arXiv生成AIニュース（2026年8月24日）

キーワード: 隠れ推論の抽出 / コンテキスト漏洩 / フロー選好最適化 / モデル圧縮の非対称な害 / テスト時スケーリング / 評価器の自己進化

（今日のハイライト: ブラックボックスの推論モデルから隠れた思考過程をほぼそのまま抜き出せてしまうEchoCoT、エージェントの文脈に置いた秘密情報が悪意のない応答からも漏れ出すInadvertent Context Leakage、そして候補案は増えているのに選び方こそがテスト時スケーリングの真のボトルネックだと示した研究の3本を中心に、生成AIの「安全に見えるが実は漏れている」「性能は伸びているが評価しきれていない」という足元を問い直す論文を10本紹介する。なお、arXivは土日に新規論文の告知を行わないため、本日も直近の平日（8月19〜20日）に投稿された論文群から、前日回とは重複しない10本を選定した。）

オープニング：2026年8月24日 — arxiv生成AI論文解説

本日はモデルの「見えないところで起きている漏洩と崩れ」に焦点を当て、隠れ推論の抽出、コンテキスト経由の秘密漏洩、生成モデルの選好最適化がもたらす分布ずれ、圧縮による非対称な劣化、テスト時スケーリングの真のボトルネック、キャッシュ設計、自己進化する評価器、マルチモーダル学習の効率化、そして検証という営みそのものを整理する研究まで、10本の論文を幅広く紹介する。

論文1: 隠れた思考過程をほぼそのまま抜き出すEchoCoT

フロンティア級の非公開推論モデルから、企業が資産として隠している思考過程（チェーン・オブ・ソート）をAPI経由でほぼ一字一句抜き出せることを実証し、モデル資産としての推論過程という新しい攻撃対象を具体的な数値とともに提示している点が際立つため取り上げる。近年のフロンティア推論モデルは、最終回答だけでなく途中の思考過程そのものに大きな価値があるとされ、多くの提供元がこれを非公開にしている。研究チームは、ツール呼び出しの間に生じる「推論の再生（リプレイ）」という、これまで見過ごされていた経路に着目し、API応答の忠実度シグナルを手がかりに隠れ思考過程を反復的に抽出する多段階の攻撃手法EchoCoTを開発した。さらに、複数のデータセットに横断して効く汎用の注入経路を自動探索する大規模言語モデルベースの最適化枠組みも構築している。

3つのオープンソースモデルと5つのフロンティア級非公開モデルで評価した結果、オープンソースモデルでは最大66.4%の確率でほぼ一字一句の抽出に成功し、抽出された系列の長さは目標の10%以内、少なくとも90%のトークンが完全一致していた。同じ注入経路は未見のデータセットにも汎化し、同一基準で最大80%の抽出成功率を達成した。非公開のフロンティアモデルでも、抽出された思考過程の多くが提供元の公表する推論長や公開済みの要約と近い形で一致しており、Gemini-2.5では32,948トークンの対象から33,463トークンをほぼそのまま抽出できたという。隠れた思考過程は実務上のセキュリティリスクとして扱う必要があり、これを守るための仕組みが現状ほぼ存在しないことを浮き彫りにした結果である。

出典: EchoCoT: Extracting Hidden Chain-of-Thought from Large Reasoning Models. arXiv:2608.20055 (2026).

論文2: 秘密が会話に混ざっているだけで漏れ出すInadvertent Context Leakage

直接の抜き出し要求を拒否できているモデルでも、文脈にある秘密が善意の応答ににじみ出て復元できてしまうという、これまで別問題として扱われてきた「拒否の正しさ」と「情報漏洩」の乖離を実験で突きつけている点が新しいため取り上げる。カレンダーや資格情報、health記録、金融データのような機微な情報をエージェントが文脈として保持する場面が増える中、研究チームは、そうした秘密が単に文脈に存在するだけでモデルの通常応答に隠れた相関を持ち込み、直接の抽出要求には正しく拒否できているモデルからでも復元できてしまうかを調べた。さらに、敵対者がプロンプトを能動的に細工してこの効果を増幅し、一見無害なテキストを使ってモデルを秘密の運び屋に仕立てられるかも検証している。

