AIメモリ汚染の隔離と復旧

AIメモリの汚染から復旧する際は、疑わしい一件の削除や会話のリセットだけで完了としません。保存された内容、書込み元、要約・統合の経路、派生物、参照中のcontext、復元用snapshotへ影響が残っていないかを確認し、隔離した状態から信頼できる入力で再構築し、再利用を再開できる根拠を残します。本項は防御側の隔離・調査・復旧を扱います。攻撃用入力や侵入手順の提供は含みません。

OWASP Agent Memory Guardは、ユーザー入力だけでなく永続メモリ自体を検査面として扱い、agentとmemory storeの間で操作を検査する設計を説明しています[S1]。これは保存・想起の経路にも制御が必要だという根拠であり、導入しただけで全汚染を検出する保証ではありません。

MemFormの原著は、保存内容だけでなく、根拠、scope、選択、統合順序というmemory形成の違いが後続挙動へ影響することを、限定されたprotocolと実装の実験で報告しています[S2]。実験上は成功した経験でも、保存・統合の仕方によって信頼できる挙動を保証しません。実環境の事故率や全製品の同一挙動に一般化しません。

CrewAI issue #5057は、LiteAgentが想起した記憶をsystem messageへ連結する経路を報告しています。取得時のissue表示はClosedであり、本文に示された過去の経路を現行すべての版の欠陥として扱いません[S3]。この報告は、元データの出所とprompt内の配置を混同すると権限が高く見える問題の具体例です。今回の候補は報告にある攻撃文字列を転載しません。

隔離は、対象を消して証拠を失うこととは異なります。通常の想起・要約・再学習用入力から除外し、別のアクセス制御された保存面に元artifact、hash、書込み元、時刻、処理履歴を保全します。疑わしい本文をincident logや新しい要約へそのまま複製すると、隔離経路が新しい入力面になり得るため、調査用データと実行用contextを分けます。

隔離単位はtenant、memory record、版、生成session、source、派生物を識別します。特定の疑わしいレコードだけに限定できない場合は、同じ形成経路やsnapshotを使う範囲を調べます。無関係なtenantを一括削除することも、影響範囲を一件へ過度に縮めることも避けます。全書込みを停止するか、既知の安全な読取だけを継続するかは、業務影響と証拠に応じて決めます。

以下は提案する復旧手順であり、製品横断の自動保証ではありません。

まず疑わしい入力が書き込まれた後の変更を照合し、派生要約や共有memoryに影響が残っていないかを調べます。単一のrecord削除では、既に会話contextへ読み込まれた内容は消えません。必要に応じて実行中sessionを隔離し、清浄なcontextで再開します。外部へ既に適用された設定変更や送信結果は、memory復旧とは別に確認・補償する必要があります。

baselineは「古いから安全」とは判定しません。以前のsnapshotも同じ汚染入力や形成規則を含むかもしれません。元の根拠、取得・承認経路、設定版、生成順序を確認し、復旧点の選択理由を記録します。入力の正当性が確認できない派生物は、正常に見えても自動で再利用へ戻しません。

元memoryの失効を、依存する要約、cache、profile、別agentへ渡した記憶まで伝播させます。lineageがない範囲は「影響なし」とせず未確認として残します。復旧後に遅延jobや古いsnapshotが汚染を再導入しないよう、対象source/record/版の失効記録と再投入時の照合を設けます。

署名やhashは元データと同じか、誰が書いたかを確認する手段です。正当に署名された書込みでも内容が誤っていたり、使用scopeを超えたりする可能性があります。完全性の検証と、内容・権限・利用目的の判定を分けます。逆に正規の更新をすべて拒否すると可用性を損なうため、隔離理由、解除手順、誤検知の扱いも必要です。

再開の判断では、隔離規則が実際の読取経路へ適用されていること、影響する派生物の処理結果が揃うこと、baselineと再生成物の版が対応することを確認します。モデルが一回正しい回答をしたことだけで清浄性を証明しません。検索、context構築、tool権限判定の各経路を照合し、memoryの内容が権限そのものへ昇格しないことを確認します。

復旧試験には、架空の印付きデータを使って隔離対象が通常検索・派生要約・cacheへ混入しないこと、許可した正常データは使えること、古い再投入が拒否されることを含めます。本RUNでは実memory store、モデル、agent、外部操作へ接続した復旧試験を行っていません。上記は検証計画であり、製品の清浄化実証ではありません。

主な失敗は、会話resetを永続状態の消去とみなすこと、原文だけ削除して要約を残すこと、出所を失った統合memoryを安全とみなすこと、古いsnapshotを無検査で復元すること、検出器の成功を全経路の成功へ広げること、調査ログが実行contextへ戻ることです。隔離の全件拒否による業務停止、誤検知による正規記憶の損失も監視します。

内容検査、出所ラベル、署名、prompt上の区切りは防御層として有用ですが、単独で意味的安全性を保証しません。原著の実験とOSS issueは、設計上の弱点や観測された限定条件の証拠です。本番被害の確認、現行版の脆弱性、全モデルに共通する攻撃成功率とは区別します。隔離と再構築も、外部へ既に生じた効果を自動で取り消す仕組みではありません。

実環境の全memory形成経路、認証済み書込み元の誤り、依存グラフの完全性、清浄baselineの判定、snapshot復元、誤検知・業務停止の許容値、再開後の実測、独立した本番被害と復旧成否は未確認です。旧研究の個別CVEや製品修正版は今回再検証していないため、現行欠陥や修復済みと断定しません。

「特定したrecord・版・派生集合を隔離し、指定したbaselineから再構築して、列挙した利用経路を照合した」とします。「一件削除したので汚染は完全に除去された」とは記述しません。

隔離対象がなお通常想起に現れる、再構築元が不明、古い状態の再投入を防げない、外部効果の結果が不明な場合は復旧完了を宣言しません。

EA-516-R1-20261012と継続Doc 1XpjZC_R1eHlIckvUaEaJ_mcj6YW6j0ihZ0b91z5vewUのEA-516節を継承。2026-10-18に主要根拠を再確認しました。公開候補には防御の運用設計のみを含み、実行可能な攻撃入力を転載していません。

• [S1] OWASP Agent Memory Guard、About / memory operation screening: https://owasp.org/projects/agent-memory-guard
• [S2] Panほか、MemForm、arXiv:2610.14431v1、Abstractの限定実験と形成interface: https://arxiv.org/abs/2610.14431
• [S3] CrewAI issue #5057、2026-03-25の報告、Summary / Vulnerability Details、取得時Closed。修正版・現行発生率は未確認: https://github.com/crewAIInc/crewAI/issues/5057