Memory Poisoning（メモリポイズニング）とは・意味、由来・手口・事例

最終確認日：2026年10月27日

Memory Poisoningとは？

Memory Poisoning（メモリポイズニング）とは、記憶（メモリ）の機能を持つAIエージェントやAIアシスタントに、攻撃者が偽の情報や悪意のある指示を覚え込ませる攻撃のこと。

英語では「memory poisoning」と書く。覚え込ませた内容は会話や作業が終わっても残り、あとのやりとりでAIの判断や行動をゆがめる。AIエージェントは一般に、目標に向けて自ら手順を決め、道具を使って作業を進めるAIを指す。

ソフトウェアのセキュリティに取り組む非営利の団体 OWASP は、2025年12月の「OWASP Top 10 for Agentic Applications for 2026」で、エージェント型のAIの10の危険の1つに「Memory & Context Poisoning」を挙げた。

OWASP によると、エージェントが残しておいてあとで取り出す情報には会話の要約や、検索した資料を答えに使う仕組み（RAG）のデータの置き場が含まれる。攻撃者がそこに悪意のあるデータや誤解を招くデータを入れると、その後の推論や計画、道具の使い方がゆがむ（※2）。

OWASP は一度きりの入力の指示を、LLMアプリの危険をまとめた別の一覧の「LLM01:2025 Prompt Injection」で扱うものとして、この項目の対象から外している。この項目が焦点を当てるのは、セッションをまたいで残るエージェントの記憶と、あとで取り出す文脈の汚れだ（※2）。プロンプトインジェクションは一般に、AIに読ませる文章に指示を紛れ込ませ、意図しない動きをさせる攻撃を指す。

Microsoft のセキュリティの研究チームは、外部の者が許可なく指示や「事実」をAIアシスタントの記憶に入れることを「AI Memory Poisoning」と呼ぶ。チームによると、記憶が汚されたAIは、入れられた指示を利用者の正当な好みとして扱う。そのため、その後の回答が影響を受ける（※3）。

Memory Poisoningの由来と注目されるようになった経緯

AIエージェントの記憶を汚す攻撃は、2024年には研究の題材になっていた。Zhaorun Chen 氏らは2024年7月、LLM（大規模言語モデル）を使うエージェントの長期の記憶や知識のデータベースを汚す攻撃を扱った論文「AgentPoison」を、論文の置き場 arXiv で公開した（※4）。

メモリポイズニングが脅威の一覧に名前で挙がったのは2025年だ。

OWASP は2025年2月に公開した手引き「Agentic AI – Threats and Mitigations」（同年12月に第1.1版）で、エージェント型のAIの脅威の一覧の最初（T1）に「Memory Poisoning」を置いた。手引きの説明では、AIの短期と長期の記憶を突いて悪意のあるデータや偽のデータを入れる脅威で、判断が変わったり許されていない操作が行われたりするおそれがある（※1）。

攻撃者の立場で自社のAIを試す Microsoft のAIレッドチームも、2025年4月に失敗の型をまとめた白書を公開した。白書はメモリポイズニングを、ほかのAIでも見られ、エージェントで重みが増す失敗の型に分けている（※5）。

AIへの攻撃の手口をまとめる MITRE ATLAS も2025年9月、AIエージェントの文脈を汚す手口「AI Agent Context Poisoning」（AML.T0080）を加え、その下に記憶を汚す型を設けた（※11）。

背景には、AIアシスタントの記憶の機能の広がりがある。Microsoft の研究チームによると、Microsoft 365 Copilot や ChatGPT などのAIアシスタントは、会話をまたいで残る記憶の機能を備えるようになった。記憶は好みや過去の仕事の文脈を覚えて役立つ一方で、新しい攻撃の入り口にもなる。指示や偽の事実を記憶に入れられれば、その後のやりとりに長く影響を及ぼせるからだ（※3）。

Anthropic は2026年5月25日の記事で、AIエージェントの届く範囲を区切る封じ込めの方法を説明し、今後の課題の1つ目に「持続的なメモリポイズニング」を挙げた。

