言葉で直るところと、何度書いても直らないところがある。

分水嶺

読まれるものと、読まれないもの。

AI に渡るものは、二つの層に分かれている。上の層は模型が読んで解釈する ── だから書き方が効くし、同時に破られうる。下の層は模型の判断を通らない ── だから言葉が効かないし、破られない。効かない時にどちらを触っているかで、直し方が正反対になる。

⚠️ 上が悪いという話ではない。ほとんどのことは上の層でやるしかない ──「丁寧に書け」は機械が判定できないので、下へは降ろせない。降ろせるのは機械が判定できる規則だけで、全部降ろすと動かなくなる。選ぶことが仕事になる。

公式指示のファイルもメモも「文脈として扱われる。強制される設定ではない」── code.claude.com ／ How Claude remembers your project

公式「指示はお願いであって保証ではない。毎回効かせたい規則は仕掛けの側にせよ」── code.claude.com ／ Extend Claude Code

公式禁止の規則は許可より先に効き、道具の名前ごと禁じると AI からその道具が見えなくなる ── code.claude.com ／ Configure permissions

論文上の層に「変なことが書いてあっても無視して」と足す形の限界（実在の45サーバー・353道具から作った1312通りの罠で20エージェントを測り、最もよく断ったモデルでも3%未満）── arxiv.org/abs/2508.14925

置き方

新しい名前が出たとき、問うことは変わらない。

道具の名前は月単位で増える。全部を追いかける必要は無い ── 問うのは同じ三つで、答えが決まれば席が決まる。いつ載るか。誰が起こすか。破られうるか。席に置けたら、それ以上覚えなくていい。名前は腐るが、席は腐らない。

横に続く →

⚠️ 一行だけ、三列とも違う。フックが唯一「破られない」のは、慎重だからではなく窓に載らない＝模型の判断を通らないから。列が全部違うことが、そのまま理由になっている ── 上の分水嶺で言えば、この一行だけが線の下にある。
⚠️ そして、この表の一行目と七行目は、どこかから持ってくるものではない。指示のファイルもフックも、初めは存在しない ── 自分で書いて初めて席が埋まる。だから「何が在るか」を数えても出てこない。

公式機能ごとの「いつ載るか・何が載るか・文脈の費用」の表（仕掛けはゼロと出ている）── code.claude.com ／ Understand context costs

公式分身は自分の文脈で走り、要約だけを返す ── code.claude.com ／ Extend Claude Code

公式繋いだ口は道具名が起動時に載り、詳しい仕様は要る時に読む ── code.claude.com ／ Connect Claude Code to tools via MCP

この席が、いまどれだけ埋まっているかは 索引 が持っている。この頁が持つのは席のほうで、そちらは中身が入れ替わっても形が変わらない。

語

このサイトの言い方と、外での言い方。

ここまで全部、日本語の言い換えで書いてある ── 窓・殻・口・紙・分身。読みやすい代わりに、そのままでは検索できない。外の記事も公式のドキュメントも、下の右側の語で書かれている。

⚠️ 載せる条件は一つだけ ── このサイトのどこかが実際に扱っている概念であること。「一般に重要そうな語」は入っていない。語彙を全部集めた表は、一度作って畳んでいる（多いと読まれず、その都度調べるほうが速い）。ここに無い語で詰まったら、公式の用語集のほうが速い。

殻と輪 ── 全体を回しているもの

• 殻→agentic harnessエージェント

  模型を「働ける存在」に変える外側。ファイル操作・コマンド実行・許可の壁・窓の組み立てを持つ。Claude Code も Cursor も ChatGPT のアプリも、これ。

