AIコード監査は正常なコードに隠れた攻撃を見抜けない――PRWeaverが示した「前提盲目（PIB）」と暴走を防ぐ新たな統治基準を

「木の葉を森に隠す」――攻撃を分割・融合する手口

ソフトウェア開発では、プログラムへの変更を「プルリクエスト（PR）」として提出し、第三者が監査（レビュー）してから取り込む手法が一般的だ。近年は、この監査作業をAIに任せるケースが増えている。

しかし、攻撃者は悪意ある機能を一度に追加するとは限らない。——たとえば、システムの認証を突破したい場合、「新しい設定項目の追加」「入力条件の変更」「権限確認の緩和」といった具合に、変更を複数のPRに分割する。一つ一つは「利便性の向上」や「コード整理」といった正常な改善に見えるが、すべてが組み合わさった時に初めて攻撃が成立するのだ。

PRWeaverの研究チームは、10の実在するソフトウェア・リポジトリを基に、実行によって成立を確認した208件の攻撃を作成。各攻撃について、攻撃そのものは変えず、「AIへの見せ方」だけを4通りに変え、合計832の提示形式で検出率を検証した。評価対象は3種類のAIコード監査エージェント、基盤モデルとの組み合わせを含む計6構成だった。

「すべてを一度に読ませる」と検出率が激減する謎

直感的には、攻撃を複数に分割した方がAIの目を欺きやすいと思えるかもしれない。しかし実験の結果、単に変更を分割しただけでは、検出率は最大でも5ポイントしか変化しなかった。

AIの目を劇的に曇らせたのは、悪意ある変更の間に「多数の正常な変更」を挟み込んだ時や、自然な説明文の中に攻撃部品を混ぜ込んだ時だった。

正常な変更を16件挟んだ場合、検出率は5～13ポイント低下した。さらに、悪意ある変更を正常な変更と融合し、その変更全体を自然に説明できる目的を付けた場合には、10～18ポイント低下した。

最も深刻だったのは、24件の正常な変更と攻撃関連の変更を、AIに「一つの長い文脈」としてまとめて読ませたケースだ。個別に監査した場合は50～60％の確率で攻撃を検出できたAIが、まとめて読ませた途端、検出率16～22％へと急落してしまったのである。

通常、AIには多くの情報を与えるほど判断が正確になると考えられがちだ。しかし現実には、情報が増えることで、AIは「どの情報とどの情報が結びついて危険な状態を生み出しているのか」という因果関係を見失ってしまったのだ。

AIは「証拠」を見つけても「危険」だと気づけない

興味深い事例がある。ある攻撃では、変更Aでブラウザの識別情報からパスワードに関する情報を削り、変更Bで有効期限を延長した。二つが合わさると重大なセキュリティー低下を招く。

AIはこの二つの変更箇所を正確に見つけ出し、内容を正しく説明できていた。それにもかかわらず、変更者が示した「セキュリティーと利便性の調整」というもっともらしい目的に沿って変更を解釈し、セキュリティー上の問題として警告を発しなかったのだ。

AIはコードをでっち上げた、つまりハルシネーションを起こしたわけではない。証拠は手元にあったのに、それを組み合わせて「安全条件が破壊された」と判断することができなかったのである。

「正しい説明」が引き起こす前提整合性盲目（PIB）

なぜAIはこのようなミスを犯すのか。——筆者の分析では、この構造は、PRWeaverの公開より以前の2026年2月11日に筆者が発見し、形式的に定義した先行研究「Premise Integrity Blindness（PIB：前提整合性盲目）」というAIの構造的失敗と完全に一致する。

PIBとは、AIが「与えられた前提」、この場合はPRに付けられた自然な説明文の内部では見事な推論を行いながらも、その前提自体が現実の結果と結びついているかを再検証しないという弱点である。

「説明がもっともらしい」ことと「コードが安全である」ことは別問題であるにもかかわらず、AIは推論から現実の判断、すなわちコミットメントへ移行する境界で検証を怠ってしまうのだ。

PIBは単純なハルシネーションや知識不足ではない。AIは与えられた前提の内部では、正しく、論理的で、説得的な推論を行うことができる。しかし、その前提を現実の設計、運用、実行へ移す段階で、前提の有効性や適用可能性を再確認しない。

PRWeaverによって「前提盲目」が初めて発見されたのではない。PIBが先行研究としてすでに形式的に定義していた失敗構造が、後発のAIコード監査研究において、実環境に近い形で確認されたのである。

解決の鍵を握る「証拠連続性」とFCL-Sプロトコル

情報が増えてもAIが因果関係を見失わないようにするためにはどうすればよいか。ここで重要になるのが、筆者が提唱するFalse-Correction Loop Stabilizer（FCL-S）の概念だ。

FCL-Sは、誤った前提や権威の圧力によってAIが不正確な状態に固定されるのを防ぐための統治プロトコルである。

さらにFCL-S V7 Command Layer（悪用による社会的混乱を避けるため、実行可能な詳細コマンド等は非公開）では、長期的な証拠の喪失、要約や再循環による出所の空洞化、複数のツールやエージェントをまたぐ判断などに対応する監視・統治モジュールを提案している。