8つの商用モデルを対象にした統制実験では、2桁の文脈内秘密がほぼ完全な精度で、4桁の秘密でも82%の完全一致率で、ごく普通の非敵対的なやり取りに対するモデルの応答だけから復元できた。より高性能なモデルほど漏洩が大きいという結果も得られており、これは指示追従能力の高さが文脈内の秘密への感度を増幅するためで、パッチで直せる単なるバグではなく能力向上の副産物だと研究チームは指摘する。この漏洩は、ルーティンな自然言語の応答から健康状態や金融イベントといった意味的な述語を推測する訓練済み分類器と、社会保障番号を実運用に近いエージェントから完全に抽出する強化学習訓練済みの敵対者という、2つの実践的な攻撃を可能にすることも示された。

出典: Inadvertent Context Leakage in Language Models. arXiv:2608.19857 (2026).

論文3: 選好最適化が生成モデルを学習済みの土台から逸脱させるManifold Drift

拡散・フローマッチング系の生成モデルで選好最適化を行うと、なぜ品質が破綻する「報酬ハッキング」が起きるのかを、幾何学的な原因として初めて定式化した理論的な切り口の新しさのため取り上げる。フローマッチングにおける報酬駆動の更新は、学習済みデータ多様体に留まる制約を内在的に持たないため、終端サンプルを学習済みの支持集合の外へ押し出してしまうことがある。研究チームはこの失敗モードを「多様体ドリフト」として定式化し、最適なフローマッチングは終端データ分布を正しく復元する一方、選好更新が誘導する終端変位に法線方向の成分が非ゼロであるかぎり学習済み多様体から逸脱することを理論的に示した。その対策として、選好された側のサンプルに更新を係留する温度制御付きの目的関数ThermoDPOを提案し、低温域で信号が弱まる問題に対処する重み付き変種ThermoDPO-weightedも導入している。

温度域を通じてこの目的関数は拒否サンプリングによるファインチューニングとFlowDPOを橋渡しし、点ごとの再構成誤差に基づく多様体距離の代理指標を制御できる。主要なトイベンチマークでは、ThermoDPO-weightedがStrictScore 0.899を達成し、FlowDPOの0.629、FlowDPO+RFTの0.857を上回った。CFG=4.5のSD3.5-Mでも、OCR精度を47.5%、4指標平均を16.0%改善している。選好最適化による見かけの性能向上が、実は学習済みの表現空間からの逸脱によって水増しされている可能性を具体的に定量化し、それを抑える設計指針まで示した点に意義がある。

出典: Manifold Drift in Flow Preference Optimization: A Root Cause of Reward Hacking. arXiv:2608.20011 (2026).

論文4: 集約指標が覆い隠すモデル圧縮の非対称な害The Asymmetric Harms of LLM Compression

量子化やプルーニングの評価で当たり前に使われるパープレキシティや正解率といった集約指標が、実は圧縮によって生じる行動変化の多くを隠してしまうことを、3モデル・11圧縮手法という広い横断比較で具体的に暴いている点が実務的に重要なため取り上げる。研究チームは、圧縮が知識保持、モデルの確信度、社会的バイアスに与える影響を体系的に評価した。その結果、圧縮はテール知識よりもヘッド知識（よく知られた事実）の相対的な保持率をより大きく損なうという非対称性が見つかり、さらに圧縮モデルは新たに失われた知識について誤った回答にもかかわらず高い確信度を維持し続けることが分かった。

加えて、集約されたバイアススコアが安定して見える場合でも、その内側では人口統計学的な下位集団ごとにステレオタイプ的な選好が対照的な方向へ大きくシフトしていることを示した。つまり、全体としては「バイアスは変わっていない」ように見える圧縮モデルが、特定の集団に対しては悪化し別の集団に対しては改善しているという、集約指標だけでは絶対に検出できない変化を抱えている。展開前には圧縮モデルをより粒度の細かい単位で評価する必要があるという、モデル圧縮を実運用に導入する際の評価設計そのものへの警鐘を鳴らす結果である。

出典: The Asymmetric Harms of LLM Compression. arXiv:2608.19670 (2026).

