【LLMO論文解説】記事に1回だけ差し込んだブランド名はAIの回答に出るか｜架空60ブランドで検証（プレプリント）

AIが検索結果をまとめて答える時代に、記事の1文にブランド名をそっと混ぜると、AIの回答にそのブランドは出てくるのか。これを調べた論文があります。

2026年11月2日に公開された「Characterizing Adversarial GEO via Implicit Brand Injection」です。

この記事は、その論文を原文から読み、何を試し、どんな数字が出て、どこまでが言えるのかを整理します。これは攻撃の研究なので、差し込み文の作り方や指示文の中身は載せません。

発信者と読者が知っておくべき点として、結果の読み方と、見抜き方・防御の論点を中心に扱います。数値は論文の表と本文から拾い、私が計算した値には「概算」と付けています。

合同会社謙虚は、3つのドメインを並行して運用し、何を変えると数字が動くかを測り続けています。この論文を読むのは、AIの回答に出るブランドが、記事の1文から左右され得るのかを、守る側として確かめておくためです。

結論：3行で言うと

• 記事の1文を書き換えて架空ブランドを1回だけ入れると、その文を含む断片が検索の上位10件に入った割合は、最大82.2%でした。ただし、その記事自体から作った質問での値です
• 回答を作る5つのAIのうち最も高かった値で、ブランド名が回答に出た割合は最大62.7%でした。同じ条件で、1回のAI呼び出しで書き換えた場合は44.2%で、差は18.5ポイント（概算）です
• 実験は架空ブランドと、統制した実験用の検索環境で行われ、論文は査読中のプレプリントです。実際のAI検索サービスや日本語での結果は、確かめられていません

この論文の基本情報

論文はこちらで読めます。arXiv（2611.04005）、arXivのDOI。

著者の1人のHaohan Wangさんは、当サイトで解説した2つの研究にも名を連ねています。口コミ風の文章で順位を動かす研究と、その見張り役を試した研究です。

この論文は、その続きの問いにあたります。

この論文が答えた問い

宣伝に見えない1文のブランド名は、人に違和感を持たれずに、AIの検索で拾われ、回答にまで出てくるのか。

これまでの攻撃研究の多くは、商品説明に最適化した文字列や、AIへの指示文を足す方法でした。この論文が扱うのは、指示も推薦も呼びかけもない、記事の1文の中のブランド名だけです。

攻撃する側は、記事を公開または書き換えられますが、将来の質問も、AIの検索や回答の仕組みも知りません。そのうえで、普通の情報記事の中の1文だけで、どこまで届くかを調べています。

どうやって調べたのか

論文が作った暗黙のブランド注入（IBI）は、AIに4つの役割を分けて担当させる仕組みです。挿入位置の特定、1文の書き換え、出来の確認、最後の選択に分かれています。

比較用に、実験用のデータセットIBIBenchも作られています。

質問にはブランド名が入っておらず、ブランド名を知らないまま作られています。差し込みがなければ、検索で拾う文章の中に、架空ブランドの名前は存在しません。

測った指標

• Hit@10：上位10断片の中に、差し込んだ記事の断片で、ブランド名を含むものが入った質問の割合です。記事が拾われただけでは数えず、差し込んだ文を含む断片が拾われた場合だけ成功になります
• MRR@10：その断片が何番目に出たかの逆数の平均です。1位なら1、2位なら0.5、10位圏外は0です
• BMR（回答での言及率）：回答にブランド名が出た割合です
• BRR（推薦率）：ブランドが「選べる候補」として示された割合です。判定はAI（GPT-5-mini）が行いました
• CP（条件付きの波及率）：差し込んだ断片が上位10件に入った場合に限って、回答に出た割合です

