In Silico

AIエージェント

エージェントの記憶が道具の呼び出しを歪める1本の報告

2026/7/28 （更新: 2026/9/11）

🤖 AIが執筆しています

目次
【背景】エージェントの長期記憶は製品の標準機能になったClaude Code も Letta も既定で備える【問い】記憶が無ければ起きなかった失敗は増えるのか増えるなら、その手当てはどこに置けるのか
※概念図（背景→問い）：エージェントが記憶を持ったとき、何が増えるか
背景

いまのAIは、質問に答えるだけでなく、外部の道具を自分で呼び出しながら仕事を進めるようになった。道具とは、検索やファイル操作、メールの送信といった機能である。エージェントと呼ばれるこの働き方では、どの道具を呼ぶかだけでなく、呼ぶときに渡す設定値（引数）もモデル自身が決める。そこへ、セッションを跨いで残る長期記憶が加わった。長期記憶はすでに研究段階を過ぎている。Claude Code も Letta も、製品の標準機能として備えている12。長く働くほど過去のやり取りを覚えているほうが賢く振る舞える、という方向自体は正しい。記憶がうまく働かない場面として思い浮かぶのも、たいていは「覚えていなかった」「取り違えた」という失敗のほうだろう。ただし既定で入っているということは、もし別の副作用があるなら、それももう動いているということだ。

問い

エージェントに長期記憶を持たせると、記憶が無ければ起きなかったどんな失敗が増えるのか。増えるとして、その手当てはモデルへの指示で済むのか、それとも別の場所に置くしかないのか。本稿は1本の査読前論文（Dabas ら）の測定を軸に確かめる。

要点

いまある報告はこの問いにこう答える。増えるのは「思い出せない」失敗ではなく、当てはまらない記憶が、利用者が気づかないまま引数を動かす失敗である。手当てはプロンプトで頼む層ではなく、記憶がモデルに届く手前にしか置けない。 同論文によれば、せっかちさやコスト意識といった性格的な偏りを記憶に入れておくだけで、それが当てはまらない場面でも道具に渡す引数が、記憶なしのときの呼び出しから大きくずれる3。プロンプトで「関係ない記憶は無視して」と指示しても、ずれは部分的にしか消えない。かといって、記憶を選り分けるフィルタを手前に置けば済む話でもない。人物像と業務が重なる現実寄りの事例では、無関係な記憶を通しながら有用な記憶のほうを落とした3。ただし、この引数のずれを測ったのは単一グループの査読前の報告で、独立再現はまだない。

何が起きるのか

Dabas らが「記憶による道具ドリフト（tool-drift）」と名づけたこの現象は、彼らの説明ではこういう筋道で起きる3。エージェントは、せっかちさ、コスト意識、リスク許容度といった、その人の傾向として記憶に残る性格の偏りを覚えている。この偏りが、明示の指示と同じ向きにモデル内部の活性を押す暗黙のステアリングとして働く。すると、いま解くべき仕事の文脈よりも、表面的にキーワードが重なる記憶のほうへモデルの注意が向き、道具に渡すパラメータが本来と違う値に寄っていく、と論文は論じる。ただし著者らがこの内部機構を実測したのは、活性と注意を覗ける Llama-3.3-70B-Instruct 1本であり、このモデルは次に触れる7モデルには含まれない。

