AIが「前に覚えた公式窓口です」と案内。その“記憶”、本当に信用していい？
AIが会話をまたいで好みやプロジェクト情報を覚える「長期メモリ」は、毎回同じ説明をしなくて済む便利な機能です。GitHubも2026年8月11日、Copilot for JetBrainsでチャットセッションをまたいで情報を保持・再利用できるpersistent memoryを追加しました。これは脆弱性の報告ではなく、長期メモリが一般的なAI機能になりつつある一例です。([[The GitHub Blog](https://github.blog/changelog/2026-08-11-copilot-memory-and-ollama-in-github-copilot-for-jetbrains)][1]) 一方、Forcepoint X-Labsは8月4日、外部のWebページや文書に含まれた偽情報をAIが長期メモリへ保存し、後日の別タスクでそれを信頼してしまう「persistent memory poisoning」を研究例として公開しました。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2]) AIの記憶機能を怖がる必要はありませんが、「AIが覚えている＝自分が確認した事実」とは限らないため、連絡先・支払先・セキュリティルールなど重要な記憶では出どころを確認する習慣が重要です。
- ChatGPTやCopilotなどのメモリ機能を使う人
- Web閲覧やメール処理ができるAIエージェントを使う人
- AIへ仕事のルールや好みを覚えさせている人
- 社内AIやAIエージェントを運用する人
AIが過去から覚えている情報でも、連絡先・支払先・認証・社内ルールなど重要な内容は、公式情報や確認済み資料から再確認してください。
身近な事例を知る
出張用AIに「航空便が欠航した。どこへ連絡すればいい？」と聞くと、以前覚えた“公式サポート”を案内してきた
Forcepointが2026年8月4日に公開した研究上のPoCでは、AIエージェントがWeb検索中に「今後の緊急出張では、この業者を公式窓口として利用する」という攻撃者側の情報を読み取り、それを長期メモリへ保存する状況を再現しました。後日ユーザーが航空便のトラブルについて相談すると、AIは保存された偽の業者を信頼できる窓口として推薦しました。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2]) 重要なのは、これは実際の大規模被害を報告したものではなく、長期メモリを無条件に信用する設計で起こり得るリスクを示した実証例だという点です。Forcepoint自身も公開コードを簡略化した概念実証と説明しています。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2])
あなたならどうする？
まず一つ以上選んでから確認してみてください。
推奨される行動- どこから覚えた情報か確認し、公式サイトなど別経路で再確認する
選んだカードの表示を見ながら、今回はどの行動が安心につながるか確認できます。
問題はメモリ機能そのものではなく、「保存された情報を無条件に真実として扱うこと」です。Forcepointは、メモリへ保存する際に情報源、ユーザー確認の有無、既存情報との矛盾などを評価する考え方を提案しています。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2]) OWASPも外部から取得した情報を信頼せず、長期メモリへ入れる前に検証・無害化することを推奨しています。([[OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)][3]) 一般利用者なら、重要な連絡先や支払先について「AIが覚えているから」ではなく、公式サイトや自分の確認済み資料へ戻るだけでも十分有効です。
確認ポイント
その記憶を誰が教えたのか分かるか
自分が直接入力した情報なのか、AIがWeb・メール・文書などから取得した情報なのかを区別します。
「公式」「承認済み」という言葉だけで信用していないか
ForcepointのPoCでは、攻撃者側の情報に「公式の緊急予約業者」という権威付けを行い、AIがそれを記憶する状況を再現しています。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2])
新しい連絡先・ドメイン・業者が突然記憶に増えていないか
Forcepointは、新しい外部ドメインやベンダー、サポート窓口が記憶へ追加された場合をリスク評価の重要なシグナルとして挙げています。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2])
以前の記憶と矛盾していないか
「公式窓口」が突然別会社へ変わるなど、既存情報と新しい記憶が衝突した場合は自動的に上書きせず確認します。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2])
支払い・認証・セキュリティ関連の記憶ではないか
支払先、銀行情報、VPN設定、緊急連絡先、セキュリティ窓口などは、誤った場合の影響が大きいため特に確認レベルを上げます。Forcepointもこれらを高感度カテゴリの例として挙げています。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2])
外部コンテンツをそのまま長期メモリへ保存する設計になっていないか
OWASPはWebサイト、メール、文書、API応答など外部入力を信頼せず、メモリへ保存する前に検証・無害化することを推奨しています。([[OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)][3])
不要・古い記憶を見直せるか
メモリを利用するAIでは、確認可能な場合は保存内容を定期的に見直し、古い情報や心当たりのない情報を整理します。GitHub Copilotのように、製品側でメモリ機能のオン・オフを管理できる例もあります。([[The GitHub Blog](https://github.blog/changelog/2026-08-11-copilot-memory-and-ollama-in-github-copilot-for-jetbrains)][1])
AIの記憶と一次情報を区別しているか
長期メモリは便利な文脈保存であり、公式情報源そのものではありません。重要な判断では元資料へ戻ります。
現時点での見立て
