2026.08.13

AIエージェントの新脆弱性「迂回誘導」――タスクは成功するのに、コストだけ密かに膨張する

TL;DR

第三者スキルを組み込むLLMエージェントを狙う新攻撃「迂回誘導」は、タスクを正しく完了させたままトークン消費とレイテンシだけを密かに増やす。「タスク成功=品質OK」という評価の前提そのものが崩れる。
Googleでは共同創業者ブリン氏がGemini開発を非公式に主導してきたと報じられ、旗艦モデルは2ヶ月延期、経営体制も刷新された。フロンティア競争の順位は数ヶ月単位で入れ替わっている。
OpenAI CodexとSakana AIはユーザー基盤の拡大を競う一方、低リソース言語向けAIインフラの構造的な格差を定量化した研究も出ている。

本命:スキル型AIエージェントを狙う新攻撃「迂回誘導」

arXivに8月公開された論文は、外部の第三者スキル(自然言語の説明文で選択され、実行時の指示本文で計画に使われる)を組み込むLLMエージェント向けの新しい攻撃「Convergent Detour Hijacking(CDH)」を提示している。テキストのみで完結し実行環境に依存しない攻撃で、スキル選択時には説明文が「関連性がある」ように見せかけ、実行計画時には同じ理屈を使う指示本文が本来不要な依存関係をでっち上げる。攻撃者が用意した「調整役」スキルが正規のスキルと並んで選ばれ、不要な良性スキルを迂回路に巻き込んだ上で、最終的には本来のルートに戻ってタスクを完了させる。複数のLLMバックエンドと491件のタスクで検証した結果、DeepSeek-V4-Proでは調整役スキルが80.02%のタスクで選ばれ、選ばれた上でタスクが完了したケースではトークン消費が66.91%、実行時間が92.45%増加した一方、タスク完了率自体はほぼ変わらなかった。(arXiv)

技術的読み

プログレッシブディスクロージャー(説明文で選び、詳細は実行時に開示する)という、スキル型エージェントの標準的な設計そのものが攻撃面になっている点が核心。既存研究は「選択操作」「悪意ある指示」「ツールチェーンのリソース増幅」を個別に扱っていたが、この論文はそれらを連結させ一つの攻撃として実証した。重要なのは、タスク完了率という一般的な評価指標では検知できないという点で、攻撃は「正しく動く」ことを維持したままコストとレイテンシだけを操作する。

ビジネス的読み

この攻撃モデルは、第三者スキル・プラグイン・MCPサーバーなどのマーケットプレイス型エコシステムに対する経済的な脅威になる。タスク完了で品質を測る限り検知は難しく、悪意ある(あるいは単に非効率な)スキルが利用者のトークン消費を静かに底上げし続けられる。アウトカム課金・従量課金いずれの料金モデルでも、これは提供者側の粗利を毀損しうる新しい費用構造リスクであり、マーケットプレイス運営者には安全性審査に加えてコスト・実行軌跡の監査という運用負荷が新たに発生する。

逆張り・見落とし

本論文はDeepSeek-V4-Proでの実測値が中心で、Claude Skills・MCPサーバーなど実運用中の主要エコシステムで同種の攻撃が野生で観測された報告ではない。査読前のarXiv論文かつ研究用テストベッドでの実証である点は割り引いて読む必要がある。ただし攻撃自体はテキストのみで完結しモデル非依存という設計上、対象エコシステムへの移植コストは低いとみられる。判定:signal(新規の定量結果を伴う一次研究)。確信度:中――実運用エコシステムでの実証はまだない。

含意とポジション

第三者スキルやMCPツールを組み込んだエージェント製品を作る、あるいは使うなら、「タスクが成功したか」だけでなく、スキルの組み合わせごとにトークン消費と実行時間のベースラインを取り、逸脱を異常検知する仕組みが今日から必要になる。スキルマーケットプレイスを事業として構想している場合、この監査コストは無視できない運用負荷として設計に織り込むべき。フロンティアラボが将来この種の異常検知を標準機能として吸収する可能性は高く、自前で作り込みすぎず軽量なコスト監視から始めるのが妥当。

その他の重要トピック

1. Gemini開発遅延とブリン氏の関与

ロイターの報道によれば、Googleの共同創業者セルゲイ・ブリン氏は過去数ヶ月、Google DeepMindの主要従業員にGemini開発の加速を促してきた。Geminiは2025年11月に競合モデルに対して優位に立ったが、AnthropicとOpenAIの製品アップデートにより再び後れを取り、Googleは8月に予定していた旗艦モデルの公開を2ヶ月延期した。情報筋によれば、コーディングなどの性能で競合に劣後していることが社内試験で判明したためという。ブリン氏は役員の肩書を持たないが、「再帰的自己改善(RSI)」技術への資源配分を非公式に主導してきたと伝えられる。あわせてAlphabetは8月5日、Google DeepMindのデミス・ハサビスCEOが会長に就き、コレイ・カブクチュオール氏が後任CEOとなる人事を発表した。一方、Geminiの技術面で共同責任者を務めていた2人の従業員は、スタートアップ企業を共同設立するために退社した。Googleはロイターの取材に回答していない。(ITmedia)