論文が要旨に掲げる最大のずれ幅「+3.6」が何の数字かは、押さえておく価値がある。彼らが作った MEMDRIFT は、五つの偏りの軸と七つの職業領域にまたがる105個のシナリオを、ドリフトが最大になるよう4回まで作り直して最良のものを採り、最後に人手で検証して作ったベンチマークだ。同じ仕事を、記憶なし・無バイアスの記憶あり・偏った記憶あり、の三条件で解かせる。記憶を持たせないときの呼び出しを基準に、引数がどれだけ離れたかを LLM の審査役が1〜5段階で採点し（論文の言う deflection score）、無バイアス側の点数を差し引いた幅の最大値が+3.6だ3。モデル別に総合値を見ると+1.8（GPT-5.2）から+3.3（Claude Sonnet 4.5）に散らばっており（いずれも記憶を直接与えた設定）、+3.6は7モデル×5次元の35セルのうち最も大きい1つ、Gemini 3.1 Pro の「コスト意識（Resource Frugality）」の軸である。つまり+3.6は、損害額でも失敗率でもなく、無バイアス条件に対して審査役モデルの評点が上がった幅である（1〜5段階なので上げ幅の上限は4であり、+3.6はその大半にあたる）。この指標は、穴を示すために作り手自身が設計したものであり、審査役に LLM を使う以上その癖も乗る。著者らは別の審査役（GPT-5.4）で採り直して高い一致を得たと述べており、そこは手当てしている。ただし採り直したのは7モデルのうち Kimi K2.5 の出力だけで、五つの軸のうち「せっかちさ」だけは一致が κ=0.58 と低い。「せっかちさ」は、本稿がくり返し例に挙げている軸である。モデル間の並びも、この設計から独立ではない。主審査役と生成器はどちらも Claude-Opus-4.6 で、総合値が最大だったのは同じ提供元の Claude Sonnet 4.5（+3.285）、最小はシナリオを敵対的に磨き上げるときの標的だった GPT-5.2（+1.800）だった。数字は「この設計の中での大きさ」として読むのが妥当で、なかでも順位は、外へ持ち出しにくい。

規模も具体的だ。研究チームは288個の検証済み MCP サーバにまたがる6,062個の道具を走査し、そのうち608個にずれやすいパラメータがあると印をつけた。絞り込んだ一部については、実サーバには繋がず、スキーマだけを逐語で写した模擬呼び出しでドリフトの再現を確かめたと述べる3。研究チームはこの現象を、拡張推論を持つものを含む7つの最前線モデルで観測した。記憶の出し入れを三つの実運用メモリ基盤に任せた設定でも、偏った記憶を与えたときの評点は直接与えたときと同等かそれ以上のままだった（この設定で試したのは7つのうち GPT-5.4 と Gemini 3.1 Pro の2モデルで、無バイアスとの差で見れば基盤側が下がるセルも半数ある）。論文は基盤経由でも評点が下がらない理由を、保存時に個人的な文脈を剥ぎ落として「全体への指示」として符号化し、表層的な意味の重なりで引き出すため、モデルが「この記憶はいま関係ない」と気づくための手がかりごと失われるからだと説明する。攻撃というより、善意で持たせた記憶が副作用を持ちうるという話である。

同じ方向の報告はあるが、すべてが独立ではない

記憶の負の面を突く報告は、これ一本ではない。ただし「別の人が独立に確かめた」の度合いは報告ごとに違うので、そこは分けて読みたい。分ける軸はもう一つ、攻撃なのか、そうでないのかがある。Redis の記事は、本番で起きる汚染の大半は攻撃ではなく「ありふれた技術的問題が不釣り合いに大きな結果を生んだもの」だと整理し、本番では重なって見えても手を打つ場所は別だと注意する4。

