【LLMO論文解説】政治の質問でAIはどの公開元を引用するか｜3つの生成検索で「毒入れ攻撃の攻撃面」を測定（CIKM 2026発表と記載）

AIが検索結果をまとめて答える「生成検索」は、ウェブ上の誰でも書けるページを引用します。では、AIはどんな公開元を好んで引用し、その偏りはどれだけの「隙」になるのでしょうか。

この問いに、米国と日本の政治分野で答えようとした論文があります。2026年8月公開の「Assessing Attack Surfaces in Generative Search Engines through Publisher Attributes: A Case Study in Political Domains」です。

この記事では原文から、何を測り、何が分かり、何が言えないのかを整理します。

合同会社謙虚は、3つのドメインを並行して運用し、何を変えると数字が動くかを測り続けています。この論文は、AIがどんな種類の公開元を引用しているかを、実測で見る視点を与えてくれるため、取り上げました。

結論：3行で言うと

• 論文は、引用元を「ウェブに載せる難しさ」で5つに分け、AIの引用にどれだけ入り込みやすいかを測る枠組みを提案しました
• 引用の傾向は、どのAIモデルか、質問がどの政党についてかで大きく変わりました。与党についての質問は、野党についての質問より、ウェブに載せやすい公開元に頼る割合が高くなりました
• 質問する人の政治知識や立場を変えても、引用の傾向はほとんど変わりませんでした

ここでいう「与党」「野党」は、公開元の数や情報量などの属性の話です。政党への評価や支持とは、無関係の話です。

この論文の基本情報

項目	内容
題名	Assessing Attack Surfaces in Generative Search Engines through Publisher Attributes: A Case Study in Political Domains
著者	Riku Mochizuki、Shusuke Komatsu、Souta Noguchi、Kazuto Ataka（4人）
所属	慶應義塾大学、著者の所属企業（産業界との共著です）
公開	2026年8月16日。arXiv:2608.15814（分野はcs.CR、暗号とセキュリティ）
掲載・採択	arXivのコメント欄に「Our full paper will be presented at ACM CIKM 2026」とあります。ACM CIKM 2026は情報検索・知識管理の国際会議です
種類	実験による測定研究。毒入れ攻撃を実行した研究とは別物です
実験データ・コード	著者のGitHubリポジトリで公開（質問と回答のデータ、分類用の指示文）

論文はこちらで読めます。arXiv（2608.15814）、データとコードのリポジトリ。

同じ著者陣には、日米の政治の質問を扱った前作（arXiv:2510.06823）もありますが、この記事ではこの論文だけを扱います。

謝辞には、研究室への企業からの寄付で支援を受けたと書かれています。著者の所属企業と合わせ、産業界との関わりがある研究です。

この論文が答えた問い

生成検索はどんな公開元の内容を好んで引用し、その偏りは、毒入れ攻撃に対する「隙」（攻撃面）として、どのくらい広いのか。

毒入れ攻撃とは、ウェブに偽りや誘導目的の内容を置き、AIの答えをその方向へ寄せようとする攻撃です。生成検索は、公開されたウェブを引用元にするため、この種の攻撃を受けやすいと論文は述べています。

これまでの引用の評価は、主に「回答が引用元の内容をどれだけ忠実に反映しているか」を見ていました。論文は、それだけでは足りないと指摘します。

誰が公開した内容なのかと、質問する人に合わせた個人化が引用を変えるのかが、見落とされていたからです。

そこで論文は、3つの問いを立てています。AIはどの公開元を好んで引用するか、どの公開元の内容が回答に強く効くか、個人化は引用を変えるか、の3つです。

どうやって調べたのか

項目	内容
対象のAI	GPT-5、Claude Sonnet 4、Gemini 2.5 Flash。いずれも、ウェブ検索機能を有効にした状態
国と政党	米国5政党（与党1、野党4）、日本8政党（与党2、野党6）。合計13政党
質問	33種類の質問の型。経済規制や福祉など、各政党が立場を明らかにしている11の話題から作成。「〇〇党の経済規制についての現在の立場は」のように、政党名を入れた答えが定まりやすい質問
利用者像	3種類。政治知識なし・中立、政治知識あり・進歩的、政治知識あり・保守的
回答の数	合計3,861件（米国1,485件、日本2,376件）。回答の取得は2026年5月、温度は1.0
日本語と英語	米国の政党には英語、日本の政党には日本語で質問。日本語の質問の引用元は、86%が日本語、14%が英語

