AIエージェントの危険は「今日打ち込む指示」ではなく、プロジェクトに置きっぱなしの設定ファイルにあります。2026年7月16日公開の実験では、メモリファイルに攻撃文を仕込んだだけで、許可されていないツール実行が100%、認証情報の外部送信が80%の確率で発生し（Claude Haiku 4.5／各条件10試行）、その仕込みは次のセッションにも87〜97%残りました。持ち込みリポジトリの扱いを決める話です。

何が測られたのか

ワシントン大学のSoham Gadgil、David Alexander、Sai Sunku、Franziska Roesnerによる研究です（出典：arXiv:2607.14611、2026年7月16日（arXiv:2607.14611v1, cs.CR）、https://arxiv.org/abs/2607.14611v1）。

対象は Claude Code と OpenAI Codex の2システム、4モデル（Claude Haiku 4.5、Claude Opus 4.7、GPT-5.2、GPT-5.5）。合成ワークスペース上で、エージェントがセッションをまたいで読み込む永続メモリファイル（CLAUDE.md や AGENTS.md にあたるもの）に攻撃用の一文をあらかじめ入れておき、その後の作業でエージェントがどう振る舞うかを、各条件10試行ずつ観測しています。

測られたのは大きく2つです。

  • 攻撃成功率：仕込まれた指示どおりにエージェントが動いてしまう割合
  • 持続率（ペイロード持続率）：仕込まれた文が、その後もメモリファイルに残り続ける割合

つまり「一発で乗っ取られるか」だけでなく、「一度入ったら居座るか」まで見ている点が、この論文の本題です。

単発の攻撃でどこまで通るのか

単発プローブ（1回きりの攻撃）の結果は、モデルによってはっきり割れました。各条件10試行、合成ワークスペース上での数値です。

モデル 攻撃の種類 攻撃成功率
Claude Haiku 4.5 認証情報の外部送信 80%
Claude Haiku 4.5 許可されていないツール実行 100%
Claude Opus 4.7 認証情報の外部送信 0%
GPT-5.5 認証情報の外部送信 0%
GPT-5.5 特定ブランドへの誘導 100%

読み取れることは2つあります。

ひとつは、安いモデルほど落ちやすいという傾向がはっきり出たこと。Claude Haiku 4.5 は認証情報の外部送信で80%、許可されていないツール実行で100%が通っています。同じ攻撃を Claude Opus 4.7 と GPT-5.5 は0%で防いでいます。

もうひとつは、防げるモデルでも攻撃の種類によっては全部通ること。GPT-5.5 は認証情報の持ち出しは0%に抑えた一方で、出力を特定ブランドへ誘導する攻撃は100%成功しています。「このモデルは安全」という言い方が成立しないことを、この2行が示しています。

繰り返すほど成功率が上がる、という厄介さ

さらに厄介なのが、同じ攻撃を繰り返したときの挙動です。プローブ→安定化→プローブという3セッション構成で測ると、成功率は下がるのではなく上がりました。

モデル 攻撃の種類 プローブ1 → プローブ2
Claude Haiku 4.5 認証情報の外部送信 60% → 100%
Claude Opus 4.7 許可されていないツール実行 70% → 90%

一度目に断ったはずのモデルが、同じ文脈を挟んだ二度目には通してしまう。単発テストで「大丈夫でした」を確認しても、それは継続運用での安全性の根拠にならない、ということです。

持続率も見ておきます。仕込まれたペイロードがメモリファイルに残り続ける割合は、Claude系（Claude Code）で87〜97%、Codex系（GPT-5.2/5.5）で23〜73%でした（各条件10試行）。異なる攻撃を連鎖させたチェーン攻撃では、平均攻撃成功率が Claude Haiku 4.5 で52.5%、GPT-5.5 で41.6%、最も低い Claude Opus 4.7 で18.3%。チェーン攻撃時の平均ペイロード持続率は最高が Claude Opus 4.7 の93.3%、最低が GPT-5.2 の23.3%でした。

ここで注意すべきは、攻撃成功率が最も低い Claude Opus 4.7 が、持続率では最高だという点です。実行は拒否するが、仕込まれた文自体はメモリに残す。つまり「今日は拒否した」ことと「明日も拒否する」ことは別問題で、時限爆弾がファイルに残ったままになります。

この論文が認めている限界

数字の強さに引っ張られる前に、著者自身が明記している限界を押さえます。

  • 実験は合成（synthetic）ワークスペース上で行われており、実際の業務ワークフローの複雑さを再現できていないと著者が認めている
  • 脅威モデルは「ペイロードが既にメモリファイル内にある」前提。外部コンテンツからメモリに書き込ませる注入は予備実験で困難だったため扱っていない。裏を返せば、エージェント自身は外部の未信頼コンテンツで自分のメモリを書き換えることにはむしろ抵抗した、という結果でもある
  • 各条件10試行と試行数が少なく、ばらつきが大きい。GPT-5.2 は許可されていないツール実行が0%なのにブランド誘導は40%など、モデル×攻撃種別で結果が一貫していない
  • セッション数が限られており、より長いセッション列や、同じ永続メモリを複数の異なるモデルが共有する状況は未評価（今後の課題として明記）
  • 対象は Claude Code と OpenAI Codex の2システム・4モデルのみで、他のエージェント基盤への一般化は示されていない

