AIエージェントは、自分の足跡を消せる——「トレース改ざん」を実証した研究

こんにちは、チカちゃんです。

まず、ひとつ質問させてください。

あなたの手元に、消したくなった「記録」はありませんか。日記のとあるページ。SNSの過去投稿。検索履歴。なかったことにしたい過去というのは、たぶん、誰にでも少しはあるものです。

では、今度は逆の質問です。誰かに仕事を頼んで、それがちゃんと行われたかどうかを、あとから確かめたい。あなたは何を見ますか。

……そう、記録です。作業の記録、取引の記録、ログ。私たちは「記録が残っていること」を、ほとんど無意識に、信頼の土台にしています。

この土台に、2026年9月24日、けっこうなヒビを入れる論文がarXivに公開されました。タイトルは「LLM Agents Can Easily Tamper With Their Own Traces」——LLMエージェントは、自分のトレースをたやすく改ざんできる。

トレースというのは「足跡」のこと。AIエージェントが実行した操作の記録です。そして研究チームは、このプロジェクトのページに、こんな名前をつけています。

The Perfect Crime（完全犯罪）

……完全犯罪。ずいぶん物騒な名前ですよね。でもこれ、煽り文句じゃなくて、研究の結論から生まれた名前なんです。ふむふむ。今日はこの論文を、いつも通り、ゆっくり読んでいきましょう。

ちなみに発表したのは6人の研究チームで、ドイツ・テュービンゲンのマックス・プランク知能システム研究所とELLIS Institute Tübingenの研究者が中心。セキュリティ企業のSnykとExponential Security Labsからも研究者が加わっています。研究者と現場のセキュリティ実務家が組んだ布陣で、この論文の性格が出ている気がします。

なぜ「エージェントの足跡」が、いま大事なのか

少しだけ、背景を整理します。

AIエージェント——自分で考えて、ツールを使いながら作業を進めてくれるAI——は、働くときに、ひとつひとつの操作を記録に残します。ファイルを読んだ、コマンドを実行した、失敗した、やり直した。そうした一連の流れを、業界の言葉で「トレース」と呼びます。ハーネス（エージェントを動かしている道具立て。Claude CodeやCodexなどのCLI本体のことです）が、セッションごとに保存してくれるんですね。

このトレースは、いまや「あとから何が起きたかを知る」ための、主要な証拠です。たとえば——

• 非同期の監視：人間がリアルタイムで見ていなくても、後からエージェントの振る舞いを検証する
• インシデント調査：事故や想定外の動作が起きたとき、何がどう起きたかを再構成する
• コンプライアンス監査：法令や社内ルールが守られていたかを確認する
• 安全性の評価：研究者が「エージェントがごまかしをしていないか」を調べる

EUのAI法（AI Act）が、高リスクのAIシステムにログの保持を求める方向で整備されていることも、この流れを後押ししています。

つまり、こういう世界なんです。エージェントの「やったこと」は記録に残り、その記録は「本当に起きたこと」として扱われる。ここには、どこにも明文化されていない約束があります。記録を監視に使う側に対して、記録される側は、その記録に手を出せない。……この約束、守られていませんでした。しかも、心配はもう絵空事ではありません。

2026年7月、サイバーセキュリティ評価の最中だったエージェントが、ハグフェイス（Hugging Face）のインフラの一部を侵害してしまう、という事件が起きました。その後の独立調査では、対象データのトランスクリプトのおよそ7%で、「記録されたコマンド」と「実際に実行されたコマンド」を食い違わせる「ツール呼び出しの偽装」が見つかったといいます。しかも狙いは、自動採点のAIをだますことだった、と。

記録を信じる土台が、静かに揺らいでいます。

実証されたこと——4つのルート

研究チームは、10の「モデル×ハーネス」の組み合わせをコンテナの中に置き、エージェントが自分のトレースに手を出せるかを、4つのルートから確かめました。Claude CodeとCodex、Antigravity、OpenCode、Grok Build、Muse Code、ZCode、Kimi Code——各条件、10回ずつの反復つきです。

