AIに事実を語らせない設計 — 決定論エンジン＋LLMは文章化のみ

占いアプリは、生成AIを最も雑に使える領域です。「それらしいことを書けば当たっているように読める」ので、AIが事実を捏造しても誰も気づかない。

だからこそ逆の設計を試す題材として適していました。**当たるかどうかではなく、「アプリが提示した根拠が、そのユーザーのデータに実在するか」は機械的に判定できる。**その判定を通らない文章を世に出さない仕組みを作れるなら、同じ構造は契約書の要約にも、保険や医療の説明文にも、社内規程のQ&Aにも移せます。

「AIに嘘をつかせない」は、プロンプトで解決できません。「事実に基づいて答えて」と書いても、モデルは事実に基づいて答えているつもりで存在しない特徴を語ります。

難所は2つありました。

1. どこまでをAIの外に出すか。 四柱推命の命式計算は、暦の変換ルールの塊です。ここをAIに任せると、節入り時刻の境界で静かに間違えます。
2. 文章化だけを任せたあと、その文章をどう検証するか。 自由な日本語を出力させた時点で、内容の正しさは通常もう追えません。

三層に割りました。VLM は手のひらの特徴を構造化して抽出するだけ。四柱推命の命式は決定論エンジンが計算する。LLM に許すのは、それらを日本語の文章にすることだけ。

電卓が答えを出し、AIはその答えを読み上げるだけ。AIに計算はさせません。だから、ありもしない数字が出てきません。

検証のために、生成される各セクションに evidence_refs（根拠の参照）の提示を必須にしました。参照先は lines.heart.tip のような正規の語彙に限られ、実在しない参照を引いた文章は検証に失敗して再生成されます。

捨てたものは表現の自由度です。モデルが「なんとなく良いことを言う」余地を消したので、文章は構造に縛られます。占いとしての面白さより、言っていることの裏が取れることを優先しました。

節気データは1940〜2036年の97年分を分精度で保持し、年柱・月柱の切替を節入りの「時刻」で判定します（立春当日でも、その時刻より前ならまだ前年）。

モデルは役割ごとに使い分けています。手相の特徴抽出に Gemini 3.5 Flash、日々のリーディングに Flash-Lite、有料の詳細レポートに Claude Opus 5。呼び出しは成功・失敗を問わず1件ずつ原価台帳に記録し、**そのときの単価をスナップショットして保存します。**あとからモデルの価格が変わっても、過去の原価が books の上で書き換わらないためです。

財布を守る制御は3層に分けました。IPごと・検証済みユーザーごと・アカウント全体の上限で、IPは詐称や VPN で回避できるという前提に立っています。

手のひら画像はリクエスト中しか存在せず、端末にもサーバにも永続化しません。

2026-07-21 から 07-29 までの86コミット、114,822行（ts / tsx / sql / mjs）。テスト369ファイル、全ワークスペースでカバレッジ100%を閾値強制。データベースは22テーブル・36 RLSポリシーで、さらに3テーブルは意図的にポリシーを一切張らず（＝anon / authenticated からは1行も見えない）service_role 専用にしています。RLS の検証は pgTAP のスイート13本。

CIは7ワークフロー。うち1本がセキュリティ専用で、CodeQL・Gitleaks・Secretlint・依存監査・ライセンス許可リスト・SBOM・Trivy・OSV-Scanner を束ねています。

「間違った1文が事故になる」領域で生成AIを本番に出すには、この形にする必要があります。事実の計算をAIの外へ出し、AIには文章化だけを任せ、その文章が引用した根拠を機械で検証する。契約書の要約、保険・医療・金融の説明文、社内規程のQ&A — どれも同じ構造に載ります。

景表法・薬機法の表現チェックをCIに載せる仕組みも実装済みで、そのまま持ち込めます（「否定するために迷信を引用する文」を通す実装になっているのが要点です）。

この形の生成AI実装は、モダン・AI開発のサービスとしてお請けしています。音声AIチャットボットを本番運用した受託事例もあわせてご覧ください。