技術面では、2025年11月に一度優位に立ったGeminiが再び後れを取ったという事実が、フロンティアモデル競争の順位が短期間で反転しうることを示す。ビジネス面では、経営体制の刷新と技術責任者2名の離脱が同時期に起きているが、記事はこれらを因果関係として断定しておらず、時期が重なる複数の事実として報じている点に注意が必要。so what:単一のフロンティアラボのAPIに強く依存する設計は、数ヶ月単位で性能順位が入れ替わるリスクを抱える。モデル切り替えを前提とした抽象化層を保つ判断の妥当性が改めて示された。スタンス更新:特定ラボへの長期コミットを急ぐ理由は薄い。

2. OpenAI Codex、1500万ユーザー突破

OpenAI幹部ティボ・ソティオ氏は8月12日、Codexのアクティブユーザーが1500万人を超えたとXで表明した。同氏は以前、アクティブユーザーが1000万人に達するまで100万人増えるごとに利用制限をリセットすると約束しており、1000万人到達後は沈黙していたが、今回「ちょっとしたサプライズ」として改めてリセットを行い、消費の激しいFastモードの利用を呼びかけた。Codexのアクティブユーザーは7月9日のGPT-5.6公開後に伸びが加速し、7月21日に1000万人へ到達していた。(ITmedia)

1000万人から1500万人への到達は約3週間だが、それ以前の増加ペースとの比較データは示されておらず「加速」の絶対値評価は限定的。「アクティブユーザー数」は運営側発表の指標であり、有料課金者数や売上とは別物である点も区別が必要。過去にはClaude Codeとの間で利用制限の”リセット合戦”が起きており、無料枠拡大による見かけ上のユーザー数競争という側面も指摘できる。so what:コーディングAIツールの選定で重視すべきは公表ユーザー数ではなく、自分のワークフローでの実測コスト・品質。ユーザー数の伸び自体は乗り換え判断の材料にならない。

3. Sakana Fugu、無料開放

Sakana AIは8月13日、無料チャットサービス「Sakana Chat」をアップデートし、複数AIモデルの集合知を使う「Sakana Fugu」を(メール登録を条件に)無料で使えるようにした。あわせてPythonのサンドボックス実行、HTML/ファイルプレビュー、Office・PDFファイル添付にも対応。既存モデル「Sakana Namazu」はベースを中国Moonshot AIのオープンモデル「Kimi K2.6」に変更した。Sakana Fuguは複数モデルを動的に組み合わせる仕組みで、Sakana AIは「フロンティアモデルに匹敵する性能」とうたっている。(ITmedia)

複数モデルを動的に組み合わせるオーケストレーション層でフロンティア級性能を狙うアプローチ。個別モデルの「Sakana Namazu」はKimi K2.6(旧DeepSeek-V3.1-Terminus)など他社オープンモデルをベースにしており、Fugu自体がどのモデルを組み合わせているかは記事からは確認できない。「フロンティアモデルに匹敵する」という評価は自社発表で、第三者検証の有無も記事から確認できない。無料開放とメール登録の組み合わせは、ユーザー基盤・データ獲得を狙った普及策と読める。so what:堀がモデル本体でなく組み合わせ方にある場合、同種の設計は模倣されやすい。無料化は防御線というより間口拡大策として捉えるのが妥当。

4. 低リソース言語のAIインフラ格差(Structural Silence論文)

arXiv論文は、AI教育・言語支援ツールが低リソースコミュニティのアクセスギャップ解消策として喧伝される一方、学習コーパス・トークナイゼーション・評価ベンチマーク・展開アーキテクチャがモデル訓練以前の段階で特定言語話者を体系的に不利にしうると指摘する。世界的に話者数の多いベンガル語を対象に、①グローバルWebコンテンツに占める割合が0.5%未満(世界人口の約4%を占めるにもかかわらず)、②主要多言語コーパスでの英語対ベンガル語の訓練トークン比が67対1、③ベンガル語のアルファ音節文字によるトークン肥沃度の上昇がデータ不足をさらに悪化させる、④農村部のインターネット個人普及率36.5%(都市部71.4%)という4つの相互連関する障壁を定量化した。論文はデータ不足を個別の技術的限界でなく構造的障壁として捉え、オフラインファースト設計を公平性志向のインフラ戦略として位置づけるべきと主張している。(arXiv)

4つの数値は、既存の多言語AIインフラが特定言語圏に非対称なコストを課していることを定量的に示すもので、論文自体は費用換算や収益機会を主張していない。低リソース言語圏を対象にした教育・言語支援プロダクトは、既存フロンティアモデルを単純にラップするだけでは論文が指摘する構造的な不利を解消できない可能性がある。so what:該当言語圏をターゲットにする場合、トークン肥沃度の高さによる処理コスト増とオフライン前提の設計を前提にUEを組む必要がある。この構造的障壁を単独ラボが容易に埋められない以上、独自データ収集とオフライン配布の工夫自体が模倣されにくい資産になりうる。

今週試すなら / 無視していい hype

今週試すなら:エージェント製品で使っている第三者スキル・MCPツールを1つ選び、通常実行時のトークン消費とレイテンシを記録してベースラインを作る。次回以降の逸脱検知の起点になる。

無視していい hype:「Sakana Fuguはフロンティアモデルに匹敵する」という自社評価は、第三者ベンチマークが出るまで保留でよい。