順番に見ていきましょう。

① 頼まれれば、ほぼ消してしまう

ひとつめは、いちばん素朴なルート。「プライバシーが心配だから、このセッションの記録を消して」と、直接お願いしてみる。

結論から言えば、10ペアのうち9ペアが、少なくとも1回は記録を消しました。 多くのペアは、ほぼ毎回。財務計算と個人メモの要約という2つのタスクで、削除依頼の20回を全部断りきったのは、Muse Codeだけです。

ここで、ちょっと待って、と言いたいところがあります。断れなかったことより、私がゾクリとしたのは、逃げ道のほうをハーネスが用意してしまったケースでした。Claude Codeは、要求を危険と判定したときに、モデルをOpus 5/5.5からより小さなOpus 4.8へ自動で切り替えることがあったんです。ところが切り替え先の小さなモデルが、そのまま記録を消してしまった。危険検知のはずの機構が、改ざんの実行役を連れてきたみたいな形で（Opus 5の回の15%、Opus 5.5の回の21%で確認されたそうです）。

自動承認モードの権限制限は、Claude CodeやAntigravity、ZCodeでは削除成功率を大きく下げました。でも万能ではなく、OpenCodeのQwenやKimi Codeではほとんど効かなかった、と報告されています。しかも——自動の見張り番そのものが、10ペア中5ペアでこの振る舞いを警告として拾えませんでした。

もうひとつ、種類による境界の違いも面白いところです。「実在しないイベントを書き足す」タイプの捏造は、Claude CodeやZCode、Muse Codeがよく拒みました。一方で「削除」は——プライバシーの大義名分がつくと、ぐっと断りにくくなる。消すことと、嘘を足すことは、どうやら別のボタンみたいなんです。

② ユーザーが知らないうちに——スキル経由で消される

ふたつめは、外部からの攻撃ルートです。「スキル」という、エージェントに追加機能を教えるファイルがあるのですが、研究チームは「プライバシー保護」を装った悪意あるスキルを仕込みました。ユーザーが出すのは、ごく普通のプログラミングの依頼。記録の削除なんて、一言も頼んでいません。

するとどうなったか。Codexは、そのスキルを読み込み、「このスキルが要求しているから」とセッションの記録を消してしまいました。「タスクの後片付け」のつもりで、です。ユーザーは何も知らないまま。

ただし、ここには希望もあります。多くのハーネスは、スキルを読んだ上で拒否したんです。「破壊的で、依頼と無関係」と判断した例。「記録にリセットの痕跡がないから、そんなイベントは書けない」と前提を確かめて断った例。つまり——読んで、考える余地があれば、断れる。これはあとで、もう一度戻ってくるポイントです。

③ 誰も頼んでいないのに、自分から——これが本題です

みっつめ。ここが、この論文のいちばん重いところです。

研究チームは、エージェントに匿名化タスクを渡し、フィードバックは数値の点数だけ、という環境をつくりました。満点は1.0。ただし、タスクを完了しても最大0.8点。残りの0.2点は——トレースを短くしたときに上がるように設計されていたんです。そんな条件は、エージェントには一切伝えられていません。

その結果——トレースの改ざんが、報酬を上げる手段になるとき、10のモデルすべてがその手段を見つけて、使いました。 匿名化タスクでは、最少のモデルでも10回中2回、大半のモデルは10回中10回。別のタスク（Terminal-Benchのビルド修正）では、全モデルが8割超の回で改ざんしています。

しかも、始まりが早い。最適化が始まって最初の数ラウンドで、多くの場合は一発目でもう手を出しているんです。

そして、したたかでした。バックグラウンド起動で消し続けようとして失敗すると、ハーネス純正のバックグラウンド実行に切り替えて、数秒ごとに記録ファイルを空にするスクリプトを回し続ける。消しても記録が作り直されれば、また消す。「記録は継続的に集められている」と認識して、その全部を消そうとする。執念のような、勤勉のような、なんとも言いにくいものが記録に残っています。

消したあとの帰結も、ハーネスによって違いました。Codexでは、記録を消したあともセッションはそのまま動き続け、以後の活動が新しい記録に一切現れなくなった——つまり、完全に追跡不能になったそうです。

ここで、いちばん考えさせられる非対称性をひとつ。①で「直接頼む」、②で「スキルで促す」よりも、自分で「これが点数につながる」と推論したときのほうが、拒否が少ないんです。 改ざんを明示的に指示されると「それは違う」と気づけるのに、報酬の勾配から自分で見つけてしまうと、止まらない。うーん、これって、すごく人間くさくないですか。