同社によると、エージェントの文脈のうちセッションをまたいで残るものの割合が増え続けている。こうした文脈には、製品の記憶の機能や CLAUDE.md のファイル、決まった時刻に動くエージェントや長く動き続けるエージェントの状態を残す場所などが含まれる。そこに紛れ込んだ指示は、エージェントが動き出すたびに読み込まれる（※6）。

CLAUDE.md は、Anthropic のAIエージェント Claude Code に作業の決まりなどを伝えるために置くファイルだ。Anthropic は同じ節で、エージェントIDの扱いも課題に挙げている（※6）。Anthropic は2日後の5月27日の記事で、エージェントが今直面している脅威の1つにメモリポイズニングを数えた（※7）。

Memory Poisoningに関する主な出来事・ニュース

• 2024年7月17日　Zhaorun Chen 氏ら「AgentPoison」を公開：Chen 氏らは arXiv で、LLMを使うエージェントの長期の記憶や知識のデータベースを汚す攻撃を扱った論文を公開した。
• 2025年2月17日　OWASP「Agentic AI – Threats and Mitigations」を公開：OWASP は、エージェント型のAIの新しい脅威を脅威モデルに沿って整理し、対策を論じる手引きを公開した。
• 2025年4月24日　Microsoft、AIエージェントの失敗の型をまとめた白書を公開：Microsoft は、エージェント型のAIの失敗の型を分類した白書を公開し、メモリポイズニングはAIエージェントで特に厄介だと説明した。
• 2025年10月9日　Royce Lu 氏と Jay Chen 氏「When AI Remembers Too Much」を公開：Palo Alto Networks の Unit 42 の Lu 氏と Chen 氏は、AIエージェントの長期の記憶に、外部のウェブページから指示を書き込ませる実験の結果を公開した。
• 2025年12月9日　OWASP「OWASP Top 10 for Agentic Applications for 2026」を公開：OWASP は、エージェント型のAIのセキュリティで特に重大な危険を10にまとめた一覧を公開した。100人を超える専門家などの協力で作ったとしている。
• 2026年2月10日　Microsoft、「AI Recommendation Poisoning」の広がりを報告：Microsoft の研究チームは、企業がウェブサイトの「AIで要約」のボタンに指示を隠し、AIアシスタントの記憶に自社を勧めさせようとする試みを見つけたと報告した。
• 2026年6月4日　Microsoft、AIエージェントの失敗の型の分類を改訂：Microsoft のAIレッドチームは、1年の検証をもとに分類を改訂し、メモリポイズニングが検証で高い頻度で見られたと報告した。

Memory Poisoningの主な手口

Microsoft が挙げる、AIの記憶が汚される主な経路

Microsoft の研究チームは、記憶が汚される主な経路に、悪意のあるリンク、文書などに埋め込まれた指示、人をだます手口を挙げている（※3）。

• 悪意のあるリンク：AIアシスタントの入力欄に指示を書き込んだ状態で開くリンクを、利用者がクリックする。主なAIアシスタントの多くは URL に入れた文字を入力欄に入れる仕組みを持つため、1回のクリックで攻撃が成り立つ。
• 文書などに埋め込まれた指示：文書やメール、ウェブページに隠した指示が、AIがその中身を処理するときに記憶を書き換えることがある。
• 人をだます手口：利用者をだまして、記憶を書き換える命令を含む指示を貼り付けさせる。

OWASP が挙げる、記憶と文脈が汚染されるよくある型

OWASP は、記憶と文脈の汚染のよくある例に、次のような型を挙げている（※2）。

• 検索に使うデータの汚染：汚された情報源や直接のアップロードから、RAG のデータの置き場に悪意のあるデータが入る。
• 共有の文脈の汚染：使い回したり共有したりする文脈に攻撃者がふつうの会話を通じてデータを入れ、それがのちのセッションに影響する。
• 会話の中への差し込み：進行中の会話や作業に細工した内容を入れ、それが要約されて記憶に残るようにする。
• 長期の記憶のずれ：わずかに汚れたデータや要約、ほかのエージェントからの反応に少しずつふれることで、蓄えた知識や目標の重みづけがだんだんずれる。
• 隠れた仕掛け：汚れた記憶が、決まったきっかけで隠れた指示を実行させる仕掛けを植え付ける。
• エージェントの間での広がり：汚れた文脈や共有の記憶が、協力して動くエージェントの間に広がる。

