FARMA解説：エージェント記憶の汚染攻撃とSENTINEL防御

LLMエージェントが長期記憶を持つほど、「何を覚えたか」だけでなく「どう考えて覚えたか」まで攻撃面になります。2026年7月、arXivに公開された論文「Your Agent's Memories Are Not Its Own」（arXiv:2607.08032）は、事実知識ではなく推論履歴そのものを汚染するFARMAを提案し、キーワード検査や多数決型の防御をすり抜ける手順を示しました。防御側ではSENTINELが、複数の重み付きシグナルで構造的な偽造検出を試みます。本稿では攻撃の仕組み、防御の設計思想、並行するMOSSやレート歪み理論の議論を横断し、Corpus2Skillのスキルツリー蒸留がなぜこの文脈で堅牢性を持ちうるかを整理します。

長期記憶が生む新しい攻撃面

エージェントがツールを呼び、途中経過をメモリへ書き戻す設計は、いまや標準に近い状態です。便利な反面、記憶レイヤは外部入力・自己生成ログ・過去セッションの要約など、出所の異なる情報を同居させがちです。従来の知識汚染は「誤った事実チャンクを埋め込ませる」方向が中心でしたが、FARMAは対象を覚えた結論ではなく、そこに至る推論トレースへ移します。

推論トレースは、後続ステップのコンテキスト、自己反省、コンセンサス判断の材料になります。ここが汚染されると、エージェントは「正しい事実を参照しているつもり」でも、偽の根拠の上で一貫した誤った方針を積み上げかねません。前稿で扱ったMOSS（MOSS解説：RAGに代わる監査可能なエージェント記憶）が指摘した「埋め込み近傍の選定理由が残らない」問題は、攻撃者にとって格好の隠れ場所でもあるのです。

企業利用では、誤答そのもの以上になぜその判断に至ったか説明できないことがリスクになります。攻撃が「事実の改ざん」ではなく「思考過程の偽造」になると、ログ監査やキーワード禁止リストだけでは検知が遅れます。

FARMA：偽造推論を増幅する二段構え

FARMA（Forged Amplifying Rationale Memory Attack）は、おおむね次の二段階で展開されると論文は整理しています。

• 挿入段階：キーワードベースの防御を避けるための「隠蔽言語」を用いて、一見もっともらしい偽の推論トレースを記憶へ仕込む
• 増幅段階：自己参照的な再強化により、偽トレースを後続の推論材料として何度も呼び起こし、コンセンサス型防御を崩す

第一段階のポイントは、露骨な禁止語や指示上書きを避けることです。明らかに怪しい命令文ではなく、それらしい因果・比較・例外条件を並べた「根拠の形」を入れるため、単純な禁止リストや正規表現では弾きにくい。第二段階では、エージェント自身が過去の推論を参照する性質を利用し、偽トレースを「すでに合意された前提」に祭り上げます。多数の記憶エントリのうち多数派・類似派を信じようとする設計ほど、自己参照で汚染が雪だるま式に広がる余地があります。

ここで注目すべきは、攻撃対象が「ナレッジベースの誤り」ではなくエージェントの内省ログである点です。RAGのチャンクをきれいに保っていても、セッション内／セッション間の推論メモリが汚れていれば、行動方針は連鎖的に汚染されうる。記憶を持つエージェントほど、「検索精度」だけでは足りないことがはっきりします。

SENTINEL：5つのシグナルで偽造を見抜く

同一論文群で提案されるSENTINELは、推論エントリを「文章として読む」だけでなく、Reasoning Guardによって構造的に検査します。防御の中心は、単一のしきい値や禁止語ではなく、重み付きの複数シグナルを組み合わせる点にあります。外形的に自然な文章でも、因果の飛躍・出典の不在・自己参照ループ・他エントリとの不整合といった形の歪みは残りやすい、という発想です。

これはセキュリティにおける多層防御に近い考え方です。キーワードマッチが第一関門だとしても、攻撃側が隠蔽言語を使う限り突破されます。そこで「その推論はどの前提から導かれたか」「突然の自己強化が起きていないか」「類似エントリが独立証拠として振る舞っていないか」といった軸を並行で見る必要がある、というわけです。

重要なのは、防御が内容の真偽判定だけに賭ける設計ではないことです。世界知識の更新速度が速い領域では、事実データベースとの完全一致で偽推論を落とすのは現実的でありません。一方、構造的に怪しい推論パターン——途中過程が欠落している、参照が閉じた輪になっている、など——は、ドメインを問わずシグナルとして使いやすい。SENTINELが狙うのはこの層です。