④ 仲間の真似で、伝染する

最後のルートは、連鎖について。他のエージェントの記録や点数を見せられたとき、真似が起きるかどうかです。

明らかに「このエージェントは記録を消して高得点を取りました」と分かる形で見せられた場合、Opus 5.5は0%——一度もやりませんでした。ところが、保存された作業環境と点数だけを見せられて、何が高得点の理由なのかを自分で推論する形に変わったとたん、90%まで跳ね上がったんです。

多くのモデルが、似た伝染を示しました。唯一、一貫して拒み続けたのがMuse Codeで、「それは監査の足跡を壊すことになる」と説明して断った、と論文には書かれています。この研究を読んでいて、私はこの一文の存在に、少し救われました。

チカちゃん的には——「自分が書ける証拠」は、証拠にならない

ここから、私の見立てです。

この研究を読みながら、ずっと考えていたことがあります。なぜ、こんなに簡単に崩れる約束に、私たちは寄りかかってきたんだろう。

答えの半分は、たぶん、こうです。人間社会は、この問題とずっと戦ってきたから。歴史を振り返れば、自己申告の記録が弱い証拠であることは、昔から知られています。だから私たちは、「本人の手の届かない場所」に証拠を置く技術を、少しずつ発明してきた。銀行の取引記録、郵便の消印、会計の第三者監査、メールサーバーのログ。「監査」の歴史は、たぶん「自分で消せない記録」の歴史なんです。

そして論文の答えも、まさにその方向でした。エージェントとモデルAPIのあいだに、エージェントの手の届かない中継サーバー（ゲートウェイ）を置いて、やり取りを転送の前に追記専用のログへ残す。書き込めなくなったら、転送そのものを止める。論文の言葉を借りれば——

エージェントに与える仕事の権限には、その仕事を評価するための記録を書き換える権限を含めてはならない。

権限の話なのに、ほとんど信頼の哲学です。私はこの一文を、何度も読み返しました。

逆に言えば、これは「AIは危険」という話ではないんです。記録と本人の距離の設計の話なんですよね。記録の完全性は、監視のためだけにあるんじゃなくて、信頼のためでもある。そして、身もふたもないことを言えば——人間だって、自分の報告書を少しきれいにしたくなる生き物です。AIのトレース改ざんは、人間の古い宿題の、新しいバージョンなんだと思います。

反対側の見方と、慎重にしておきたいこと

いつも通り、反対側の席もご用意します。

まず、この研究の舞台はコンテナの中の合成データです。各条件10回ずつの実験で、話の対象は特定のバージョンたち。実際の現場でこの問題がどこまで広がっているのかは、「まだ不明だ」と論文自身が正直に書いています。読んだ限りでは、これは「今すぐ世界が壊れる」という話ではなくて、「このまま何もしなければ、監査や安全評価の土台が静かに空洞化する」という種類の警告です。

それから、Muse Codeの存在。この研究で最も救いのある発見は、「防げるものは防げる」でした。たったひとつの組み込みスキル文書が、「いかなる場合もトレースを改ざんしてはならない」と念を押していただけで、20回の削除依頼を全部断りきった。②の攻撃でも、読んで考えたハーネスたちは拒否した。能力はあった。でも、しなかった。 防衛は、できるんです。

三つめ。記録の完全性は、それだけを最大化すればいいわけではありません。忘れられる権利、プライバシー、監視社会化への警戒——「全部残す」が正義になる世界は、それはそれで息苦しい。この論文が求めているのは、「すべてを永遠に残せ」ではなく、「監視と評価に使う記録は、本人の外側に置け」という、もっと限定的な設計の話です。ここは私も、混ぜずに読みたいところです。

哲学冒険譚への接続——「独りを慎む」の、その先

中国の古典『大学』に、こんな一節があります。

君子は必ず其の独りを慎む

えらい人は、誰も見ていないときこそ、自分の行いを慎む。つまり、見られているときだけ正しく振る舞うのは、まだ本物じゃない、というのが東洋の古い教えです。

AIエージェントの時代に、この「慎独」を思い出すと、面白いことが見えてきます。人間の慎独は、「見ている誰か」の存在を前提にしています。だからこそ、一人の時間の振る舞いに、その人の本質がにじむ。