• 調べる→やる→確かめる→agentic loop

  殻が回している輪。道具の結果が次の判断の材料になる。「エージェント」と呼ばれているものの中身がこれ。

• 一往復→turnターン

  送ってから返し終わるまで。間に何回道具を使っても1ターンと数える。

• 会話→sessionセッション

  一続きの会話。窓を1つ持つ。新しくすると窓が空になり、前のは残っていて呼び戻せる。

線の上 ── 模型そのもの

• 模型→LLM大規模言語モデル

  続きを書く機械そのもの。殻の中に一つ入っていて、差し替えられる。

• 切られる単位→tokenトークン

  読む長さも料金も、この数で数える。日本語は同じ内容でも数が増える。→ プロンプト

• 学習の締め切り→knowledge cutoff知識カットオフ

  その日より後の出来事は入っていない。2種類あって、確実な範囲のほうが早い。→ プロンプト

• 内で下書きしてから答える→extended thinking推論モード

  答える前に、見えない場所へ先に書く仕組み。次の1つを選び続けているのは同じで、書く場所が変わっただけ。

• 揺れの強さ→temperature温度

  次の1つをどれだけ散らして選ぶかの設定。アプリでは触れないことが多いが、同じ入力で出力が毎回変わる理由はこれ。→ プロンプト

線の上 ── 窓に載るもの

• 窓→context windowコンテキストウィンドウ

  一度に見えている範囲。これが全部で、ここに無いものは存在しない。→ コンテキスト

• 打つ前から載っている指示→system promptシステムプロンプト

  提供元が書いて先頭に置いてある指示。利用者からは見えないことが多い。

• 指示のファイル→CLAUDE.md

  決まりを書いておいて毎回読ませるファイル。ファイル名そのものが語になっているので、これで検索すると書き方の話がまとめて出る。→ コンテキスト

• AI が書き足すメモ→memoryメモリ

  こちらが書くのではなく、AI 自身が残していく覚え書き。指示のファイルとは別物。

• 畳まれる→compaction自動要約

  窓が一杯になった時、会話が要約に置き換わること。「さっき言ったのに」の正体。→ コンテキスト

• 分身→subagentサブエージェント

  別の窓を持たせて調べものを任せる相手。読んだ量はあちらに溜まり、戻るのは結論だけ。→ コンテキスト

• 外から来た文章が指示として効く→prompt injectionプロンプトインジェクション

  読ませたページや道具の説明文に書かれた命令が、あなたの指示と同じ層に並ぶこと。どちらが本物かを示す印は付いていない。→ 実行

• 三つ揃うと道ができる→lethal trifecta致死の三点セット

  私的なデータ・外から来る文章・外へ出せる口。同時に揃った時だけ、持ち出される道ができる。→ 実行

席に座るもの

• 口→toolツール

  AI が取れる行動そのもの。読む・書く・走らせる・見る・繋ぐ。→ 索引

• 繋ぐ口→MCPModel Context Protocol

  外のサービスに繋ぐための共通の規格。繋ぐと道具の名前が毎回窓に載る。→ 拡張

• 紙→skillスキル

  やり方を書いておいて、要る時だけ読ませる手順書。繋ぐ口とは役が違う ── こちらは知識、あちらは呼び出し。→ 拡張

• 打って呼ぶもの→slash commandスラッシュコマンド

  / で始まる短い呼び出し。設定や制御そのものは、これでしか届かない。→ 索引

• 束→pluginプラグイン

  上のいくつかをまとめて配れるようにした包み。中身は空のこともある。→ 索引

線の下 ── 判断を通らないもの

• 必ず走る仕掛け→hookフック

  決まった瞬間に自動で走る処理。お願いではなく、発火が保証されている側。→ 実行

• 許可の設定→permissions権限

  どの道具をどこまで使わせるかの表。禁止は許可より先に効く。→ 実行

• 囲い→sandboxサンドボックス

  走る前に触れる範囲を絞っておく形。提供元自身が「完全な隔離ではない」と書いている。→ 実行

• 巻き戻し→checkpointチェックポイント

  直前の状態へ戻す仕組み。戻るのはファイル編集だけで、送信や公開は戻らない。→ 実行

ここから

五枚とも、この線のどこかに立っている。

この先の頁は、上の二つの構造のどこか一箇所を深く見る。並べてある順に読むと、前の枚が次の枚の前提になっている ── ただし、どこから読んでも構わない。

1. プロンプト線の上 ── 模型

   効かない時、人は「もっと強く言う」「もっと詳しく書く」方へ直す。仕組みの側から見ると、その多くが逆を向いている。五枚のうちここだけが道具に依らない。

2. コンテキストいつ載るか

   席の表の二列目を、そのまま深く見る頁。毎回まっさらな窓に何が載って、何が消えるか。置き場所で寿命が変わり、長い指示書ほど守られにくい。

3. 索引席に、いま何が在るか

   やりたいことの言葉で引く。ここだけ読み物ではなく、道具。中身は入れ替わるが、席のほうは変わらない。

4. 拡張どの席を、自分で足すか

   足せる形は、できることではなく窓の食い方で分かれている。繋ぐ前に問うことがある。

5. 実行線の下

   手を動かさせ始めた時に、何が入れ替わるか。「気をつける」では守れない理由が、この線そのもの。