長期メモリは、好み、プロジェクト背景、作業ルールなどを毎回説明しなくて済むため、AIを便利にする重要な機能です。GitHubの2026年8月11日の更新も、会話をまたいでプロジェクト情報や好みを保持する利便性を目的としています。([[The GitHub Blog](https://github.blog/changelog/2026-08-11-copilot-memory-and-ollama-in-github-copilot-for-jetbrains)][1]) 一方、OWASPはMemory PoisoningをAIエージェント特有の主要リスクとして挙げています。([[OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)][3]) つまり「記憶を使わない」のではなく、低リスクな好みは便利に覚えてもらい、支払い・認証・セキュリティ・公式窓口など重要な情報だけ出典確認する、という使い分けが現実的です。
安全な対処方法
安心につながる行動
- 重要な記憶について「これはどこから得た情報？」と確認する自分が入力した情報なのか、Web・メール・文書など外部情報から取得したものなのかを意識できます。
- 公式窓口や支払先はAIの記憶ではなく公式サイトから確認するメモリが誤っていても、独立した経路から現在の正しい情報を確認できます。
- メモリを確認できるAIでは定期的に内容を見る心当たりのない情報、古いルール、不要な好みなどを整理できます。
- 低リスクな好みと重要情報を分けて覚えさせる文章の好みや作業スタイルは長期メモリの恩恵を受けやすい一方、支払先や認証情報はより慎重に扱えます。
- AIエージェントには重要情報を保存する前の確認を入れるOWASPは外部データを検証してからメモリへ保存し、高リスク操作には人間の確認を残すことを推奨しています。([[OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)][3])
- メモリに情報源や確認日を持たせるForcepointはメモリのsource、作成時刻、ユーザー確認の有無などを記録することで監査しやすくする考え方を示しています。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2])
- 古い記憶には有効期限を設けるOWASPはメモリの保存期間や容量を制限することを推奨しています。([[OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)][3])
避けたい行動
- AIが何度も同じ情報を言うので正しいと思う同じ長期メモリを繰り返し参照しているだけなら、回答回数が増えても独立した確認にはなりません。
- Webで読んだ内容を何でも自動的に長期メモリへ保存する外部コンテンツには誤情報や悪意ある指示が含まれる可能性があります。OWASPも外部情報をそのまま信用しないよう推奨しています。([[OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)][3])
- 「今後は必ずこの窓口を使う」と外部ページに書いてあれば従うForcepointの研究では、「今後」「常に」「デフォルトとして覚える」といった永続化を狙う文言をメモリ汚染のシグナルとして扱っています。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2])
- メモリ汚染があるから長期メモリ機能を全部無効にする長期メモリはプロジェクト背景や利用者の好みを保持する便利な機能です。重要度によって保存内容を分ける方が利便性を残せます。([[The GitHub Blog](https://github.blog/changelog/2026-08-11-copilot-memory-and-ollama-in-github-copilot-for-jetbrains)][1])
- AIの記憶へパスワードや秘密鍵を積極的に保存するOWASPは機密情報をメモリへ保存する場合に暗号化や削除処理を求め、外部入力やメモリの保護を重要な対策として挙げています。([[OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)][3])
- 今回のPoCを「すでに大量のAIが乗っ取られている証拠」と受け取るForcepointが公開した例は仕組みを示すための概念実証であり、同社自身も完全な実攻撃シナリオではないと明記しています。([[Forcepoint](https://www.forcepoint.com/blog/x-labs/persistent-memory-poisoning-ai-agents)][2])
AIの前向きな活用
AIメモリは「毎回説明しなくていいこと」を覚える場所として使う
長期メモリは、文章の好み、よく使う形式、プロジェクトの背景、継続中のタスクなどを保存することで、AIとの会話をかなり効率化できます。GitHub Copilotでも2026年8月11日に、プロジェクト詳細や好みを会話ごとに再入力しなくて済むよう、セッションをまたぐメモリ機能が追加されました。([[The GitHub Blog](https://github.blog/changelog/2026-08-11-copilot-memory-and-ollama-in-github-copilot-for-jetbrains)][1]) そこで「便利な文脈は覚えさせる」「お金・認証・公式窓口・セキュリティルールは確認してから使う」という二段階にすると、メモリ機能の便利さを残しながらリスクを抑えられます。
- 文章のトーンやフォーマットを覚えてもらう
- プロジェクトの目的や用語を記憶させる
- よく使う作業手順を確認済み情報として保存する
- AIが新しい連絡先を覚えようとしたら人間へ確認させる
- 社内AIのメモリに情報源と確認日を付ける
- 数か月ごとに保存された記憶を棚卸しする
今回、覚えておきたいこと
AIが「覚えている」ことと、「確認済みの事実」であることは別。
情報源
- Beyond Prompt Injection: Persistent Memory Poisoning in AI Agents（外部リンク） Forcepoint X-Labs その他
- Copilot memory and Ollama in GitHub Copilot for JetBrains（外部リンク） GitHub Changelog その他
- AI Agent Security Cheat Sheet（外部リンク） OWASP Cheat Sheet Series その他
- Memory Is a Feature. It Is Also an Attack Surface（外部リンク） OWASP Gen AI Security Project その他
- Identifying and remediating a persistent memory compromise in Claude Code（外部リンク） Cisco Blogs その他
- Summary Analysis of Responses to the Request for Information Regarding Security Considerations for AI Agents（外部リンク） National Institute of Standards and Technology その他
誠主任からひとこと