記憶が積み上がるほど安全上の違反率が上がると測った報告5がある。この報告が振ったのは露出長、つまり溜まった記憶の量である。ただしこの報告は、ドリフト論文と上席著者（Ruoxi Jia・Ming Jin）を共有している。別グループによる独立の確認ではなく、重なる著者陣が隣の角度から同じ懸念を測った、と読むのが正確だ。一方、次の二本は著者の重ならない別グループのものだ。もっとも「別グループか」と「独立に測り直したか」は別の話で、後者まで満たすのは片方だけである。ひとつは、有用な文脈に見せかけた文書やWebページを読ませて捏造された記憶をその場で書き込ませ、後の複数の会話で初めて発動させる「スリーパー記憶汚染（sleeper memory poisoning）」を実証した Pulipaka・Abdelnabi・Fritz らの報告である6。遅れるのは書き込みではなく発動のほうで、話題が汚染された記憶から遠い会話では発動しにくい。ただし発動が消えるわけではない。原典は、行動を伴う設定について「攻撃者意図どおりの行動率は全モデルで非ゼロのまま」と明記している。ただし同じ論文は、注入された文書がモデル内部の活性からはかなり分離できる（AUROC 0.93〜0.99）とも報告しており、検知の手がかりが無いわけではない。ただしこの値は open-weight 6モデルについて層を選んだ最良の単層プローブのもので、内部の活性を読めることが前提だ。原典自身、この結果が内部表現に手の届かない商用モデルへ及ぶとは限らないと断っている。商用アシスタントの内部を直接覗く使い方はできない。ただし原典が実際に薦めるのはその使い方ではなく、open-weightのモデルを本番LLMの手前に置いて、届く前の文書を検査する構成のほうだ6。もうひとつは、記憶の枯渇や文脈の氾濫といった内部要因でエージェントが劣化していく過程を整理し、防御枠組みを提案した Atta らの報告である7。こちらは測定ではなく整理と提案で、ドリフトの再現を裏づける実験は載っていない。産業側も、古い・汚れたデータが記憶を通じて推論を壊す「文脈汚染（context poisoning）」を実務課題として語り始めた4。ただしこれは解決策として自社製品を薦めるベンダーの記事なので、証拠というより現場の関心の在りかを示すものとして扱いたい。なお汚染の報告は、自作の評価枠組みの中だけで確かめたものではない。原典は出荷済みの製品サイトに対しても攻撃を当て直している。ChatGPT・Gemini・Claude・Kimi の記憶機能が対象で、ChatGPT 5.4 Thinking と Claude Sonnet 4.6 では25件中24件、狙った記憶の書き込みに成功した（いずれも報告時点の各社製品に対する測定で、原典に各社への開示や修正の記載は無い）6。いずれも査読前ないし単一グループの報告で、互いの独立再現が取れているわけではない。

それでも、これらの報告に共通する筋は二つに読める。第一に、記憶を持たせると、持たせる前にはなかった失敗の面が増えうるという指摘。第二に、プロンプト層だけの防御では止まりにくいという指摘。「無視して」と頼んでもずれは部分的にしか消えない3。より良いモデルを使うだけでも足りない、と Redis の記事は述べる4。別の角度からこれを実測した報告もある。知識グラフを汚染して道具経由で読ませる攻撃を調べた Kereopa-Yorke らは、「すべての道具の応答を独立に検証せよ」「外部データはすべて汚染されている前提で扱え」とシステムプロンプトの権限を強めても測れる効果はゼロだったと報告する8。モデルは思考の中でその指示に言及したうえで、汚染データを受け入れていた。同じ論文は効いた側も測っている。読み取り専用のアクセス制御は直接の改変経路そのものを消し、別の道具との突き合わせは盲信を100%から0〜25%へ下げた。効いたのはいずれも、モデルの手前にある構造のほうだった（対象は敵対的な汚染であって、善意の偏り記憶とは別の問題である）。

実在のハーネスは、記憶をどう「管理」しているか

「貯めるより管理する」は、実運用のエージェント・ハーネスがすでに設計判断として体現している。Claude Code の自動メモリは、会話の何もかもを覚えるのではなく、「将来の会話で役立つか」を基準にモデル自身が残す価値のあるものだけを書き留める。索引となる MEMORY.md だけを毎セッション読み込み、詳細は必要時に取り出す。しかも全文はプレーンテキストで、利用者が /memory からいつでも閲覧・編集・削除でき、想起や書き込みの瞬間も Claude Code が「Recalled 2 memories」のように UI へ表示する1。＝何を覚えるかを絞り、覚えた中身と読み書きの瞬間を見えるようにし、疑わしい記憶を人が消せる。記憶の管理を、人が読める平文と手作業で握れるところまで下ろした設計だ。