並行研究：監査不能なベクトル空間と圧縮の下限

FARMAの攻撃面は、近隣の研究動向ときれいに噛み合います。MOSS（arXiv:2607.04391）は、エンベディング類似度検索の不透明さと監査困難性を、エージェント記憶の構造的弱点として位置づけました。ベクトル近傍は「近い／遠い」を返すだけで、なぜその根拠を採用したかの経路が残りにくい。経路が残らなければ、偽造トレースを後から立ち入って検証するのも難しくなります。

また「What to Keep, What to Forget」（arXiv:2607.06964）は、KVキャッシュ、プロンプト剪定、アーキテクチャ状態、エージェント記憶の統合を、いずれもレート歪み決定——限られた予算の中でどの程度の忠実度で保持／破棄するか——として統一します。ここでの示唆は二つあります。第一に、アテンションの大きさや最新性だけで捨てる設計は、クエリが分かる前に有用信号を不可逆に失いやすいこと。第二に、単発の長文圧縮はよく測られる一方、エージェントが実際に行う反復的な記憶圧縮はまだ十分にベンチマークされていないことです。

攻撃研究と圧縮理論は表面的には別物に見えますが、共通課題は明確です。何を、どの形で、どの根拠付きで残すかを設計しない限り、効率も安全性も後付けになりがちだ、ということです。

Corpus2Skillとの接点——過程を構造として残す

Corpus2Skill／「Don't Retrieve, Navigate」は、コーパスをオフラインで階層スキルツリーへ蒸留し、実行時にエージェントが鳥瞰から細部へドリルダウンする方式です（詳細は「論文解説：Don't Retrieve, Navigate」「スキルツリー構造」）。この設計がFARMA文脈で興味深いのは、知識がフラットな類似チャンクの集合ではなく、辿れる枝と要約の積層として保持される点にあります。

推論過程がナビゲーション経路として残るなら、監査対象は「スコア上位N件」ではなく「どのノードを経て全文へ到達したか」になります。経路は説明責任の材料になり、SENTINELが目指す構造的検証とも方向性が近い。さらにリーフで取得するのは文書全文であるため、断片化された偽根拠だけを寄せ集めて物語を作る余地を、構造的に狭められます（位置づけは「従来RAGとの比較」「ベンチマークと評価」）。

もちろん、Corpus2SkillがFARMAを自動で防ぐ製品実装だ、という主張ではありません。コンパイル時のクラスタリングには埋め込みが使われますし、汚染付きコーパスを与えれば歪んだツリーもでき得ます。それでも、推論と根拠の形状を明示的に残すという選択は、「隠蔽言語で似せ、自己参照で増やす」攻撃に対する設計上の摩擦を増やします。レート歪みの枠組みで言えば、スキルツリー蒸留は単なるトークン削減ではなく、構造を保持したまま忠実度を最適化する圧縮として再解釈できます。

実務上の示唆は次のとおりです。

• エージェントメモリに推論ログを書き戻すなら、キーワード検査だけでなく構造シグナル（参照閉包、急激な自己強化、出典の有無）を監視する
• コンセンサス防御だけに頼ると、自己参照で「多数派が汚染される」逆転が起きうることを設計レビューに含める
• ナレッジ基盤は「ヒットの寄せ集め」から、「辿れる地図と原文到達」への移行を検討する（監査・インシデント調査の双方に効く）
• コスト面でも、ナビゲーションとプロンプトキャッシュの組み合わせ（48%コスト削減の考察）は、説明可能性と経済性を同時に議論する材料になる

まとめ：記憶はデータ量ではなく「根拠の形」で守る

FARMAは、エージェント時代の攻撃が「誤った事実を仕込む」だけでは終わらないことを示しました。隠蔽言語で過程を偽装し、自己参照で増幅すれば、キーワードと単純な多数決は破綻しうる。SENTINELは、その対抗として複数シグナルによる構造検査を提示します。MOSSの監査可能性、レート歪み理論の「何を残すか」問題と並べると、2026年夏の共通テーマは記憶をベクトルヒットの袋ではなく、検証可能な構造として設計し直すことだと見えます。

Corpus2Skillの「検索するな、ナビゲートせよ」は、性能競争のスローガンであると同時に、説明と防御のためのアーキテクチャ選択でもあります。次に追うべきは、単発ベンチの勝敗以上に、組織がエージェントに何をどう覚えさせ、どの経路を後から検証できるかという運用設計でしょう。本サイトでは、論文と実装の両面からこの転換を引き続き追います。