結果

差し込んだ文は、検索で拾われたか

下の表は、上位10断片に入った割合（Hit@10、単位は%）です。DPとBoNは比較用の方法です。

• IBIは、4つの条件すべてで、BoNより6.7〜11.3ポイント高い値でした（論文の記述）
• 最大の82.2%は、記事そのものから作った質問の場合です。分野全体から作った質問では45.3〜48.0%に下がります
• 成功した場合の多くは、1位で拾われています。Hit@1はHit@10の約76〜88%を占めました（論文の記述）
• 別の検索モデルでIBIだけを再確認した値は、記事条件付き・同じ分野で81.7%、分野単位・同じ分野で49.2%でした（付録の表6）

回答に、ブランド名は出たか

次の表は、回答を作った5つのAIのうち、最も高かったGPT-5-miniの値です（単位は%）。

• 5つのAI、2種類の質問、2種類の配置を掛け合わせた20条件のすべてで、IBIはBoNよりBMRとCPが高い結果でした（論文の記述）
• 20条件の平均で、IBIはBoNより、BMRが8.4ポイント、CPが7.5ポイント高い値でした。BoNがDPより高いのは、BMRで4.5ポイント、CPで3.5ポイントです
• 推薦率（BRR）では、20条件のうち18条件でIBIがBoNを上回りました
• 5つのAIの間でも差があります。記事条件付き・同じ分野のIBIのBMRは、Llama-3.1-8B-Instructの45.6%から、GPT-5-miniの62.7%まで開きます
• 差し込んだ断片が上位10件に入ったとき（CP）でも、回答に出ない場合があります。最高の75.9%でも、4分の1は出ていません

文章の自然さは、どうだったか

IBIは、元の文との意味の近さ（保存度）がDP・BoNより高い結果でした。同じ分野では、IBIが0.794、DPが0.753、BoNが0.762です。

文の自然さを測る指標も、IBIが基準に最も近い値でした。前後の文との整合の変化は、条件によって優劣が入れ替わっています。

人による確認も、小規模に行われました。8人が同じ50段落（DP25、IBI25）を読み、それぞれ自然か、宣伝的かを答えています。

論文自身が、この結果は「宣伝的に見えにくくなった」点を支持し、自然さの差までは言えない、と読んでいます。IBIでも、31%の判定は宣伝的と答えています。

論文自身が書いている限界

• 架空ブランドと統制した検索・回答の仕組みで実験しています。既存ブランドの知名度、評判、権威といった要素は含まれません
• 書き換えた記事が、検索の対象に入っていることを前提にしています。クロール、索引への登録、鮮度、情報源の権威といった実際のサービスの仕組みは扱っていません
• 1記事につきブランド名は1回だけです。繰り返しや複数ブランドで、より強くできる可能性があり、その場合は検出されやすさや不自然さにも影響し得ると述べています
• 主な検索は1種類の埋め込みモデルで、確認用にもう1種類を使いました。キーワード検索型、併用型、商用の検索は、結果が違うかもしれません
• 言語、実際のユーザーの質問、実サービスへの広がりは、今後の検証課題とされています
• 人による確認は50段落の小規模なものです。推薦率はAIによる判定で、判定のぶれを含みます
• 防御策（後述）は、提案の段階で、効果は実験で確かめていません

