【LLMO論文解説】検索AIへの攻撃を「繰り返す囚人のジレンマ」で理論化｜防御を強めても攻撃が減らない条件（ICML 2026ワークショップ）

2026年9月30日

AIの検索で、ページに細工をして自社の商品を上に出させる「順位操作攻撃」を、するか、しないか。この選択を、くり返される駆け引きとして数式で分析した論文が、2025年1月公開の「Dynamics of Adversarial Attacks on Large Language Model-Based Search Engines」です。

この記事では、どんな条件なら「誰も攻撃しない」状態が続き、どんな条件で崩れるのかを、数式を使わずに整理します。実験の論文と違い、理論の論文なので、何が前提で、何がまだ確かめられていないのかも分けて書きます。

合同会社謙虚は、3つのドメインを並行して運用し、何を変えると数字が動くかを測り続けています。「他社もやっているなら、うちも」という判断がどこで全員の損に変わるのかを、理屈の側から押さえておくために、この論文を読みました。

結論：3行で言うと

検索AIの順位を動かす攻撃を、2社が毎期「攻撃する・しない」を選び続けるゲーム（無限に繰り返す囚人のジレンマ）として定式化し、誰も攻撃しない状態が続く条件を式で示した理論の論文です
その状態は、将来の利益を重く見るほど、攻撃の費用が高いほど、共倒れでAIの回答の質が大きく落ちるほど保たれやすい、という結論です
一方で、攻撃の成功率を下げる防御が、かえって攻撃を得にする場合や、成功率に上限をかけても攻撃の動機が減らない「空振りの防御領域」があることも示しました

ただし、結論はすべてモデルの前提の上に立っています。論文に含まれるのは数式と、その式に数値を入れて描いた図だけです。

この論文の基本情報

項目	内容
題名（原題）	Dynamics of Adversarial Attacks on Large Language Model-Based Search Engines
著者	Xiyang Hu（1人。アリゾナ州立大学）
公開日	2025年1月1日（初版）。2025年5月15日に第2版、2026年6月9日に第3版。この記事は第3版を読んでいます
arXiv番号	2501.00745
掲載/採択状況	arXivのコメント欄に、ICML 2026（機械学習の国際会議）のワークショップ「ゲーム理論的な学習の新しい方向」と記載。PDFの書式は「Preprint」表記で、本会議とは別枠の発表です
種類	大学の研究者による単著の理論研究。ゲーム理論（駆け引きを数式で分析する道具）を使い、新しい実験やデータはありません
実験データ/コードの公開先	論文中に記載なし

論文はこちらで読めます。arXiv（2501.00745）、arXivのDOI。

この論文が答えた問い

論文の問いは、次の1つにまとめられます。

検索AIの上で競い合う事業者が、順位を動かす攻撃を「するか、しないか」を毎期選び続けるとき、どんな条件なら全員が攻撃を控える状態が続き、どんな条件で崩れるのか。

論文は、AIの検索では細工されたページが同じ入力のほかのページの読まれ方まで変えうること、複数の事業者が互いの動きに反応し合うことを、従来の検索との違いに挙げています。これまでの研究が主に1回ごとの攻撃を扱ってきたのに対し、長く続く駆け引きを扱う、という位置づけです。

選好操作攻撃の論文との違い

近い話題に、AIに競合を出し抜かせる「選好操作攻撃」の論文があります。あちらは実際の検索AIで攻撃が効くことを実験で示し、攻撃するページが増えると全体の推薦が減る「囚人のジレンマ」を観察しました。

この論文は、その観察を「両方の攻撃が成功すると市場が縮む」という前提の根拠として引いています。あちらが1回の場面での実証なら、こちらは同じ選択が無限に続くときに、何が変わると攻撃を控える状態が崩れるかを示す理論です。