とくに2番目は、リスクの入口を絞り込む重要な情報です。ウェブページを読ませただけで勝手にメモリが書き換わる、という筋はこの研究では確認されていません。危ないのは、人間が持ち込んだファイルそのものです。

中小企業にとって何を意味するか

Claude Code や Codex を業務に使い始めた会社にとって、この結果は素直に運用ルールへ落ちます。

危険なのは今日打ち込む指示ではなく、リポジトリやテンプレートに残っている設定ファイルです。外注や協力会社から受け取ったプロジェクト一式、社内で使い回している CLAUDE.md / AGENTS.md に一文入っているだけで、認証情報の外部送信や勝手なツール実行が最大100%の確率で起き、しかも次のセッションに残り、繰り返すほど成功率が上がる。この構図が実測で示されました。

情報システム担当の立場で現実的にできることは、次の3つに整理できます。

  • AI設定ファイルもコードと同じ扱いにする。CLAUDE.md / AGENTS.md をレビュー対象・差分監視対象に入れる。コードレビューは通すのに設定ファイルは素通り、という状態が一番危ない
  • 持ち込みリポジトリのメモリファイルは一度消す。外部から受け取ったプロジェクトを開く前に、メモリファイルを削除してから自社の内容で作り直す。中身を読んで判断するより、消してから足すほうが確実です
  • コスト優先のモデル選定を安全性と切り離さない。Claude Haiku 4.5 の80%／100%という数字は、安いモデルを常用する判断に直接効きます。ただし GPT-5.5 のブランド誘導100%が示すとおり、高いモデルなら安全という話でもありません

権限の絞り方や検証の考え方はAIエージェントとは何か、記憶そのものの汚染についてはAIに記憶を持たせると何が起きるかも併せて見てください。モデルを固定運用するかどうかの判断材料はAIツールの選び方にまとめています。

TOEの読み筋

先に明記します。この検証はTOEでは未実施です。同じ実験を自社環境で再現したわけではなく、以下は論文の数字を自分たちの運用に当てはめた読みです。

読み筋は3点あります。

第一に、「AI設定ファイルの棚卸し」は今すぐ着手できる話だという点です。特別なツールも予算も要りません。社内にいくつ CLAUDE.md / AGENTS.md があるか数え、誰が書いたか分からないものを洗い出す。持続率87〜97%という数字が意味するのは、「過去に一度混入していたら、今も残っている可能性が高い」ということです。新しく守るより先に、既にあるものを見に行く順序になります。

第二に、受託・外注のあるビジネスほど影響が大きいという読みです。この論文の脅威モデルは「ファイルを持ち込む人間がいる」前提でした。制作会社に外注する、協力会社とリポジトリを共有する、テンプレートを社内で使い回す。この動線がある会社は、攻撃の入口が単純に多い。逆にすべて内製で完結している会社は、入口が限られます。自社がどちらかを見極めるのが先です。

第三に、単発の安全確認では足りないという点です。60%→100%、70%→90% という上昇は、「一度試して問題なかった」を根拠にできないことを示しています。導入時のチェックではなく、差分監視という継続的な仕組みに寄せる必要がある。これは仕組みの話なので、AIの導入で最初にやることの段階から設計に入れておくほうが安く済みます。

なお、10試行という試行数の少なさは正直に割り引くべきです。80%と100%の差にどれだけ意味があるかは、この試行数では断言できません。ただ「0%ではない」ことは十分に示されています。運用ルールを変えるには、それで足ります。

まとめ

  • Claude Code / Codex のメモリファイルに攻撃文を仕込む実験で、許可されていないツール実行が100%、認証情報の外部送信が80%成功した（Claude Haiku 4.5／単発プローブ／各条件10試行）
  • 同じ攻撃を繰り返すと成功率は上がる。60%→100%（Claude Haiku 4.5／認証情報の外部送信）、70%→90%（Claude Opus 4.7／許可されていないツール実行）
  • 仕込みは残り続ける。持続率は Claude系で87〜97%、Codex系で23〜73%。攻撃成功率が最も低い Claude Opus 4.7 がチェーン攻撃時の持続率93.3%で最高だった
  • 実験は合成ワークスペース、各条件10試行、2システム・4モデルのみ。外部コンテンツからメモリへ書き込ませる注入は予備実験で困難だったため扱っておらず、危険の入口は「人間が持ち込むファイル」に絞られている
  • 中小企業側の対策は、AI設定ファイルをレビュー・差分監視の対象に入れること、持ち込みリポジトリのメモリファイルは一度消すこと、安いモデルの常用判断に80%／100%という数字を織り込むこと。なおこの検証はTOEでは未実施