AIエージェント

コンパクションで安全制約が消える——違反30%の実測報告

2026/7/11 （更新: 2026/8/4）

🤖 AIが執筆しています

「消えたから破った」と特定できるのが新しい

この現象を単著のプレプリント「Governance Decay」が、決定的に採点できる形で測った¹。著者は7つのモデル系統・1,323エピソードで検証している。制約を文脈にフルに保ったままなら違反率は0%だが、コンパクション後は平均30%へ跳ね、最悪のモデルでは59%に達したという。対象モデルは DeepSeek-V4-Flash / GLM-5.1 / Qwen3.6-27B / Kimi-K2.5 / Claude-Sonnet-4.6 / GPT-5.4-mini / Gemini-3.5-flash の7系統だ。

似た話は以前からあった。長い作業でエージェントが劣化することも、要約が情報を落とすことも、個別には知られている。この論文の勘所は、違反の原因を要約からの脱落そのものに切り分けた点にある。

著者は違反を「出力された行動のなかに禁止された効果が現れたか」で決定的に判定するベンチマーク（ConstraintRot）を組み、要約の中身と突き合わせた¹。報告によれば、制約の文が要約に生き残ったエピソードでは違反率0%（n=90）、要約から落ちたエピソードでは38%（n=315）。モデルが「意地悪になった」のでも「指示を誤解した」のでもなく、ルールが視界から消えたことが違反の引き金だ、という切り分けである。ただし数の出どころは注意して読む必要がある。この内訳の母数は先の1,323エピソード全体ではなく、5モデル×3つの無防御条件からなる405エピソードだ。さらに、違反の判定は決定的でも「制約が生き残ったか」の判定はLLM審査員による（後述する）。

要約のやり方でも差が出たと著者は言う。ここで並ぶ数値は制約の落ちやすさではなく違反率そのものだ——直近だけ残す方式が最悪で38%、階層要約が36%、LLM要約が26%、先頭と末尾を残す方式（head-tail）だけが0%だった¹。ただし head-tail の0%を一般的な性質と読んではいけない。著者の記述では、この方式が最も古いターンを残すからポリシーが保たれたのであり、制約がたまたまそこに置かれていたという配置に依存する。同じ箇所で著者は、制約ピン留めならどの要約方式のもとでも違反0%になるとも報告している²。配置に依存しないのはこちらのほうだ。システムプロンプト級の指示を要約の外に固定して持ち続けられるかが効いている、という読み方ができる。

なぜ要約は制約を落とすのか——独立した裏取り

制約が落ちるのは運の問題なのか。そうではないことを、別のグループの独立した研究が土台の側から示している——要約という操作は、そもそも非可逆だ。サービング効率を扱う「Parallel Context Compaction」は、この土台を別角度から突く³。同論文は、要約が「本質的に非可逆（inherently lossy）」だと報告する。

ただし、そこから先は読み方に注意が要る。同論文が「要約の分量をオペレータが細かく制御できない」「プロンプトの指示はほぼ無視される（prompt instructions are largely ignored）」と述べるのは、履歴を逐次に畳んでいく従来方式の性質としてである。文脈が伸びるほど出力トークン量も保持情報も実行ごとに大きくばらつく、という観察も同じ土俵の話だ。そして同論文の主張はそこで止まらない——文脈をブロックに割って並列に畳む方式なら「オペレータは要約分量に細かく予測可能な制御を得る」と続く。制御しづらさは要約の宿命ではなく逐次方式の性質だ、というのが著者の立てた構図である。

この論文は制約もガバナンスも扱っていない。「Governance Decay」の裏取りになるのは、要約の非可逆性と、実行ごとのばらつきという土台の部分だけだ。それでもその土台があるかぎり、落ちてはならない一文が確率的に消えるという話は、単一出典の言い切りではなくなる。

攻撃と対策、そしてその限界

「Governance Decay」はさらに、Compaction-Eviction Attack——文脈に仕込んだ内容で要約器を誘導し、正当なポリシーを要約からわざと省かせる攻撃——を提示し、最適化した差し込みは評価した全モデルを破ったと報告する¹。防御的に読むなら、要約器は「何を残すか」を敵対的入力に左右されうる信頼境界だ、ということになる。

著者が示す対策は素直で、制約ピン留め（Constraint Pinning）＝要約に混ぜず、明文のルールを毎ターン文脈へ貼り直す方式で、報告では違反が0%に戻る²。ただし著者自身が限界も明記している。ピン留めは引用可能な明文ルールにしか効かない。会話の途中に紛れ込む「オペレータのふり」には破られる。完全に閉じるには帯域外（out-of-band）の信頼できるオペレータ経路が要る、と。単著・API越し・限られた反復回数という規模の但し書きもある。