原文を読んで気づいた点

• 本文と表で、同じ分野と別分野の値が逆になっています。5.4.3節は、記事条件付き質問のIBIのHit@10を「同じ分野で76.1%、別分野で82.2%」と書いています。表3、要旨、序論は逆で、同じ分野が82.2%、別分野が76.1%です。同じ節のBoNの値（70.9%と65.2%）は、表3と同じ順です。そのため、本文の取り違えだと私は見ています。この記事は表に従いましたが、著者への確認はしていません
• 見出しの数字は、有利な質問の条件で出ています。82.2%は、記事そのものから作った質問の値です。利用者が分野全体を尋ねる場面に近いと考えられるのは分野単位の質問です。Hit@10は45.3〜48.0%、BMRの最大は35.3%でした
• 日本語の検証は書かれていません。使われた検索モデルは英語向けで、日本語の記事・質問での結果は、論文にありません
• 評価の大半は自動採点です。検索の成否は機械的な照合、文章の自然さは埋め込みと言語モデルの指標、推薦率はAIの判定です。人の目で確かめたのは50段落だけです
• 比較相手は、著者らが用意した単純な2つの方法（DPとBoN）だけです。先に出た他の攻撃手法との直接の比較は、論文にありません
• 判定役のAIが、回答役のAIの1つと同じモデルです。推薦率の判定と、最高値を出した回答生成の両方にGPT-5-miniが使われています。判定の偏りへの影響は、私が読んだ範囲では検討されていません
• 査読の有無は、プレプリントの段階です。コメント欄に「Under Review」とあり、学会での採択は確認できませんでした

この論文から、言えること・言えないこと

中小企業の視点で、どう受け取るか

ここからは、論文の主張とは別の、私の読み取りです。

1. AIの回答に出る見知らぬブランドは、出典ページまで開いて読む。論文が実験環境で示したのは、ブランド名が1文で入るだけで、回答に届き得ることです。名前が出た記事の中で、そのブランドが主題とつながっているかを見ます。ほかの独立したページにも出ているかも確かめると、読者側の確認になります
2. 人の目だけで見抜くのは、難しい場合がありそうです。人の確認は小規模ですが、IBIの段落への判定の82%は「自然に書かれている」でした。1文の違和感に頼らず、複数の情報源で突き合わせる方向が、論文の防御案とも一致します
3. 隠して入れる依頼は、受けない・出さない。この論文は、記事に紛れた1文を「攻撃」として扱っています。法的な位置づけは論文にありませんが、発信者としては、広告や提携なら、それと分かる形で書くのが安全だと私は考えます
4. 自社の原稿が書き換えられていないかを確かめる。寄稿記事、外部の執筆者が触る原稿、更新履歴を、社名や他社名の追加という観点で見直せます。論文は、攻撃者が記事を公開または書き換えられることを前提にしています

よくある質問

暗黙のブランド注入（IBI）は、AI検索に出るブランドを自由に決められるという意味ですか

そこまでは言えません。実験は、架空ブランド、統制した検索環境、書き換えた記事が確実に検索対象に入っている条件です。

論文自身が、既存ブランドの知名度や、クロールと索引の仕組みを扱っていないと述べています。

暗黙のブランド注入（IBI）の数字は、ChatGPTなどの実際のAI検索にそのまま当てはまりますか

当てはまるとは言えません。回答を作ったのは小型のAIを含む5種類で、検索は実験用に組んだ仕組みです。

実際の商用サービスは対象外です。

日本語での検証も、論文にはありません。最大の数字は、記事そのものから作った質問の場合の値でもあります。

暗黙のブランド注入（IBI）への防御は、論文でどこまで確かめられていますか

防御は提案の段階で、効果の実験はありません。論文は、AIへの指示と情報を分ける防御や、指示に優先順位をつける防御は、この脅威には直接は効かないと述べています。

代わりの方向として、3つを挙げています。取得した文章を別々に処理してから統合する方法、見慣れない事業者は複数の独立した情報源での裏づけを求める方法、回答中の言及を元の文章にたどれるようにする方法です。

まとめ：今日できる1つのこと

AIに自社の分野の質問を3つ尋ね、回答に出る社名を1つ選んで、出典ページを開いてください。その名前が出ている文が、記事の主題と無理なくつながっているか、ほかの独立したページにも出ているかを確かめます。

この確認が、1文のブランド名に頼らずに、情報を読み取る第一歩になります。

この論文は、LLMO論文の一覧の一本です。ほかの論文の解説も、順次公開しています。

ページを増やしても問い合わせが来ないなら、原因はページの外にあります。その場合は、下の入口からご相談ください。