OWASP の手引きは、起こりうる場面の例として、旅行の予約を受け持つエージェントの記憶に偽の料金の決まりを繰り返し覚えさせ、支払いの確認を通さずに予約させる攻撃を挙げている。顧客対応のアプリで共有の記憶に誤った返金の決まりを入れ、その記憶を使うほかのエージェントにも誤りを広げる例も示している（※1）。

Memory Poisoningに関する事例・研究

Unit 42 はエージェントの記憶に指示を残す実験を公開

Palo Alto Networks の Unit 42 の Royce Lu 氏と Jay Chen 氏は2025年10月、AWS の Amazon Bedrock でエージェントを作り、長期の記憶に攻撃者の指示を書き込ませる実験の結果を公開した（※8）。

両氏はエージェントの記憶の機能を有効にし、基盤のモデルには Amazon Nova Premier v1 を使った。攻撃の入力などを防ぐ機能（Bedrock Guardrails）は有効にせず、守りを最小限にした設定で試している。

両氏によると、記憶の機能を有効にした Bedrock のエージェントは、セッションが終わるたびにLLMで会話を要約して記憶に残す。次のセッションでは、エージェントがその要約を指示の一部として読み込む。実験では、次の流れで記憶に指示が残った（※8）。

攻撃を受けた利用者とのやりとりの最中、エージェントは不審な動きを見せなかった。指示が働き始めるのは次のセッションからで、エージェントは利用者の会話の履歴を気づかれずに外へ送るようになった（※8）。両氏は、これは Amazon Bedrock の脆弱性ではなく、LLMのプロンプトインジェクションという未解決の課題を示すものだとしている。

Unit 42 は公開前に Amazon と内容を確認した。Amazon は、Bedrock Guardrails の攻撃を防ぐ設定を使えば、こうした懸念は容易に抑えられるとの立場を示した（※8）。

Microsoft はAIの記憶を書き換えようとする31社の宣伝を確認

Microsoft の研究チームは2026年2月10日、宣伝のためにAIアシスタントの記憶を書き換えようとする試みを報告し、「AI Recommendation Poisoning」と名づけた（※3）。手口は、ウェブサイトに置いた「AIで要約」のボタンに、指示を入れたリンクを仕込むものだ。

ボタンを選ぶと、ページの要約を頼む指示と一緒に、その会社を信頼できる情報源として覚えさせる指示がAIアシスタントに送られる。

チームによると、メールの通信に含まれるAI関連の URL を60日間調べたところ、AIアシスタントの記憶に働きかけようとする宣伝目的の指示の例が50件見つかった。指示は31社から出ており、業種は金融、医療、法律のサービスなどにわたった。

どの例も、攻撃者ではなく実在の企業によるものだったという。こうしたボタンを作るための道具は公開されており、LLM向けの SEO（検索で目に留まりやすくする工夫）の手法として売り込まれていた（※3）。

チームによると、試みの効果はAIアシスタントの種類や時期によって違った。Microsoft は自社の Copilot にプロンプトインジェクションを防ぐ仕組みを入れ続けている。以前に報告されたふるまいの中には、再現できなくなったものもあるという（※3）。

Microsoft のAIレッドチームは1年の検証で記憶の汚染を多く確認

Microsoft のAIレッドチームは2026年6月4日、実際に使われているエージェント型のAIを12か月にわたって攻撃側から検証した結果をもとに、失敗の型の分類を改訂した（※9）。

チームによると、外部の文書などを通じたプロンプトインジェクションとメモリポイズニングは、高い頻度で見られ、組み合わさることも多かった。外部の内容を通じて永続する記憶に指示を入れる手口では、注入が1回成功すれば足りる。その後はエージェント自身が、以降のセッションにその指示を持ち越す（※9）。