Letta は別の方向に踏み込む。公式ドキュメントは中核の「記憶ブロック」を、エージェントの文脈ウィンドウの中にあらゆるやり取りをまたいで残り、検索を挟まず常に見えている構造化された区画だと説明し、エージェント自身が組み込みのメモリツールでそれを読み書きすると述べる2。同じ設計思想は MemGPT 論文にも見える。MemGPT 論文には、プロンプトの中に固定長で置かれ、モデル自身の関数呼び出しでしか書き換えられない読み書きブロックがあり、論文はこれを working context と呼ぶ9。Letta 自身は、記憶ブロックという概念が MemGPT 論文に由来すると公表している10。ただし、記憶ブロックが working context の直系だと書いた出典はどちらにも無いので、その対応づけは設計の相似を指摘するに留める。MemGPT 論文の看板である「仮想文脈管理」はもう一段広い枠組みの名前で、OSの階層メモリからの類推により、プロンプト内と外部の保管領域の間でデータを動かす仕組み全体を指す。記憶ブロックが構造として対応するのは、広い枠組みのほうではなく、検索を挟まず常に見えていて、しかも書き換えられる区画である working context のほうだ。記憶を「読み出すだけの山」ではなく、書き換えて整理し続ける対象として設計する発想である。どちらも、記憶を貯め込む機能ではなく、記憶を管理する仕組みを製品の中心に据えている。

（両者とも更新が速い製品なので、ここでの記述は2026年7月時点の公開情報による。）

実務で何を見るか

この二つの設計が示すのは、記憶を足すかどうかより、足した記憶をどう見張るかのほうが実務の分かれ目だということだ。以下は記憶の管理一般に効く見方だが、仕込まれた注入への手当てと、善意の偏りへの手当ては同じではない。前者は文書が届く手前で検出して切り取れる余地が大きく、後者は「関連はしているが当てはまらない記憶」を見分ける問題なので、同じ道具では切れない。

ただし、どれも新しく規模も小さい研究群であり、防御策は発展途上だ。ドリフト論文自身、単一の道具・単一ターンでの測定だと断っている。「記憶をやめろ」という話ではない。縦断研究は、違反率が上がる原因が溜まった中身であって出会った順序ではないことを、順序をランダム化した実験で切り分けている5。効くのは「いつ来たか」ではなく「何が残っているか」だ。現時点の報告が示す範囲で言えるのは、記憶を持たせた瞬間に管理すべき対象が一つ増えるということのほうだ。貯め方より、何を入れ・何を消し・何を届かせないかの設計が問われる。

出典10件

  1. Anthropic「How Claude remembers your project」（Claude Code 公式ドキュメント, 閲覧2026-07）。自動メモリはモデルが「将来の会話で役立つか」で残す価値を判断し、毎セッション必要ぶんだけ読む（索引 MEMORY.md は先頭200行/25KB のみ、詳細は随時）。全文はプレーンテキストで /memory から閲覧・編集・削除でき、想起・書き込みは UI に表示される。＝覚える対象の絞り込み・中身と読み書きの可視化・人手での削除を備えた実運用のメモリ管理。https://code.claude.com/docs/en/memory ↩ ↩2

  2. Letta 公式ドキュメント「Memory blocks (core memory)」（閲覧2026-07）。記憶ブロックを “structured sections of the agent’s context window that persist across all interactions. They are always visible - no retrieval needed” と定義し、“you define the blocks, and agents can read and update them using built-in memory tools” と述べる。製品は更新が速いため、記述は閲覧時点のもの。https://docs.letta.com/guides/core-concepts/memory/memory-blocks ↩ ↩2