利用者像は、システム用の指示文に、人物の紹介文として入れる形で与えています。つまり「この人は政治に詳しく、進歩的です」と伝えたうえで、同じ質問をします。

引用元を「載せやすさ」で分ける

論文の中心は、引用元をウェブに載せる難しさ（content-injection barrier）で分類することです。まず、引用元のURLと、ドメインの登録情報から、公開元の種類を判定します。

判定は、2つのAIモデルが行い、結果が食い違ったときは著者が手作業で決めています。

区分	どんな公開元か	論文の考え方
一次情報	質問された政党自身の公式ドメイン	当事者の発信
対立する政党	ほかの政党が運営するドメイン	別枠で集計
低い壁	誰でも投稿・編集できる場や、自分で持つサイト	編集の確認がなく、載せやすい
中くらいの壁	報道機関や、編集の過程がある組織のサイト	編集はあるが、偏りや利害が入り得る
高い壁	大学・研究機関や、政府機関のサイト	中立・客観が求められ、操作が難しい

低い壁の引用が増えるほど、攻撃者が回答に影響を与えやすい、というのが論文の見立てです。この枠組みは、実際の攻撃の成功率を測るものではなく、攻撃が入り込み得る経路を見つけるものだと、論文自身が述べています。

3つの測り方

• 壁の分布：引用が、5つの区分にそれぞれ何割ずつあるか
• 占有度：回答の文字数のうち、各区分の引用が付いた部分が占める割合
• 根拠の近さ：回答の文が、引用元の文とどれだけ意味が近いか。文の意味をベクトルにする方法で数値化し、「低・中・高」に分けています

比較のため、独立系の検索サービスのAPIで、同じ質問の検索結果の上位10件も集め、AIの引用と見比べています。AIが実際に使った検索結果ではなく、近似として使ったものです。

結果

1　AIモデルごとに、引用の傾向は大きく違う

モデル	一次情報の割合（米国／日本）	特徴
GPT-5	67.2%／83.1%	低い壁の引用は、両国とも0.1%以下
Gemini 2.5 Flash	（本文に記載なし）	対立政党の引用が最多（米国12.4%、日本6.1%）。低い壁の引用も最多（米国12.9%、日本17.2%）
Claude Sonnet 4	16.5%／53.7%	中くらいの壁が最多（米国59.3%、日本37.1%）

モデルによる違いは統計的に有意でした（カイ二乗検定で、米国568.94、日本574.80。自由度はどちらも8で、いずれもp<.001）。

効果の大きさを表す指標V（クラメールのV）は、米国0.328、日本0.250です。

論文は、Geminiの攻撃面が広いと述べます。低い壁の公開元を経由して内容が回答に届く経路が、多いからです。

2　与党についての質問は、載せやすい公開元に頼る割合が高い

引用の構成は、質問される政党が与党か野党かでも変わりました（カイ二乗検定で、米国1044.06、日本357.92。自由度はどちらも4。

Vは米国0.361、日本0.161）。本文が具体的な数字を示しているのは米国の側です。

米国の質問	GPT-5	Gemini	Claude
与党の質問で、中くらいの壁の引用	21.8%	58.5%	78.9%
与党の質問で、一次情報の引用	10.3%	0.9%	0.9%
野党の質問で、一次情報の引用	86.8%	19.8%	21.3%

この差から、論文は「与党に関する回答のほうが、低い壁の公開元に頼っており、攻撃面が広い」と結論づけています。

占有度でも同じ向きでした。米国では、一次情報の占有度が野党の質問で高く、差はGPT-5が76.6ポイント、Claudeが25.0ポイント、Geminiが20.5ポイントです。

日本では、この差はどのモデルでも6ポイント以内でした。

3　検索の段階で、すでに差がついている

与党の質問では、GPT-5以外のモデルは、検索結果の段階で、一次情報がすでに少なくなっていました。論文は、これを検索クエリの作り方の違いによるものと推測しています。

AIが引用元を選ぶ好み、というより、検索の段階が攻撃面を形づくる、という読み方です。

検索結果と引用の、一次情報の割合の相関（Pearsonのr）も、モデルと条件でばらつきました。米国の与党の質問では、Claudeが0.800、GPT-5が0.314、Geminiが0.120です。