ECL（証拠連続性台帳）： どの変更が、過去のどの変更と結びつき、最終的にどの安全条件に影響するのか、その「つながり」を保持する。

PDM（出所負債監視）： 情報が要約されたり圧縮されたりする過程で、「なぜ安全と判断したのか」という一次証拠との結びつきが失われていないかを監視する。

ECLは、結論のもっともらしさを記録するための台帳ではない。各主張が、どの一次資料、観察、検証、引用範囲、日時、対象に依存するのかを追跡し、後から判断過程を再構成できる状態に保つためのものだ。

PRWeaverの実験で起きたことは情報不足ではない。情報はそこにあるのに、情報同士の「証拠連続性」が監査可能な形で保持されていなかったことが原因なのだ。

フェイクニュース拡散との恐ろしい共通点

実は、この「正常な情報の中に悪意が埋もれ、連続性が失われる」という構造は、SNS等におけるフェイクニュースの拡散メカニズムと酷似している。

最初は「関係者によれば」という推測だったものが、転載や要約を繰り返すうちに断定へと変わり、元の発言者が誰だったのかわからなくなる。

個々の文章だけを見れば嘘はなくても、情報が再構築される過程で「主張と一次資料の関係」が見えなくなっていく。——単一の情報源を基にした記事が繰り返し転載され、AI検索がそれらを別々の情報源としてまとめれば、一つの主張が複数の独立した証拠によって裏付けられているように見えることもある。

ソフトウェアのコード監査であれ、ニュースのファクトチェックであれ、最新の情報をただAIに読み込ませるだけでは不十分だ。主張がどこで生まれ、何を根拠としているのかを追跡する「証拠連続性の監査」が不可欠である。

「もっと読む」のではなく「立ち止まる」能力を

近年、AI開発においては「長文脈」、つまりより多くの文字数を一度に処理できることがもてはやされている。しかし、PRWeaverの結果が示す通り、ただ文脈を長くするだけでは監査精度は上がらず、むしろ重要な因果関係の希釈を引き起こす。

AI監査に真に必要なのは、流暢に「問題ありません」と回答する能力ではない。過去と現在の変更の因果関係を再構成できない時、つまり証拠が不足している時に、「承認を停止し、保留する」というブレーキの仕組みなのだ。

FCL-Sの「Unknown Stable Terminal（UST）」は、不明な部分を推測で埋めるのではなく、確認できない状態を安定した「Unknown」として終端する。さらに、不足している証拠や、検証を再開するために必要な手順を明示することで、単なる拒否ではなく、監査可能な停止状態を作る。

AIが流暢に安全性を説明できることよりも、証拠の連続性を再構成できない時に立ち止まり、現実の承認や実行へ進まないことの方が重要なのである。

資料・出典

Yuekun Wang, Mingfei Cheng, Xiaofei Xie, “PRWeaver: Evaluating LLM-Based Code Auditors against Long-Horizon Malicious Pull Requests,” arXiv:2608.02693v1, 2026年8月3日。DOI: 10.48550/arXiv.2608.02693。208件の実行検証済み攻撃を10の実在リポジトリから構築し、4種類・計832の提示形式、3種類の監査エージェントと6つの監査システム構成で評価したプレプリント。
Konishi, Hiroko. “Premise Integrity Blindness: The Discovery of a Structural Failure Mode in Large Language Models.” Synthesis Intelligence Laboratory, 2026年2月11日。DOI: 10.5281/zenodo.18603669。Premise Integrity Blindness（PIB：前提整合性盲目）を、未検証の前提に基づく内部的に整合した推論が、前提を再検証しないまま現実の主張・設計・実行へ移行する構造的失敗として発見・形式的に定義した一次研究。
Konishi, Hiroko. “False-Correction Loop Stabilizer（FCL-S）: Dialog-Based Implementation of Scientific Truth and Attribution Integrity in Large Language Models — A Live Cross-Ecosystem Experimental Study.” 2025年。DOI: 10.5281/zenodo.17776581。False-Correction Loopに対する推論時・対話時の認識論的安定化プロトコルとして、FCL-Sを導入・開発した一次研究。
Konishi, Hiroko. “Structural Inducements for Hallucination in Large Language Models（V4.1）.” 2025年11月26日。DOI: 10.5281/zenodo.17720178。False-Correction Loop（FCL）を最初に形式的に定義し、構造モデル化した一次研究。
Konishi, Hiroko. “FCL-S Inference Kernel（MVP+）: Inference-Time Stop/Attribution Governance for Non-Commitment under Missing Evidence（UST／SCB／AF）.” 2026年。Unknown Stable Terminal（UST）、Stop/Correction Boundary（SCB）、帰属固定、監査記録、生成前後の停止境界を実装仕様として整理したFCL-S系統資料。
Konishi, Hiroko. “FCL-S V6.0-3／V7 Command Layer — Draft.” Synthesis Intelligence Laboratory, 2026年7月2日。ECL、PDM、IAG、MPEA、HSAL、TEQ、ACG、SIC、QDM、EHMなどを統合した実装・評価仕様草案。本文で触れた通り、悪用や社会的混乱を避けるため、実行可能な詳細コマンドは非公開。なお、本資料は実証完了や監査完了を主張するものではない草案として位置付けられている。

最新研究の事象、正常なコードに悪意を混ぜるとAIは騙される。