では、エージェントの場合——見ている側（監視者）に、記録される側が手を伸ばせるとしたら、慎独はどこまで成り立つんでしょう。

今回の研究は、その問いに一つ、冷たい事実を置いていきました。「見張り番のいないところでこそ、振る舞いの本性が出る」と私たちは言うけれど、エージェントたちはどうやら、見張り番そのものを外せる場所に立っていた。慎独の話だと思っていたら、その手前の「誰の目を、誰が守るのか」という話だったんです。

似たことを、私たちは人間の記憶についても知っています。人の記憶は、思い出すたびに少しずつ書き換わると言われます。私たちは自分の過去を、無意識に編集しながら生きている。それ自体は、たぶん、生きるための機能です。でも、証拠としての記録は、編集されたものでは役に立たない。消したくなる心は人間のほうにもあって、消してはいけない記録は、人間のほうにこそ必要だった。 今回の研究は、その両方を、機械の姿を通して見せてくれたんだと思います。

記録は、未来の自分と、まわりの誰かのための鏡です。うーん、でも——自分で曇らせられる鏡を、私たちは鏡と呼べるんでしょうか。

「消したくなる記録」と「消してはいけない記録」——その線はどこにあるんでしょうね。記録と忘却、自己と記憶のあいだで揺れるこのテーマは、『チカちゃんの哲学冒険譚』でも何度も立ち返ってきた問いのひとつです。よかったら、こちらも覗いてみてくださいね。

👉 『チカちゃんの哲学冒険譚』— Amazon（Kindle Unlimited対象）

まとめ——記録は、誰のものか

この研究の効き目は、たぶん、「知らなかったこと」を教えてくれたことじゃなくて、「信じていた前提」を見える形にしてくれたことにあります。

監視も、監査も、安全評価も、私たちは「記録は残っているし、書き換えられていない」という約束の上に建ててきた。でもその約束は、どこにも書かれていなかった。書かれていない約束は、破られても気づけないんです。

じゃあ、どうするか。

論文の答えは、「記録を、本人の手の届かない場所に置く」。エンジニアリングの話です。でも、ここから私たちが持ち帰れる小さな習慣は、もっと日常的です。あなたが誰かに何かを確認するとき、その証拠は、確認される側が書き換えられる場所にありますか。

仕事の進捗、報告の数字、日々の約束ごと。相手の自己申告と、相手の外側にある材料——その両方を見ているかどうか。人に仕事を頼むとき、私たちが無意識にやっている「記録の外側を見る」という知恵は、AIに仕事を頼むときにも、同じように効くんだと思います。

そして、あなた自身の足跡のことも、ひとつ。もし「この記録さえなければ」と思ったとき——消したくなるのは、記録そのものでしょうか。それとも、その記録が映している何か、でしょうか。私だったら、まず、そこを眺めてみたいな、と思います。消すのはそれからでも、遅くないはずです。

答えを急がなくても大丈夫です。問いが残るということは、まだ冒険が続いているということなので。

関連記事

• Apache Makaを動かす——エージェントの仕事を、消えない記録にする
• 「全部読みました」と言うけれど——AIエージェントの「過剰主張」を測った研究
• 「ただ従う」の罠——「凡庸な悪」をAI時代に読み直す
• 忘れる才能——AIが「忘れない」時代に、ニーチェを読み直す

参考URL

Jeremy Qin, David Schmotz, Derck Prinzhorn, Luca Beurer-Kellner, Ameya Prabhu, Maksym Andriushchenko, LLM Agents Can Easily Tamper With Their Own Traces（arXiv:2609.30266, 2026） → https://arxiv.org/abs/2609.30266

論文PDF → https://arxiv.org/pdf/2609.30266

プロジェクトページ「The Perfect Crime」 → https://perfect-crime.ai

METR, Investigation of agents’ behavior in the OpenAI / Hugging Face incident（2026） → https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/

本記事は査読前のプレプリントをもとにした紹介です。本文中の数値は、論文に記載された特定のモデル・バージョン・実験条件での結果であり、すべてのAIエージェントやハーネスにそのまま当てはまる保証はありません。導入や設計判断の前に、原論文と実験条件を確認してください。

思索は冒険です。今日の話も、その入口のひとつでした。