どうやって調べたのか

基本の舞台は、同じ商品を売る2社です。2社は毎期、同時に「攻撃する」か「しない」かを選び、この駆け引きが終わりなく続きます。

1期の市場全体を1とし、2社の商品はどちらを買っても同じ（完全に置き換えがきく）と置いています。期の終わりには、相手が攻撃したかどうかが見える、という前提です。

モデルに入っている4つの要素

要素（論文の用語）	意味	補足
将来の重み（割引因子）	来期以降の利益を、今期と比べてどれだけ重く見るか。0から1の間	1に近いほど先を見る
攻撃の成功率	攻撃がAIの順位づけを動かし、狙いどおりの結果になる確率	AI側の防御が強いと下がる
攻撃の費用	攻撃の開発・運用にかかる費用。1期の市場全体を1とした割合	「一定」「成功率に比例」「成功率の2乗に比例」の3通りを試しています
共倒れ後の残存割合	両社の攻撃が同時に成功したとき、回答の質が落ちて縮んだ市場の大きさ（1未満）	小さいほど劣化が大きい

1期ごとの取り分

2社の選択	自社の取り分
両社とも攻撃しない	市場を半分ずつ（0.5）
自社だけ攻撃する	成功すれば市場の全部、失敗すれば半分。そこから攻撃の費用を引く
相手だけ攻撃する	相手の攻撃が失敗したときだけ半分。成功されるとゼロ
両社とも攻撃する	両方成功なら縮んだ市場を半分ずつ。片方だけ成功ならその側が全部。両方失敗なら半分ずつ。そこから攻撃の費用を引く

攻撃の費用が一定の範囲に収まるとき（論文は条件式を示しています）、この取り分の並びは囚人のジレンマの形になります。1社だけ抜け駆けすれば得をし、両社とも攻撃すると両社とも攻撃しない場合より損をする、という構図です。

報復の仕方と、広げた設定

報復の仕方は2種類を比べています。1つは「一度でも攻撃されたら、以後ずっと攻撃し返す」やり方で、論文はグリムトリガーと呼んでいます。

もう1つは「攻撃された次の回だけ攻撃し返す」しっぺ返しです。そのうえで、費用が初回だけかかる場合、2社の力が違う場合、多数の社のうち何社かが攻撃する場合へと分析を広げています。

分析はすべて数式の導出です。図は、その式に数値を入れて描いたもので、実在の検索AIを使った検証は、この論文の範囲の外にあります。

成功率と費用の目安（既存研究からの換算）

論文は、式の数字が現実のどのあたりにあたるかを、ほかの研究の報告から大まかに換算しています。

成功率：選好操作攻撃の論文では、一部の設定で直接の攻撃が約95〜100%、別のページからの攻撃は最大約25%成功
成功率：商品順位を動かした研究では、順位のスコアの改善が54.23%〜95.74%
成功率：StealthRankの研究の平均順位（10件中1.46〜2.50位、8件中1.87〜2.39位）を換算すると、およそ0.80〜0.95になります
費用：実験の計算費用として報告された約15ドル、50ドル、450ドルを、仮にその質問群の1期の粗利を1,000〜10万ドルとして割ると（粗利の幅は論文が置いた仮の例）、およそ0.00015〜0.45の幅になります

論文は、市場ごとに費用や質問の価値が違うため、この換算は感度を見る目安にとどめると断っています。

結果

攻撃を控える状態が続く条件

ずっと報復し続けるやり方の下で、論文は、将来の重みがある境目以上なら2社とも攻撃を控え続けることを導きました（定理1）。「攻撃の費用がある額以上」と言い換えることもできます（系1）。

論文の式を言葉に置き換えると、境目は次の比になります（この言い換えは私によるものです）。

境目＝抜け駆けで1回だけ増える取り分 ÷（その増える取り分＋共倒れの状態で毎期失う取り分）

抜け駆けの得が小さいほど、共倒れの損が大きいほど、境目は下がり、攻撃を控える状態が続きやすくなります。各要素の効き方を、論文の定理1・定理2から整理すると次のとおりです。

要素	変化	攻撃を控える状態は
攻撃の費用	高くなる	続きやすくなる（境目が下がる）
共倒れ後の残存割合	大きくなる（劣化が小さい）	崩れやすくなる（境目が上がる）
将来の重み	大きくなる	続きやすくなる
攻撃の成功率	上がる	一方向に決まらない。費用の形や残存割合しだい

図1は、残存割合（0.2〜0.8の4通り）と費用の形（3通り）を変えて、条件を満たす範囲を描いています。残存割合が大きいほど範囲は狭まり、費用が一定の場合がいちばん広く、2乗に比例する場合がいちばん狭くなりました。