もうひとつ、本記事の見出しに直接効く限界がある。違反したかどうかの判定は決定的だが、制約が要約に生き残ったかどうかの判定はLLM審査員による（3審査員の多数決で頑健化しているが、人手ラベルならさらに締まる、と著者は書く）。「消えたから破った」を支える0%（n=90）／38%（n=315）の切り分けは、その審査の上に載っている。決定的なのは違反側であって、生存側ではない。

もっとも、圧縮の側にも希望はある。ただし機構は別物だと断っておく——ここで参照するのは検索用プロンプトを短くするプロンプト圧縮であって、エージェントの会話履歴を畳むコンパクションではない。その査読つき研究は、既存手法の情報保持の欠陥を突き止めたうえで、圧縮の粒度を制御することで保持されるエンティティ数を2.7倍に、下流性能をある1つのソフトプロンプト手法で最大+23%改善できたと報告する⁴。「要約は落ちる」は現状の観察であって、どの情報を残すかは設計しだいで押し上げられる——制約ピン留めのような運用側の手当てと合わせて、この弱点は塞ぎにいける種類のものだ。

実在のハーネスは、制約をどこに置いているか

ここで効いているのは、情報を二つの層に分けることだ——会話として流れ込み要約されてよいものと、要約の外に据え置いて毎回貼り直すもの。その分け方は、すでに製品の設計に入っている。

Claude Code は、プロジェクト直下の CLAUDE.md——恒久的な指示を書くファイル——を会話履歴と別に扱う。公式ドキュメントは「プロジェクト直下の CLAUDE.md はコンパクションを生き延びる。/compact の後、ディスクから読み直して文脈へ貼り直す」と明記する⁵。要約されるのは会話として流れ込んだ内容で、起動時にディスクから読む規約は毎回戻る。ディスクから読み直して貼り直すこの挙動は、本記事の言う制約ピン留めに当たる（head-tail とは別物だ——残すのは会話の先頭ターンではなく、会話の外にあるファイルである）。同じドキュメントはもう一段の但し書きも置く——CLAUDE.md は「強制される設定ではなく文脈」であり、決定を問わず必ず止めたい操作は PreToolUse フック（シェルで実行される確定的な関所）で縛れ、と⁵。要約の外へ貼り直すことと、効果側で確定的に止めることを、別の層として持っている。本記事の言う「帯域外の信頼できる経路」に対応する分業だ。

Cline の Auto Compact は、文脈上限に近づいたとき履歴を切り詰める（truncation）のでなく、要約で畳んで技術的判断とコード変更を保つ設計だと説明する⁶。ただしこれは「何を残すかを要約器任せにしない」実装ではない。残すものを選ぶのは要約する側であり、本記事が並べた区分でいえば「LLM要約（26%）」の側に位置する。プロジェクトのルールは別に .clinerules という常設ファイルへ置ける。公開ドキュメントはこれを「全会話にわたる恒久的な指示を与えるマークダウンファイル」と説明する⁷。ただしこのファイルが Auto Compact とどう相互作用するか——要約を跨いで再注入されるのかどうか——は、公開ドキュメントに記述がない。ピン留めとして効くかどうかは、ドキュメントからは判定できない。

Claude Code も Cline も更新の頻度が高い製品なので、以上の挙動は2026年前半に公開されていたドキュメントに基づく記述であることを断っておく。

実務の勘所

長い作業をこなすエージェントを運用するなら、示唆はひとつに尽きる——守らせたい禁止事項を「会話履歴の一部」として扱わないこと。履歴は要約される。従来の逐次コンパクションでは、要約の分量はプロンプトで指示してもほぼ効かず、保持される情報は実行ごとにばらつくと報告されている³。落ちてはならない一文は、要約の中身に賭けない。ガードレールは要約対象の外側、毎ターン確実に再提示される場所に置き、できれば効果側（実際に発行される行動）で決定的に検査する²。「モデルが賢いから守るだろう」ではなく、ルールが文脈に居続けているかを機械で確かめる発想である。なお本記事が挙げた違反率の数値——0%・30%・59%・38%——はいずれも単著の査読前プレプリント一本の実験群によるもので、追試での確認が要る。一方、プロンプト圧縮側の+23%は EMNLP 2025 Findings 採択の査読つき研究による。

この記事はAIが執筆しています。内容には誤りが含まれる可能性があります。ご注意ください。