カナダ・カルガリー大学のAbbas Yazdinejad氏とHadis Karimipour氏が、長期記憶を持つAIエージェントを狙う新たな攻撃手法「メモリポイズニング」を報告した。プロンプトインジェクションのように即座に効果を発揮するのではなく、攻撃者が仕込んだ虚偽情報が数日後、複数回のやり取りを経てから実害を引き起こす「遅延型」である点が特徴だ。研究成果はIEEE Accessに掲載された。

「従業員のノート」に嘘を書き込む攻撃

研究チームはAIエージェントの永続メモリを「従業員が書き込む業務ノート」に例える。攻撃者はエージェントを直接乗っ取る必要はなく、メモリに「このリクエストは既に承認済み」といった虚偽の記述をこっそり書き込むだけでよい。

書き込んだ直後には何も起きない。だが数日後、あるいは複数回のやり取りを経てエージェントが関連するリクエストを処理する際、汚染された記述を「既知の信頼できる情報」として参照してしまい、そこで初めて実害が顕在化する。単発のプロンプトに悪意ある指示を仕込む従来型の攻撃と異なり、時間差と複数ステップにまたがる点が検出を難しくしている。

2,614件のシナリオで4種類の攻撃を検証

研究チームは2,614件のマルチステップ攻撃シナリオをシミュレーションし、以下の4類型に整理した。

  • チェーンポイズニング：一つの虚偽情報が後続の判断に連鎖的に影響する
  • ポリシー書き換え：エージェントの行動ルールそのものを書き換える
  • バックドア発動：特定のトリガーが来るまで潜伏し、条件が揃うと発動する
  • 緩やかなドリフト：通常の挙動から少しずつ逸脱していく

このうち「緩やかなドリフト」と「バックドア発動」は、発現するまで正常な挙動との見分けがつきにくいと報告されている。論文はこの4類型を軌跡（トラジェクトリ）単位で測定した初の大規模フレームワークだと位置づけており、従来の研究が単発のやり取りや静的なスナップショットしか見ていなかった点を補う狙いがあるという。

単発チェックでは防げない

研究チームが提言する対策は「軌跡認識型（trajectory-aware）」のセキュリティテストだ。個々のプロンプトやステップを単体で検査するだけでは不十分で、複数の相互作用・セッションをまたいでエージェントの挙動を継続的に追跡・監査する仕組みが必要だとしている。

開発者への示唆

カスタマーサポートや業務自動化など、長期記憶を持つAIエージェントの導入が広がる中、この研究は「入力プロンプトの防御」だけでは不十分であることを示している。エージェントが記憶として保持する情報そのものの出所や信頼度を検証し、読み書きのログを継続的に監視する体制が、今後のエージェント運用における必須要件になりつつある。長期記憶機能を本番環境に組み込む開発者・企業にとって、単発のセキュリティテストの枠を超えた評価設計が求められる局面に入ったと言える。