セキュリティの欠陥：LangChain、AutoGPT、OpenAI Agents SDKはエージェンティックAIシステムの6つのセキュリティ原則をいずれも満たしていない

3つの主要エージェンティックフレームワークのセキュリティ検査で体系的な欠陥が明らかに

Md Jafrin Hossain、Mohammad Arif Hossain、Weiqi Liu、Nirwan Ansariの研究者らは、公開AIシステムを構築する開発エンジニアコミュニティを動揺させる論文を発表しました。ICML 2026のAI4GOODワークショップに採択されたこの研究は、3つの支配的なエージェンティックフレームワーク——LangChain、AutoGPT、OpenAI Agents SDK——が高リスクな公共サービスへの適用において安全かどうかを方法論的に検証しました。

答えは明確です：3つのフレームワークのいずれも、著者らがエージェンティックアーキテクチャの構成モデルから導出した6つのセキュリティ原則をひとつも満たしていません。

「封じ込め原則」とは何か、なぜ重要なのか？

著者らはcontainment——封じ込め（英語：containment principles）——の概念から出発し、エージェンティックAIシステムが公共アプリケーションで安全であるために満たすべき6つの基本要件を定義しています。これらの原則は記憶整合性、データ保護、ポリシー検証などの分野をカバーしています。

特に懸念される発見は記憶整合性（英語：memory integrity）に関するものです：最も一般的な脆弱性クラスのひとつに対する防御が、評価された3つのフレームワークのいずれにも存在しません。これは、エージェントの記憶を侵害した攻撃者がエージェントが管理するデータを永続的かつ気付かれないまま変更できることを意味します——検出なしで。

警戒すべき88.9%の誤拒否率

この欠陥の実際への影響を示すため、研究者らはシミュレートされた政府社会サービスアプリケーションを構築しました。シナリオは理論的ではありません：世界中で数百万人の市民がすでに、政府支援、医療、財政的給付の手続きを処理するAIアシスタントを使用しています。

エージェントの記憶への単一の攻撃により以下の測定された影響が生じました：

• 対象となった申請者のリクエスト誤拒否率が88.9%に上昇
• ポリシー攻撃（policy attacks）の複合により全体的な誤拒否率が3.5倍に増加、一方でシステム全体の精度は表面上は許容可能なまま維持

後者の発見は特に巧妙です：集計精度メトリクスはきれいに緑を示しながら、一方でシステムは特定のユーザーグループを体系的に傷つけている。標準的なモニタリングではこれを検出できなかったでしょう。

エージェンティックフレームワークへの攻撃メカニズム

中心的な問題は、エージェンティックフレームワークがエージェントの記憶に入る信頼できるデータと信頼できないデータを区別しないことです。攻撃者は例えば、ベクトルデータベースやエージェントの短期記憶に偽のレコードを植え付けることで、新しい入力データが正確であっても、エージェントが永続的に誤った決定を下すように引き起こすことができます。研究者らはこれをpersistent targeted corruption（持続的標的化腐敗）と呼んでいます。攻撃はすべての将来のセッションと試されたすべてのバックエンド設定を通じて伝播するからです。

最小限のオーバーヘッドでの修正

ここで研究はまた建設的な貢献をもたらします。著者らは問題を診断するだけでなく——2つの具体的な軽量保護メカニズムを導入しました：

1. 記憶整合性バリデーター（memory integrity validator）——エージェントが意思決定に使用する前にデータの一貫性と整合性を検証
2. ポリシーゲート（管理フィルター）——エージェントの処理チェーンを通じて破損したまたは不正なデータの通過を防ぐ実施メカニズム

両方の対策は無視できるほどの処理オーバーヘッドで特定されたセキュリティギャップに対処します——各呼び出しは0.2ミリ秒未満です。つまり本番システムへの実装に実際的な障壁はありません。

産業への影響

著者らの結論は明確です：「現在のエージェンティックフレームワークは、政府サービスや医療のような高リスクドメインにおける公共アプリケーションについて、デフォルトでセキュリティの期待を満たしていない可能性がある」

これは単一のベンダーに向けられた学術的批判ではありません——これは産業が本番システムを構築している一世代全体のツールをカバーする体系的な発見です。LangChain、AutoGPT、OpenAI Agents SDKは合わせてエージェント開発市場の大部分をカバーしています。

今日公共または規制されたコンテキストでエージェンティックシステムを実装している開発エンジニアや技術リーダーにとって、この論文は実際の前進の道も提供しています：提案された解決策は軽量で、欠陥は明確に文書化されています。問題は誰かがそれを悪用するかどうかではなく——組織がどれだけ早く対応できるかです。