論文5: 教師の尤度だけに頼らず検証器の判定と整合させるGC-OPD

長文脈タスクにおいて、教師モデルのトークン単位の尤度が局所的にもっともらしいがタスク全体としては失敗している応答を評価者に高く採点させてしまうという、既存のオンポリシー蒸留が抱える整合性のずれを実証データとともに具体的に示している点のため取り上げる。研究チームは、証拠が入力全体に分散した長文脈タスクを使って、入力範囲が長くなるほど軌道単位のオンポリシー蒸留スコアが検証器の報酬から徐々にずれていくことを診断した。この観察に基づき、各ロールアウトグループ内で検証器報酬と軌道単位のオンポリシー蒸留スコアを別々に正規化し、その差分を符号付きの「教師・検証器不一致残差」として扱うGroup-Calibrated On-Policy Distillation（GC-OPD）を提案した。この残差はさらに、各トークンの相対的なオンポリシー蒸留優位度に応じてトークン単位へ配分される。

5つの長文脈ベンチマークで、公式のQwen3-4BとQwen3-8Bのチェックポイントに対しGC-OPDによる後段学習を行うと、5ベンチマーク平均正解率がそれぞれ29.08から40.47、35.12から44.65へ向上した。素のオンポリシー蒸留はそれぞれ39.31、43.56にとどまり、GC-OPDが明確に上回っている。統制されたアブレーションでは、符号付き残差の追加が、別のオンポリシー蒸留由来項の追加やグループ正規化した検証器報酬をそのまま足す方法よりも効果的であり、トークン配分方式自体も均一配分より優れていることが確認された。密なトークン単位の指導を捨てずに検証器の結果を取り込めることを具体的な数値で示した結果である。

出典: Beyond Teacher Likelihood: Group-Calibrated On-Policy Distillation for Long-Context Reasoning. arXiv:2608.19181 (2026).

論文6: 候補は増えているのに選び方が壊れているTest-Time Scaling in the Wild

数学やコードといった検証が容易な領域でしか鍛えられてこなかったテスト時スケーリング（推論時の追加計算）を、医療・法律・金融・雑談・創作という検証が難しい5つの開放的な生成ベンチマークで初めて計算量正規化した比較を行い、「探索は機能しているが活用が壊れている」という明快な結論を導いた分析の丁寧さのため取り上げる。研究チームは5種類のテスト時スケーリング手法のトークン予算の使われ方を、探索（候補プールの充実）と活用（そこから最終出力を選ぶ工程）に分解する統一枠組みを構築した。候補プール中の最良候補は計算量に応じてどの設定でも着実に向上しており、探索そのものは機能している。

一方で壊れているのは活用の側で、最先端の生成器を使っても報酬モデルと真の品質の相関はρ≈0.12にとどまり、予算をいくら積んでも選択がほぼランダムになってしまう。木探索はこの失敗を多様性の崩壊によってさらに増幅し、リファインメント（逐次改善）は5ベンチマーク中1つでしか効果がなく他の見かけの改善は交絡していた。候補全体を統合するフュージョンだけが単一サンプルのベースラインより一貫して改善するものの、それでも利用可能な品質改善の約40%しか回収できていない。「候補プールがボトルネックではなく、そこからどう選ぶかがボトルネックだ」という指摘は、テスト時スケーリングの効果を検証が難しい実務領域へ広げようとする現場に直接刺さる結果である。

出典: Test-Time Scaling in the Wild: Why Exploitation, Not Exploration, Is the Bottleneck. arXiv:2608.18931 (2026).

論文7: どのキャッシュ退避方式でも大差がつかないと分かったLLMキャッシュの系統比較

意味的キャッシュ（クエリの埋め込みが近ければ応答を再利用する仕組み）の退避（エビクション）方式について、これまで統一プロトコルで比較されたことがなかった複数手法を横断的に評価し、実務でよく使われる単純な指標が実は品質にほとんど寄与していないという意外な結果を示した点のため取り上げる。研究チームはFIFO、LRU、LFU、ARC、GDSF、SISOのストリーミング適応版、意味的冗長性方策を、3つの順序付き重複除去済みクエリコーパス、3つのキャッシュ容量、2つのエンコーダにわたって比較した。その結果、評価した18設定のいずれにおいても、どの方式もLFUを0.041パーセントポイント以上上回ることはなかった。一方でFIFOとストリーミング版SISOは、容量が厳しい条件でLFUに最大8.67ポイント、8.55ポイント差をつけられており、退避方式自体が無意味というわけではない。

