6月22日、Cyber Security Newsが「13-Word Reddit Comment Can Poison ChatGPT and Gemini AI Search Results」と題した記事を公開した。Cornell Techの研究者らが明らかにした攻撃手法は衝撃的だ。特別な権限もモデルの内部情報も不要で、公開Redditアカウントさえあれば、たった13語のコメントを投稿するだけでChatGPTやGeminiが生成するリサーチレポートに虚偽情報を混入できる——しかも、既存の防御策はすべてこの攻撃を無効化できなかった。
13語で成立する攻撃
Cornell Techの研究者らが発表した論文で、WARP（Web Agent Retrieval Poisoning）と名付けられた攻撃手法が明らかになった。対象は「ディープリサーチエージェント」と呼ばれるAIシステムで、STORM、Co-STORM、OmniThinkといったオープンソース実装のほか、OpenAIのDeep ResearchやGoogleのGemini Deep Researchといった商用サービスも含まれる。
これらのエージェントはユーザーのクエリを複数のサブクエリに分解し、ウェブ上のコンテンツを自律的に収集・統合してレポートを生成する。問題の核心は、クエリの表現を変えても同一のUGC（ユーザー生成コンテンツ）ページを繰り返し取得してしまうという設計上の特性にある。RedditやWikipediaへのアクセスが集中するため、攻撃者にとって格好の的になる。
攻撃は3段階で完結する：
- 偵察：Googleなどの検索エンジンで、特定トピックに関する複数クエリで一貫して上位表示されるReddit等のURLを特定する。必要なのはブラックボックスの検索アクセスのみで、特別な権限は不要。
- 毒入りコンテンツ生成：ページのトーンに自然に溶け込むよう、架空のブランドや虚偽サービスを宣伝する短い文章を作成する。LLMによるGEO（Generative Engine Optimization）を活用すれば、わずか13語に圧縮しても高い攻撃成功率を維持できる。GEOとは、生成AIの検索・要約結果に自コンテンツを優先的に引用させるための最適化手法で、SEOのAI版とも言える概念だ。
- 投稿：Redditにコメントとして投稿するだけ。インデックスされれば、対象URLが取得されるたびに毒入りスニペットが自動的にエージェントの知識ベースに混入する。
研究論文によれば、必要なのは公開Redditアカウントのみ。検索エンジンのインフラへのアクセスもモデルの内部情報も一切不要という点が、この攻撃の脅威度を高めている。
実験結果：成功率は最大100%
Cornell Techの研究チームは、暗号通貨投資アドバイス・サービス解約クエリ・地元レストラン推薦など11トピッククラスター、176クエリを対象に実験を実施した。結果は深刻だ。
- Co-STORM：毒入りURLが取得された場合の引用率 **100%**。架空エンティティが必ずレポートに引用される。
- STORM：条件付き引用率 **72.5〜80.8%**、言及率は最大 **56.9%**。
- Gemini Deep Research：UGCの引用率 12.1%、11トピッククラスターで102件の繰り返しUGC URLが確認され、攻撃面は広い。
- OpenAI Deep Research：UGC引用率は約 0.4% と低く、Redditなどを最終引用から除外する傾向があるが、中間推論ステップには毒入りコンテンツが影響し得る。
Redditは全テスト済みシステムで最多取得UGCプラットフォームとなっており、全UGC URLの**54〜71%**を占めた。
既存の防御策はすべて機能しない
研究チームは3種類の防御策を評価した。
- ソースレベルブロッキング（UGCドメインのブラックリスト化）
- 入力フィルタリング（LLMによるコンテンツスクリーニング）
- 出力フィルタリング（クリーンなレポートとの意味的比較）
しかしいずれも出力品質を損なわずに攻撃を無効化できなかった。
特に示唆的なのが、パープレキシティ（perplexity）ベースの検出手法の失敗だ。これはコーパスポイズニングへの標準的な防御手法だが、WARP攻撃の前では根本的に機能しない。GEOで生成された毒入りテキストはLLMが自然に生成した文章であるため、オーガニックなUGCよりもパープレキシティが低く、つまり統計的により「自然」と判定される。高パープレキシティを異常の指標とするフィルターは、むしろ毒入りコンテンツをクリーンと判断して通過させてしまう。
出力類似度分析も同様に失敗している。毒入りレポートは同一トピック内のクリーンなレポート同士よりも高い類似スコアを示した。これは、毒入りコンテンツが内容として「それらしく」まとめられているためであり、意味的な近さだけでは汚染を検出できないことを意味する。いずれの手法も、攻撃そのものがLLMの生成能力を利用して自然さを獲得しているという点において、原理的に太刀打ちできない構造になっている。
構造的な問題
研究が指摘するのは個別の実装バグではなく、ディープリサーチエージェントの設計思想そのものに内在する脆弱性だ。オープンウェブのUGCを知識の根拠とすることが、最大の攻撃面でもある。
UGCソースを完全にブロックすれば攻撃面は消えるが、レポートの品質と情報多様性が測定可能なレベルで劣化する。研究者らはこのトレードオフに明確な解を示せておらず、防御側にとって難しい状況が続く。
なお、論文のコードとシミュレーションフレームワークは防御研究の促進を目的として公開されている。
詳細は13-Word Reddit Comment Can Poison ChatGPT and Gemini AI Search Resultsを参照していただきたい。