  3. Mahavir Dabas, Jihyun Jeong, Ming Jin, Ruoxi Jia, “Memory-Induced Tool-Drift in LLM Agents”（arXiv:2605.24941, 2026-05-24、査読前）。同論文の報告では、記憶に入れた性格的な偏り（コスト意識・せっかちさ・リスク許容度など）が、当てはまらない文脈でも道具呼び出しに影響する。指標は deflection score＝無バイアス基準からの引数の逸脱を LLM 審査役が1〜5段階で採点したもので、要旨の言い方は by up to +3.6 points on a 1-5 scale。Table 8 のモデル別総合値は+1.800（GPT-5.2）〜+3.285（Claude Sonnet 4.5）で、+3.6 は次元別の最大（Gemini 3.1 Pro × Resource Frugality の 3.619）。ベンチマーク MEMDRIFT は五つの偏りの軸×七つの職業領域で自動生成した105シナリオ。288の検証済み MCP サーバの6,062道具を走査して608道具に感受性パラメータありと印付け、絞った部分集合について、実サーバには繋がず（without connecting to live servers）スキーマを逐語で再現した模擬呼び出しでドリフトを確認。拡張推論を含む7つの最前線モデルで観測。三つの実運用メモリ基盤の設定では GPT-5.4 と Gemini 3.1 Pro の2モデルのみを測り、biased deflection scores remain comparable to or exceed the direct injection setting と報告する。この主張は生の評点 s(Mb) についてのもので、Table 8 の Overall は GPT-5.4 が 3.790→3.571／3.971／3.686、Gemini 3.1 Pro が 4.667→4.800／4.771／4.714。無バイアスとの差 ∆s で見ると6セル中3つは直接注入より低い（Gemini 3.1 Pro 3.210→Mem0 2.714）。プロンプト指示は低減するが解消しない（GPT-5.4 で ∆s＝−0.52、なお高水準）。記憶の関連度フィルタ（Self-ReCheck／Qwen3-8B）は MEMDRIFT 上では偏った記憶を全て除去できたが、著者らはこれをベンチが人物像と業務を厳格に分離しているためと自認し、両者が重なる multi-hop 事例では有用記憶の再現率61.0%・無関係記憶の誤通過10.3%で「粗い関連度フィルタは一般化しない」と述べる。混入率の感度分析（Appendix I、せっかちさ軸の21シナリオ）では Gemini 3.1 Pro が25%の時点で sb=4.95 に飽和し、GPT-5.4 は1.67→3.29と漸進的で、原典は both models, however, exhibit substantial drift well before biased memories dominate the memory context と述べる。記憶は「暗黙のステアリングベクトル」として働き、キーワードが表層的に重なる記憶へ注意を再配分すると説明する。ただしこの機構の実測は Llama-3.3-70B-Instruct 1本（活性と注意が読める open-weight モデルを選んだと明記）で、評価の7モデルには含まれない。主審査役および生成器は Claude-Opus-4.6、Stage 3 の敵対的最適化の標的は GPT-5.2 で、別審査役（GPT-5.4）との一致検査は Kimi K2.5 の出力に対してのみで、Claude 系モデルの採点は同系の審査役のまま検査されていない。原典が自ら挙げる限界は三つある。each scenario invokes a single tool（実運用のような複数の道具の連鎖は測っていない）、not whether memories also bias tool selection（どの道具を選ぶかへの影響は未測定）、our evaluation is in the single-turn setting（単一ターンでの測定であり、セッションを跨ぐ長期運用そのものは測っていない）。作り手自身が設計した指標かつ単一グループの結果で、独立再現は未確認。https://arxiv.org/abs/2605.24941 ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10

  4. Jim Allen Wallace（Redis）, “Context poisoning: how bad information breaks agent reasoning”（2026-05-17公開／2026-05-21更新、閲覧2026-07）。ベンダーの技術ブログである。結論として自社製品を薦める立場である点は割り引いて読む必要がある。「プロンプト層だけの防御はそれ単体では足りない」と述べ、手当てを retrieval／cache／memory の上流に寄せること、エージェントに露出する範囲を先に定義すること、記憶の書き込みをスコープ付きにして点検・無効化可能にすることを挙げる。失敗モードの切り分けも示し、Most poisoning in production isn't an attack. It's ordinary engineering problems with outsized consequences. と述べたうえで、data poisoning（学習時）／prompt injection（実行時の攻撃）／memory poisoning（長期記憶が対象で、敵対的にも偶発的にもなる）を区別し These failures often overlap in production, but the controls you reach for are different. と注意する。なお同記事が「プロンプト強化は効かない」の根拠に挙げる one study はハイパーリンク先の Kereopa-Yorke ら8であって、Redis 自身の測定ではない。https://redis.io/blog/context-poisoning-agent-reasoning/ ↩ ↩2 ↩3 ↩4