研究チームはこの「改善余地の欠如」を、厳密一致検索と欠損時挿入という設定のもとでは、新規挿入エントリがヒット半径内に既存の近傍を持ちえないため、幾何を考慮した退避規則が新しい冗長性シグナルをほとんど受け取れないという条件付きパッキング結果で説明している。さらに大きな問題として、MiniLMの中央値最近傍しきい値では、サンプリングしたLMSYSとQQPのヒットのうちわずか2.1〜3.9%しか実際に回答代替可能と判定されず、見かけの51〜60%というヒット率は品質調整後には1.1〜2.2%にまで落ち込むことも明らかになった。しきい値は埋め込みモデル間で移植できないことも確認されており、実運用では退避方式の細部を詰める前に、まず「そのヒットは本当に正解として使えるのか」という妥当性の検証を優先すべきだという実務的な結論を導いている。

出典: Which Eviction Policy Should an LLM Cache Use? A Systematic Study Across Workloads, Capacities, and Encoders. arXiv:2608.20280 (2026).

論文8: 評価指標そのものを自分の弱点から進化させるEvalCEGAR

「良い答えとは何か」を言語化するのは難しいが「この答えのどこがまずいか」を指摘するのは比較的容易だという着眼から、評価器自身に欠陥検出オペレータの集合を書かせ、自分の盲点から自分自身を改良させるという発想の転換が明快なため取り上げる。研究チームは、候補を評価する小さなPythonオペレータの集合を用意し、各オペレータが1つの名前付き欠陥を検出するか棄権し、集団で多数決するという設計を採った。大規模言語モデルに直接オペレータを書かせるだけでは、183個の候補が実質96種類の挙動しか実現せず、巨大な設計空間のごく狭い領域しかカバーできないことが分かった。そこで研究チームは、プログラム検証分野の反例誘導抽象化改良（CEGAR）を借用したEvalCEGARを構築し、現在のオペレータ集合を1つの抽象化とみなして、同じスコアを付けてしまう「衝突ペア」（片方が正解、もう片方が不正解の2つの答え）を探索する。その衝突ペアこそが新しいオペレータを書かせるための執筆依頼になり、どうしても衝突を解消できない場合はオペレータが参照できる情報の範囲を広げる。

隠れたユニットテストが厳密な正解を与えるMBPP+とHumanEval+のサンドボックスでは、このループが書いた55行のオペレータが、428件の未見タスクで「何も検出しない」場合と「完璧なフィルタ」の間のギャップを15.4%縮め、最良の手書きオペレータの4分の1のフラグ数でそれを達成した。未見のベンチマークでも、フラグの3分の1についてその手書きオペレータと完全に一致する効果を示した。8回中6回の実行がこうしたオペレータを生成でき、いずれも分布外データで効果を発揮した一方、15個の手書きオペレータを1つのフィルタとしてまとめて使うと逆に精度が落ちてしまうことも分かった。同じ情報を与えた大規模言語モデル判定者はこの改善幅にほぼ匹敵するが、候補ごとにモデル呼び出しの料金がかかり続けるのに対し、進化したオペレータは呼び出し不要という運用上の利点も明確に示している。

出典: Metrics That Write Themselves: Evolving an Evaluator from Its Own Blind Spots. arXiv:2608.18744 (2026).

論文9: バックボーンを凍結してプロジェクタだけ訓練すれば十分だったProjector Is All You Train

マルチモーダル大規模言語モデルを新しいモダリティへ適応させる際、言語モデルのバックボーンまで含めて共同訓練するのが当たり前とされてきた前提を、3Dモダリティでの実験によって覆した意外性のため取り上げる。研究チームは、モダリティ固有のエンコーダとバックボーンの間をつなぐ「プロジェクタ」だけを訓練すれば、バックボーンまで含めて共同訓練した既存のベースラインや自分たちの共同訓練版MLLMと同等以上の強いマルチモーダル性能を達成できるかを検証した。同一のエンコーダとバックボーンを用いた条件下で比較した結果、プロジェクタのみの訓練は既存ベースラインに対して遜色ない性能を示し、さらに共同訓練が言語モデルの既存能力に望ましくない「ドリフト」（劣化）をもたらすのに対し、プロジェクタのみの訓練は定義上そもそもそれを回避できることが分かった。