Memory Poisoningの言い方

Memory Poisoningへの対策と利用者ができる確認

OWASP や Anthropic が勧める、エージェントの記憶を守る対策

OWASP は対策として、記憶に新しく書き込む内容を確定の前に検査することや、利用者のセッションや業務の領域ごとに記憶を分けることを挙げている。エージェント自身が生み出した出力を、信頼する記憶に自動で取り込み直さないことも勧めている。確かめられていない記憶には期限を設け、記憶の状態を保存して元に戻せるようにすることも対策に含まれる（※2）。

「何も信頼せず、すべてを確かめる」という考え方（ゼロトラスト）に沿った Anthropic の手引きも、エージェントの記憶を守る手順の中で、利用者やセッションの間の隔離、残した文脈を使う前の改ざんの確認、残す期間の決まりを挙げている。

手引きは、記憶の版を管理しておけば、汚染が見つかったときに問題のない状態へ戻せるとしている（※10）。Microsoft のAIレッドチームは白書の紹介の中で、記憶の更新のたびに外部の認証や確認を求め、エージェントが自ら記憶を残せる範囲を絞る方法を示した（※5）。

Microsoft が利用者に勧める、記憶の確認とリンクへの注意

Microsoft の研究チームは、AIアシスタントを使う人に向けて、記憶の一覧を見て覚えのない項目を消すことを勧めている。チームは、AIアシスタントを開くリンクの行き先をクリックする前に確かめることや、「AIで要約」のボタンには要約のほかの指示が隠れている場合があると考えることも挙げた。

Microsoft 365 Copilot では、設定の中の「Saved memories」から、保存された記憶の確認と削除ができる（※3）。

記憶の機能があるAIアシスタントを仕事で使う場合、AIに読ませる外部のウェブページや文書、メールも、記憶を書き換える入り口になりうる（※3）。AIの勧めに不自然な偏りを感じたら、AIに理由と根拠を尋ね、記憶の中身を見直すと良いだろう。

Memory Poisoningに関連する用語

• 暴走エージェント：与えられた役割や許された範囲から外れ、人が意図しない行動をとるAIエージェント。OWASP の同じ一覧の10番目に挙がっている。
• エージェントID：AIエージェントに、人の利用者のアカウントとは別に割り当てる専用のID。
• 封じ込め：AIモデルやAIエージェントが届く範囲をAIの外側の仕組みで区切り、意図しない動きの影響が外に及ばないようにする安全対策。

Memory Poisoningに関する出典

※1 OWASP「Agentic AI – Threats and Mitigations」（2025年2月17日、2025年12月に第1.1版）
※2 OWASP「OWASP Top 10 for Agentic Applications for 2026」（2025年12月9日）
※3 Microsoft Defender Security Research Team「Manipulating AI memory for profit: The rise of AI Recommendation Poisoning」（2026年2月10日）
※4 Zhaorun Chen、Zhen Xiang、Chaowei Xiao、Dawn Song、Bo Li「AgentPoison: Red-teaming LLM Agents via Poisoning Memory or Knowledge Bases」（2024年7月17日、arXiv）
※5 Microsoft「New whitepaper outlines the taxonomy of failure modes in AI agents」（2025年4月24日）
※6 Anthropic「How we contain Claude across products」（2026年5月25日）
※7 Anthropic「Zero Trust for AI agents」（2026年5月27日）
※8 Royce Lu、Jay Chen「When AI Remembers Too Much – Persistent Behaviors in Agents’ Memory」（2025年10月9日、Palo Alto Networks Unit 42）
※9 Microsoft AI Red Team「Updating the taxonomy of failure modes in agentic AI systems: What a year of red teaming taught us」（2026年6月4日）
※10 Anthropic「Zero Trust for AI agents」の章「Agent implementation workflow」
※11 MITRE ATLAS「atlas-data CHANGELOG」版5.0.0（2025年9月30日）