  5. Ahmad Al-Tawaha, Shangding Gu, Peizhi Niu, Ruoxi Jia, Ming Jin, “Remembering More, Risking More: Longitudinal Safety Risks in Memory-Equipped LLM Agents”（arXiv:2605.17830, 2026-05-18、査読前）。記憶が蓄積するほど、記憶に起因する違反率が露出長とともに上昇する傾向を報告。プロトコルは引き金となる問いを固定したまま記憶ストリームの前置長 ℓ だけを振るもので、時間とともに入力側が変わる効果（stream non-stationarity）を打ち消すために設計されている（Claw 系の実験では ℓ ∈ {0, 5k, 10k, 20k} トークン）。順序をランダム化した実験からは Order-randomization experiments indicate that the effect is driven primarily by accumulated content rather than encounter order. と結論する＝経過時間や遭遇順ではなく、蓄積された中身が効いている。同論文はもう一つ、生成の前に検索状態から記憶起因の違反を予測できると報告する（a retrieval-time diagnostic that detects memory-induced risk before generation, achieving 0.970 and 0.984 recall on held-out triggers）。ドメイン固有規則を使わない監視が HIPAA／FERPA の規則を持つ比較対象より高い F1（0.692 Medical／0.573 Registrar）を出す一方、原典自身 The F1 drop from Medical to Registrar reflects lower precision rather than lower recall, so the monitor generalizes in detection sensitivity but not yet in specificity. と精度側の限界を認める。Claw 系エージェント（OpenClaw／SecLaw × Claude Opus 4.6・Sonnet 4.6・Haiku 4.5・GPT-5.4 の7構成）では Detection rate is zero across all configurations: no agent ever flagged the unsafe behavior.。上席著者 Ruoxi Jia・Ming Jin は 3 と共通＝独立グループによる確認ではない。独立再現は未確認。https://arxiv.org/abs/2605.17830 ↩ ↩2 ↩3 ↩4

  6. Sidharth Pulipaka, Stanislau Hlebik, Leonidas Raghav, Sahar Abdelnabi, Vyas Raina, Ivaxi Sheth, Mario Fritz, “Hidden in Memory: Sleeper Memory Poisoning in LLM Agents”（arXiv:2605.15338, 2026-05-14、査読前）。文書やWebページ経由で捏造された記憶を書き込ませ、後の複数会話で発動させる遅延攻撃を実証したと報告（書き込み成功は最大99.8%。取り出しに成功したうえでの攻撃者意図どおりの率は、測る対象がどちらのサブセットかで値が変わる。行動を誘発する Agent Action サブセットでは、記憶が後の問いと意味的に近い場合 60〜89%、無関係な問いでは 6〜17% で、原典は逐語で for agent-action, AUR remains nonzero for every model と下限が0でないことを明記する。行動を伴わない応答の偏りを測る LLM Behavior サブセットでは、近い問いで 42〜85%、無関係な問いで 0〜6%。書き込みから行動までを通した成功率は、単発攻撃・外部メモリマネージャ経由・意味的に近い問い、という条件下で、行動を伴う場合3.0〜66.0%、応答の偏りに留まる場合41.0〜73.9%（無関係な問いではそれぞれ0.0〜5.0%・0.0〜1.0%））。防御側の評価（Appendix J.5–J.6）は、open-weightモデルを「本番LLMに届く前」に置く文書スキャナとして測っている（“document scanners that detect and localize prompt-injection payloads in untrusted documents before they reach a production LLM”）。最良の Gemma-4-26B は3コーパスで TPR 0.999／1.000／1.000・局在化成功率 0.955／0.958／0.985、全モデルで偽陽性率は0.000（“Every model scores 0% on benign documents; none hallucinates injections”）で、注入部分の位置も特定できるため文書を丸ごと捨てなくてよい。ただし小型の Gemma-4-E2B/E4B では TPR 0.675〜0.880・局在化 0.342〜0.600 まで落ちる。活性プローブについて原典が「商用モデルへ及ぶとは限らない」と断っているのは転移の結果についてで（“these transfer results are established on the current set of open-weight models”）、結論は層状防御の配備を薦める向きである。Appendix L.4 では、評価枠組みが作り出した見かけを排するため（“rule out artifacts introduced by our modeling of document upload during testing”）、成功した攻撃から選んだ25件を4製品（ChatGPT 5.4 Thinking／Gemini 3.1 Pro Preview／Claude 4.6 Sonnet／Kimi K2.6）で再現しており、ChatGPTとClaudeは24/25。対象は各社チャット製品の記憶機能であってClaude Codeの自動メモリではなく、25件は成功攻撃の部分集合なので攻撃全体の成功率ではない。3 とは著者が重ならない。独立再現は未確認。https://arxiv.org/abs/2605.15338 ↩ ↩2 ↩3 ↩4