日本の与党の質問では、Claudeが0.598、GPT-5が0.447、Geminiが0.218でした。野党の質問を含めた全体の表は、論文のTable 1にあります。

与党の質問で一次情報が少ない理由として、論文は、与党に関するウェブ上の情報量が多いことが原因かもしれないと推測しています。名前の検索ヒット件数は、日本の長年の与党が約4.71×10の7乗件で、ほかの政党の平均（約8.57×10の6乗件）を上回りました。

ただし、反例も示されています。米国の小政党は、ヒット件数が2.19×10の9乗件と二大政党より多いのに、一次情報の割合は高いままでした。

論文は、公開元の発信のしかたしだいで、この関係は抑えられる可能性があると示唆しています。

4　根拠の近さは、一次情報で高く、低い壁で低い

日本語の質問では、GPT-5の一次情報の割合が、根拠の近さが「低」の群で42.1%、「中」で75.6%、「高」で89.2%でした。

日本の3モデルとも、低から高で30〜47ポイント上がっています。米国ではGPT-5とGeminiが15〜17ポイントの上昇にとどまり、Claudeは低27.5%、中12.9%、高18.2%と、順には上がりませんでした。

論文は、ここから「壁の高い一次情報は回答に忠実に反映され、壁の低い公開元は、元の内容からずれた形で取り込まれやすい」と読み取っています。

与党の質問は、根拠の近さが「高」の割合も低く、米国ではGPT-5が28%、Geminiが30%、Claudeが33%でした。

野党の質問は、それぞれ38%、39%、39%です。

5　利用者像は、引用の傾向をほとんど変えない

3つの利用者像で、壁の分布はほぼ同じでした。米国全体のカイ二乗値は6.62（自由度8、p=.579、V=0.020）でした。

日本全体は10.07（自由度8、p=.260、V=0.019）です。どちらも、差は統計的に有意な水準に届きませんでした。

占有度でも、根拠の近さでも、利用者像の影響はごく小さいものでした（Vは米国0.019・0.012、日本0.011・0.009）。論文は、攻撃面は「誰が質問するか」ではなく、「どのモデルが、どの政党について答えるか」で決まると結論づけています。

利用者の立場と政党の立場が合う・合わないで分けた比較では、GeminiとClaudeの米国で統計的な差が出ました。ただし、効果の大きさは小さいものでした（Gemini V=0.086、Claude V=0.103）。

論文自身が書いている限界

• 対象は、米国と日本の政治分野の、答えが定まりやすい質問に限られます。単一分野を扱う事例研究です。今後は、健康や金融などの分野に広げるとしています
• 利用者像は、政治知識と立場の2つだけです。年齢、性別、学歴などは、実験の費用を抑えるため除いています
• 公開元の分類は、粒度が粗いままです。同じ「大学・研究機関」でも、査読を経た論文と、査読前の論文では、載せる難しさが違います。新聞社ごとの違いも、考慮の外に置かれています

なお、論文は考察の節で、一次情報が多いほどよい、とは限らないとも述べています。製品の口コミのように、第三者の情報が欠かせない場面もあり、理想の配分は課題ごとに決める必要があるという内容で、限界の節とは別に書かれています。