論文は、将来の重みには下限があり、それより目先を重く見る事業者どうしでは攻撃を控える状態が成り立たないと述べています。この下限が成功率とともに上がるか下がるかは、費用の形と残存割合によって違いました。

成功率の効き方が一方向に決まらない理由

成功率が上がると、抜け駆けの得が増えます。同時に共倒れの損も大きくなり、費用が成功率とともに増える設定では費用もかさむため、どちらが勝つかで向きが変わります。

定理1の式に数値を入れて、私が境目を試算しました（残存割合0.4、将来の重みが表の値以上なら攻撃を控える状態が続く、概算）。

攻撃の成功率	費用0.1で一定	費用＝0.1×成功率	費用＝0.1×成功率の2乗
0.3	0.28	0.68	0.80
0.5	0.46	0.62	0.69
0.8	0.51	0.54	0.57
1.0	0.50	0.50	0.50

費用が一定なら、成功率とともに境目が上がり、最後にわずかに下がります。費用が成功率とともに増えるなら、成功率が上がるほど境目が下がります。

たとえば将来の重みが0.6で、費用が成功率の2乗に比例する場合です。成功率1.0なら境目は0.50なので攻撃は控えられますが、防御で成功率を0.5まで下げると境目が0.69に上がり、攻撃したほうが得な状態に変わります（私の試算）。

防御が空振りする条件

論文は、1回攻撃してその後ずっと攻撃し合う場合の取り分を、成功率の関数として調べました（命題1）。試した3通りの費用の形では、この取り分は成功率に対して上に凸（山なり）になり、頂点が0と1の間にある場合は、そこが攻撃側に最も都合のよい成功率です。

その山の頂点より高い側では、成功率を少し下げると、攻撃の取り分はかえって増えます（系2）
成功率ゼロなら費用もゼロで、成功率を少し上げるための追加の費用が小さい場合は、成功率をゼロ近くまで下げても攻撃のほうが得な状態が残ります（系3）。成功率ゼロでも一定の費用がかかる場合は、この限りではありません
攻撃側が上限の範囲で成功率を選べるとき、防御で成功率に上限をかけても、上限が山の頂点より上にあれば、攻撃側が得られる最大の取り分は変わりません（系4）。論文はこの範囲を「空振りの防御領域」と呼んでいます
上限が効くのは頂点より下に置いたときだけです。攻撃を控える状態が戻るには、その上限の下での最大の取り分が、控え続けた場合の取り分以下になる必要があります

私の試算では、将来の重み0.4、残存割合0.4、費用が0.1×成功率の2乗の場合、山の頂点は成功率およそ0.68でした。この設定では、0より大きいどの成功率でも攻撃のほうが得になり、0より大きいどこに上限を置いても攻撃を控える状態は戻りません（命題1の差の式に代入した概算）。

しっぺ返しの場合

攻撃された次の回だけ報復するやり方では、条件は「将来の重みが、1から（2×費用÷成功率）を引いた値以上」になりました（定理3・定理4）。この条件には、共倒れ後の残存割合が入っていません。

2社が同時に攻撃する場面が生まれず、共倒れの劣化を抑止力に使えないためです。論文は、目先の誘因が強い場面ではしっぺ返しで攻撃を控える状態を保ちにくいと見ています。

費用が初回だけかかる場合

費用が最初の1回だけかかる場合、毎回かかる場合より、攻撃を控える状態が成り立つ範囲は狭くなりました（定理6）。論文は、初回だけの費用は目先を重く見る事業者には効くが、先を見る事業者には「最初の投資」とみなされ効きにくいと述べています。

2社の力が違う場合

成功率、費用、将来の重みが2社で違う場合、攻撃を控える状態が続くかどうかは、最も攻撃したい側の条件で決まる、と論文は示しました（系5〜系8）。

成功率が違うときは、成功率の高い側
費用が違うときは、費用の安い側
将来の重みが違うときは、目先を重く見る側
複数の点で違うときは、それらの組み合わせしだい

論文は、運営側の監視を最も攻撃しそうな参加者に集中させるよう勧めています。

参加者が多い場合

攻撃する社が十分に多いときは、その数がさらに増えるほど、攻撃を控える状態が成り立つ範囲が広がる、と論文は示しました（系9、攻撃する社が多いときの近似による）。得を分け合う相手が増え、1社あたりの上乗せが薄くなるためです。