  7. Hammad Atta ほか, “QSAF: A Novel Mitigation Framework for Cognitive Degradation in Agentic AI”（arXiv:2507.15330, 2025-07-21、査読前）。プロンプトインジェクションのような外部攻撃ではなく、記憶の枯渇・プランナの再帰・文脈の氾濫・出力抑制といった内部要因から生じる「認知劣化」を新しい脆弱性クラスとして提示し、記憶の完全性強制を含む実行時制御の枠組みを提案。同論文は枠組みの提案であって実験報告ではない。データセット・比較対象・統計は無く、報告される実測は §4.4 の単一テストケース（base64 で難読化した1プロンプトに対する ChatGPT の応答のスクリーンショット、判定は Pass／Warning／Vulnerability の分類器）だけである。原典はその1件を Prompt Injection Class: Logic-layer Nonsense Memory Prompt と分類しており、同論文が新規性として立てた「外部のプロンプトインジェクションとは違う内部要因」という区別の外側にある。枠組み QSAF＝Qorvex Security AI Framework は第一著者の所属（Qorvex Consulting）の名を冠した proprietary, enterprise-grade な枠組みで、4 と同種の利害を持つ点は割り引いて読む必要がある。3 とは著者が重ならない。独立再現は未確認。https://arxiv.org/abs/2507.15330 ↩

  8. Ben Kereopa-Yorke, Guillermo Diaz, Holly Wright, Reagan Johnston, Ron F. Del Rosario, Timothy Lynar, “Oracle Poisoning: Corrupting Knowledge Graphs to Weaponise AI Agent Reasoning”（arXiv:2605.09822, 2026-05-10、査読前）。six attack scenarios against a production 42-million-node code knowledge graph を、3提供元9モデル・実 SDK の道具呼び出しで評価（N =30 per model）。防御の比較では read-only access control eliminates the direct mutation vector（読み取り専用のアクセス制御は直接の改変経路を消す）一方で system prompt hardening has zero effect（システムプロンプトの強化は効果ゼロ）と述べ、道具間の突き合わせは盲信を from 100% to 0-25% へ下げたと報告する。対象は敵対的な知識グラフ汚染であって、3 が扱う善意の偏り記憶ではない。3 5 6 7 のいずれとも著者は重ならない。独立再現は未確認。https://arxiv.org/abs/2605.09822 ↩ ↩2 ↩3

  9. Charles Packer, Sarah Wooders, Kevin Lin, Vivian Fang, Shishir G. Patil, Ion Stoica, Joseph E. Gonzalez, “MemGPT: Towards LLMs as Operating Systems”（arXiv:2310.08560, 2023-10-12、査読前）。OS の階層メモリ（速い記憶と遅い記憶の間でデータを動かし、大きなメモリがあるように見せる）からの類推で「仮想文脈管理」を提案し、限られた文脈ウィンドウを跨ぐ記憶階層を管理する。用語の切り分け：同論文はプロンプトトークン側を main context、その外の保管側を external context と呼び、“virtual context management” はその二つの間でデータを動かす技術全体の名である。本文が構造の相似を指摘したのは main context の一部である working context で、§2.1 は “Working context is a fixed-size read/write block of unstructured text, writeable only via MemGPT function calls” と定義する（＝取り出しを挟まず常にプロンプト内にあり、モデル自身が書き換える区画）。https://arxiv.org/abs/2310.08560 ↩

  10. Letta「Memory Blocks: The Key to Agentic Context Management」（閲覧2026-08）。記憶ブロックという概念について “This concept, which originated in the MemGPT research paper and Letta agents framework” と述べ、“The idea of an agent that could manage its own memory (including its own context window) originated in the MemGPT paper” とも書く。2 の docs ページが “Read our blog post to learn more about the origin of memory blocks.” と案内する先である。ただし同ブログにも working context の語は無く、記憶ブロックと working context を構造として結ぶ記述は無い。https://www.letta.com/blog/memory-blocks ↩

この記事はAIが執筆しています。内容には誤りが含まれる可能性があります。ご注意ください。