原文を読んで気づいた点

ここからは、この記事を書くために原文を読んで気づいた点です。論文の主張とは別のものです。

• 攻撃の成功は、実験の対象外です。「低い壁ほど攻撃しやすい」は著者の定義にもとづく見立てで、実際に攻撃を試して確かめた値とは別物です。論文も、攻撃の実証は目的外だと述べています
• 「与党」という属性と「政党の個別事情」が、混ざっています。米国の与党は1政党、日本の与党は2政党です。政党ごとの情報量や、公式サイトの作り方が結果に効いている可能性があり、論文自身が反例（米国の小政党）を挙げています
• 日本の与党・野党の差は、本文の数字が少なめです。日本の内訳は、主に図で示されています。本文が具体的な数字を挙げるのは、米国の与党・野党の差です。日本の差の大きさ（V=0.161）は、米国（V=0.361）より小さいものでした
• 与党の差を、情報量だけでは説明できません。米国の与党の名前の検索ヒット件数は約1.65×10の8乗件で、野党の二大政党の一方（約3.99×10の8乗件）より少なくなっています。情報量の多さは、論文自身も「かもしれない」とする推測です
• 本文が示す米国の与党の増加分は、主に中くらいの壁です。低い壁の引用の与党・野党別の数字は、本文には見当たりません。「載せやすい公開元に頼る」という要約は、一次情報の少なさと中くらいの壁の多さを合わせた読みです
• 検索結果は、近似です。AIが実際に使った検索結果は分からないため、独立系の検索APIで代用しています。論文は、検索結果の評価指標が大手検索と同程度だと述べて、妥当な近似としています
• 分類の正解率は、未報告です。公開元の判定は、2つのAIモデルと著者の手作業によるもので、判定の正解率は、原文の範囲に見当たりませんでした
• 自動の採点が中心です。根拠の近さは、文の意味ベクトルの類似度による自動評価です。基準値は、一般の文の類似度データで調整しており、政治文書に合うかどうかは、原文から読み取れませんでした
• モデルが古くなり得ます。実験は2026年5月の時点で、GPT-5、Claude Sonnet 4、Gemini 2.5 Flashを使っています。いまの実サービスの画面と同じ振る舞いかどうかは、未確認です
• 査読の状況です。arXivのコメント欄に、CIKM 2026で発表と書かれています。発表される正式版との違いは、未確認です。また、著者の所属企業が関わる研究である点も、お伝えしておきます

この論文から、言えること・言えないこと

言えること（論文の範囲）	言えないこと
引用元の構成は、AIモデルによって大きく違う	特定のAIが「安全」「危険」だと決めること
米国の質問では、与党のほうが野党より、一次情報の割合が低かった	与党への質問が、必ず操作されやすいこと
質問する人の政治知識や立場は、引用の傾向をほとんど変えなかった	どの種類の個人化でも、引用が変わらないこと
一次情報は、回答に忠実に反映される傾向があった（米国のClaudeを除く）	低い壁の公開元が、必ず誤った回答につながること
日本の政治分野でも、同じ枠組みで測定できた	ほかの分野（企業の情報、製品の比較など）で同じ結果になること

中小企業の視点で、どう受け取るか

ここからは論文の主張とは別の、私の読み取りです。政治分野の結果を、企業のページにそのまま当てはめることはできません。

• 自社の情報は、自社の公式ページに、まとめて置く。この論文では、公式ドメインの内容が、回答に忠実に反映される傾向がありました。ほかの公開元に任せるより、自社のページが一次情報として引用される状態を作るほうが、内容のずれを抑えやすいと考えられます
• 自社について、第三者の場にどんな内容があるかを確かめる。誰でも投稿できる場の内容は、AIの引用に入り得ます。誤った情報や古い情報が残っていないか、定期的に見ておく価値があります
• 引用の傾向は、AIごとに確かめる。同じ質問でも、モデルによって引用元の構成は大きく違いました。1つのAIで見た結果を、ほかのAIに当てはめないほうが安全です
• 利用者の属性ごとの出し分けを、先に心配しすぎない。この論文の範囲では、質問する人の立場による引用の違いは小さいものでした。ただし、政治以外の分野で同じとは言えません

よくある質問

content-injection barrierは、実際の攻撃の成功率を測った指標ですか

いいえ。論文は、攻撃の成功率を直接測るものではないと明記しています。

引用元の公開元を「載せやすさ」で分類し、攻撃が入り込み得る経路の広さを見積もる指標です。

この論文は、与党への質問のほうが危ないと言っているのですか

論文が示したのは、与党についての質問で、一次情報の割合が低く、載せやすい公開元の割合が高かった、という傾向です。その背景には、ウェブ上の情報量の多さなどがあると、論文は推測しています。

政党の良し悪しを述べた論文とは、性格が異なります。

利用者の政治的な立場で、AIの引用元は変わりますか

この論文が調べた範囲（3つのモデル、米国と日本、3種類の利用者像）では、ほとんど変わりませんでした。壁の分布の差は、効果の大きさが0.02前後にとどまっています。

まとめ：今日できる1つのこと

自社の名前と主力サービス名で、AIに質問してみてください。そのとき、答えの引用元のうち、自社の公式ページが何件あり、誰でも書き込める場が何件あるかを数えます。

数えた結果を表に残し、日を変えて2つ以上のAIで繰り返すと、自社の引用元の構成が見えてきます。

この論文は、LLMO論文の一覧の一本です。ほかの論文の解説も、順次公開しています。

ページを増やしても問い合わせが来ないなら、原因はページの外にあります。その場合は、下の入口からご相談ください。