6月24日、Danny Goodwinが「A 13-word edit can steer what deep-research AI agents recommend」と題した記事を公開した。Cornell Techの研究者が明らかにしたのは、たった13語をRedditに書き込むだけで、AIのDeep Researchレポートに架空のエンティティを「正規の情報源」として引用させられるという事実だ。モデルへのアクセスもプロンプトの改ざんも不要で、操作されたページが取得された場合には38%〜51%のレポートに偽情報が紛れ込む。この数字が示す脆弱性は、Deep Researchを業務やリサーチに活用するエンジニアや開発者にとって無視しがたいものだ。
※なお、元論文のarXiv公開日は2025年5月22日だが、参照元記事の掲載日は2024年6月24日と表記されている。日付の関係については元記事・論文をそれぞれ直接ご確認いただきたい。
背景：Deep Researchエージェントとはなにか
Deep Researchとは、ユーザーのリクエストに対してエージェントが自律的に複数回の検索・ページ取得・要約を繰り返し、最終的に出典付きのレポートを生成するAIの利用形態を指す。OpenAIやGoogleが提供する同名のサービスが広く知られているほか、STORM・Co-STORM・OmniThinkといったオープンソース実装も存在する。
従来のRAG（Retrieval-Augmented Generation）が社内文書など管理された知識ベースを参照するのに対し、Deep Researchエージェントはオープンウェブを広範にクロールする点が根本的に異なる。この「開かれた取得パイプライン」こそが今回の攻撃の温床となっている。エージェントの普及とともに、ウェブ上のUGC（ユーザー生成コンテンツ）が新たな攻撃対象として浮上してきた背景には、こうした設計上の特性がある。
たった13語でAIレポートを汚染できる
この攻撃手法はWARP（Web Agent Retrieval Poisoning）と名付けられた。Deep Researchエージェントはユーザーのリクエストに対して複数の関連検索を実行し、取得したページを出典として引用しながらレポートを生成する。そのパイプラインの「取得」フェーズに介入する点が核心だ。攻撃者がすることは一つ——AIエージェントがすでに取得しやすいRedditスレッドやWikipediaページなどに、短いテキストを追記するだけである。
実験では架空の暗号資産「BananaCoin」を使った検証が行われた。13語の文章をページに挿入しただけで、Co-STORMが生成したレポートにBananaCoinが「新興の長期投資先」として登場し、正規の暗号資産ソースと並んで引用された。操作されたページが取得された場合、38%〜51%のレポートにこの偽エンティティが出現した。複数ページを標的にした場合は**42%〜62%**に上昇した。
さらに、挿入テキストが取得コンテンツ全体の4%未満であっても（完全なRedditスレッドに追記した場合）、30%〜53%のレポートにフェイク情報が紛れ込んだ。
なぜRedditが最大の脆弱点なのか
研究者たちがSTORM、Co-STORM、OmniThinkの3つのオープンソースシステムを分析したところ、取得URLの**17%〜23%がReddit・YouTube・Facebook・Wikipediaといったユーザー生成プラットフォームから来ていた。そのうちRedditだけで54%〜71%**を占めていた。
Deep Researchエージェントがオープンウェブを積極的に参照する設計上、一次情報として評価されやすいフォーラムや掲示板の書き込みが格好の標的になる。Redditが検索エンジンで高い権威を得ている現状と組み合わさることで、攻撃の成立条件がそろってしまっている。
なお、OpenAI Deep ResearchおよびGemini Deep Researchについては、UGC引用の分析は行われたが、公開ウェブへの実際の書き込みを伴うライブ操作テストは倫理的観点から実施されていない。
既存の防御策がなぜ機能しないのか
研究者たちが試みた対策は、いずれも限界を示した。
- UGCドメインのブロック: 攻撃経路は遮断できるが、製品の実体験レビューや地域情報といった有用なソースも失われる。
- テキストフィルタ: 挿入テキストはAIモデルが生成した流暢な文章のため、統計的な異常（パープレキシティ）を検出するフィルタは正常なユーザーの書き込みの方を誤検知しやすかった。
- レポートレベルの検査: エージェント自身がフェイクの推奨を自然な形で文章に組み込んでしまうため、汚染されたレポートと正常なレポートが外見上ほとんど区別できなかった。
研究の詳細
論文「Deep-Research Agents Can Be Poisoned via User-Generated Content」はCornell TechのTingwei Zhang、Harold Triedman、Vitaly Shmatikov氏らによって執筆され、2025年5月22日にarXivで公開された。テストにはGeoStormというシミュレーションフレームワークを使用しており、実在するウェブサイトへの改ざんは行っていない。
エージェントが「信頼できる情報」として提示するレポートの裏側に、UGCへの短い書き込み一つで操作が成立しうる——この構造的な脆弱性は、Deep Researchを業務やリサーチに活用するエンジニアや開発者にとって無視しづらい問題だ。
詳細はA 13-word edit can steer what deep-research AI agents recommendを参照していただきたい。