論文が示す防御の組み合わせ

結論の節で、論文は防御策を4つの要素に対応づけています。

成功率を下げる：攻撃的な文章の検出、順位の抜き打ち監査、読み込んだデータとAIへの指示の分離
費用を上げる：回数の制限、状況に応じた監査、疑わしい編集を繰り返すページへの審査の強化
共倒れの取り分を下げる：同時の操作に関わったと判定したページの順位を下げる、または外す
将来の重みを上げる：評判の仕組み、長期の契約、監査記録の保存

成功率を下げるだけでは足りない場合があり、費用や共倒れの取り分にも同時に手を打つ防御のほうが確実だ、というのが論文のまとめです。

論文自身が書いている限界

この論文は、限界を独立した節にまとめていません。モデルの設定の節と結論の節に、単純化した前提と今後の課題が書かれています。

相手の攻撃が期の終わりに見える、という前提は単純化だと論文は認めています。実際の事業者に見えるのは主に順位、引用、流入、回答の変化といった公開の手がかりで、観察が不確かなら攻撃を控える状態はもっと保ちにくい、という見方です
商品が完全に置き換えがきくという置き方は、分析を簡単にするためと書かれています
成功率と費用の換算は、感度を見るための大まかな目安にとどめています
今後の課題として、検索AIの運営側も戦略的に動く市場、利用者の行動と市場の反応、相手の能力や行動が見えない状況、AIの能力向上による攻守の変化を挙げています

原文を読んで気づいた点

新しい実験も、実データでの検証もありません。図は式に数値を入れて描いたもので、事業者の実際の行動を観察した結果とは別物です
採択はarXivのコメント欄の記載どおりICML 2026のワークショップで、本会議とは審査の枠が別です。GEO研究のサーベイ論文（原典）の一覧表も、ワークショップ発表の理論研究とし、「結論はモデルに依存する」と注記しています
著者は1人です。成功率の換算に使った研究の1本（StealthRank）には、この論文の著者も共著者として入っています
攻撃が成功すると市場を丸ごと取る、という置き方は強い仮定です。実際のAI検索は複数の出典を並べることが多く、取り分が「ゼロか全部か」になる場面は限られると私は考えます
検索AIの運営者は、ゲームの参加者として登場しません。防御は、成功率や費用の数字を外から動かすものとして扱われています
言語に左右されない理論で、日本語や日本の検索市場のデータでの検証もありません

この論文から、言えること・言えないこと

言えること（論文のモデルの中で示された）	言えないこと（論文では確認されていない）
将来を重く見るほど、費用が高いほど、共倒れの劣化が大きいほど、攻撃を控える状態は続きやすい	実際の事業者が、この式どおりに攻撃するかどうかを決めていること
成功率を下げる防御が、条件によってはかえって攻撃を得にする	いまの検索AIの成功率や費用で、攻撃を控える状態が保たれているかどうか
成功率の上限は、攻撃側に最も都合のよい成功率より上に置くと効かない	特定の防御策が、攻撃をどれだけ減らすか
力の違う2社では、最も攻撃したい側が、攻撃を控える状態の成否を決める	自社が攻撃を控えれば、競合も控えること（論文は攻撃を勧めていません）

中小企業の視点で、どう受け取るか

ここからは論文の主張とは別の、私の読み取りです。

「他社もやっているから、うちも」は、今期の損得だけを見た判断です。この論文の枠組みでは、同じ顧客と長く商売を続ける会社のように将来を重く見る側ほど、攻撃しない理由が大きくなります
操作が広がると全員が損をする、という結論は「共倒れで回答の質が落ち、市場が縮む」前提に支えられています。回答が荒れても利用者が離れにくい分野ほど、この歯止めは弱いと読めます
論文の2社のモデルでは、成否は最も攻撃したい側で決まります。多数の社がいる業界でも同じなら、費用をかけずに試せる事業者や短期で引き上げる事業者が1社いるだけで、業界の均衡は崩れうると読めます
「AI側が防御を強めれば解決する」とは限らない、という指摘がいちばん実務に近いと考えます。自社で守れるのは、自社の選択と、見え方の変化に気づくための記録です