ、と。

面白いことに、中国語は英語よりこの目的に適しているかもしれない。アルファベットは文字ごとに幅が異なる。「i」と「W」では表示上の幅が大きく違うため、二重の情報を規則的に重ねるのが難しい。しかし漢字は一文字ずつ、おおむね正方形の枠内に収まる。寸法と構造が比較的統一されているため、一つの文字の中に二層の情報を重ねやすい。つまり、この溝は中国語圏では英語圏より広いかもしれない。その意味では、漢字圏の読者は、アルファベット圏よりもこの仕組みの恩恵を受けやすい可能性がある。

Decoy Fontの公式サイトによれば、次は中国語への対応を予定している。これが実現すれば、人間が打つすべての漢字が同時に二層の意味を担う可能性がある。一層は人間向け、一層は AI向け。そして人間は普通にタイピングするだけでいい。

そういえば、この件には自然界に既に先例がある。ある種の蛾には、羽にヘビの頭部を思わせる模様を持つものがいる。特定の角度から見るとヘビの頭のように見え、捕食者である鳥を威嚇し、攻撃をためらわせることがある。自然界の「Decoy Font」はアルゴリズムを必要とせず、進化の圧力だけで効果的な擬態を生み出してきた。人類がこの原理を理解するのに数千年かかり、それをフォントファイルにするのにさらに 20 年かかった。

興味深いのは、漢字が長い歴史のなかで、情報を安定して記録し、共有するための文字体系として発展してきたことだ。一文字ずつ、おおむね正方形の枠内に収まる構造も、記録や表示を規格化するうえで役立ってきた。その構造が数千年後、AI時代の「隠語」として機能しうる強みになるとは、誰も想像しなかっただろう。