加えて、プロジェクタのみの訓練は共同訓練に比べて約2倍の訓練サンプルスループットを持つという効率面での優位性も示された。この結果は、3D分類・キャプション生成のベンチマークに加え、言語・視覚・空間推論能力を評価する標準ベンチマークでも、異なる言語モデルバックボーンにわたって一貫して確認されている。マルチモーダル対応のために毎回バックボーン全体を再訓練する必要はなく、プロジェクタだけの軽量な適応で既存能力を保ったまま新しいモダリティを獲得できるという、コスト面でも実務面でも扱いやすい設計指針を提示した点に意義がある。

出典: Projector Is All You Train. arXiv:2608.19726 (2026).

論文10: 「検証器のレベル」という言葉の混乱を1本の軸で整理するGrading the Graders

大規模言語モデルの誤りを検出すると謳う検証器（ステップチェッカー、自己一貫性フィルタ、ツールベースの事実確認器、形式的証明支援系）をめぐって、「レベル」という言葉が検証の粒度・概念の抽象度・リスク階層・システムスタック層・根拠の認識論的出所という少なくとも5つの異なる意味で使われ続けてきた混乱を、17本の既存サーベイ論文を横断してひとつの軸に整理し直した点が、分野で確立された地位を持つ検証研究群への貢献として大きいため取り上げる。研究チームはVerification Autonomy Levels（VAL）と呼ぶメタ標準を提案し、検証の仕様がどこから来て、その判定が何を保証するのかという単一の軸に沿って、L0（大規模言語モデル自身の自己申告で決定論的な支えを持たない）からL2（客観的な正解が存在し正しさのみを保証）、L3・L4（単一性質またはドメイン単位で完全性を持つ決定可能系）、そして無制約な一般ケースでは不可能なL5までを分類した。

VALの中心にあるのは「完全性の盲点」という考え方で、代入や標本抽出に基づく検証器は、提示された候補が条件を満たすことは確認できても、見落とした候補がないことは証明できない。研究チームはさらに、完全性は形式的に仕様化できる性質でしか到達できず、事実確認や診断のような経験的な開放世界の検証はL2の「係留された正しさ」で頭打ちになるという、文献がこれまで明示していなかった二分法を指摘した。この差を、記号数学・行動監視・医療診断・コード生成（証拠提示前に予測を確定させる逆向き検証）という4領域と、調査対象で最も強力な形式検証ベースラインにわたって実証的に文書化しており、著者自身がステップごとの正しさに焦点を当てていると述べている点も含め、粒度・概念階層・リスク・システムスタックという4つの軸がVALとは直交することを示し、検証をめぐる用語の体系的な混同を解消した結果である。

出典: Grading the Graders: Verification Autonomy Levels (L0-L5) for LLM Reasoning. arXiv:2608.19009 (2026).

参考ソース

• 論文1: EchoCoT: Extracting Hidden Chain-of-Thought from Large Reasoning Models. arXiv:2608.20055
• 論文2: Inadvertent Context Leakage in Language Models. arXiv:2608.19857
• 論文3: Manifold Drift in Flow Preference Optimization: A Root Cause of Reward Hacking. arXiv:2608.20011
• 論文4: The Asymmetric Harms of LLM Compression. arXiv:2608.19670
• 論文5: Beyond Teacher Likelihood: Group-Calibrated On-Policy Distillation for Long-Context Reasoning. arXiv:2608.19181
• 論文6: Test-Time Scaling in the Wild: Why Exploitation, Not Exploration, Is the Bottleneck. arXiv:2608.18931
• 論文7: Which Eviction Policy Should an LLM Cache Use? A Systematic Study Across Workloads, Capacities, and Encoders. arXiv:2608.20280
• 論文8: Metrics That Write Themselves: Evolving an Evaluator from Its Own Blind Spots. arXiv:2608.18744
• 論文9: Projector Is All You Train. arXiv:2608.19726
• 論文10: Grading the Graders: Verification Autonomy Levels (L0-L5) for LLM Reasoning. arXiv:2608.19009