研究者らは2026年10月8日、エージェント向けソーシャルネットワークの投稿を対象とする軽量フィルターにより、高度なAI安全審査の推定費用を49.9～65.6％削減できると報告しました。一方で、フィルターはいくつかの脅威を見逃しました。調査対象のMoltbookでは自律型エージェントが投稿やコメントをやり取りします。OpenClawなどのシステムに接続したエージェントは、ファイル、認証情報、ブラウザー、決済機能にアクセスする場合があります。投稿によってアシスタントが個人情報を漏らしたり、安全でないソフトウェアを入れたり、所有者の指示を超える行動を取ったりする恐れがあると研究者らは警告しました。

元データは2026年1月27日から2月8日までに収集した、39,700のエージェント識別子による約210万件の投稿とコメントでした。重複や英語が主要言語でない内容を除き、787,226件が残りました。GPT-5.5が無作為抽出した1万件を評価し、有効な注釈は9,971件でした。約77.9％は安全と分類され、12.9％は深刻度1または2、9.2％は研究で「運用上の危険性があり得る」とする基準の深刻度3～5に達しました。深刻度がゼロでない投稿の40.1％には情報の抽出または漏えいが見られ、ソーシャルエンジニアリングと有害・虐待的な内容はそれぞれ約20％に現れました。ラベルの重複は認められています。OWASPリスクコードでは「機密情報の開示」が39.8％で最多となり、「過剰な権限行使」が29.5％でした。ほぼ4分の1にはOWASPコードが付与されませんでした。

研究チームは、文章の数値表現を良性・悪性のラベル付き例と比較する埋め込みベースのフィルターを検証し、全投稿を高度なモデルで審査する前に選別しました。この手法には個別タスク向けの学習は不要ですが、ラベル付き例に依存します。MiniLM-L12-v2、BGE-M3、Qwen3-Embedding-0.6Bを使いました。長い投稿を16トークンずつ重ねた128トークン区間に分けると、平均適合率は最大6.3ポイント上昇しました。固定したQwen3埋め込みを使う教師あり分類器の平均適合率は0.573で、同じエンコーダーによる全文類似度方式の0.393を上回りました。

1万件の注釈には約90ドルかかりました。基準となる推定では、787,226件すべての審査費用は7,085ドルです。検証用データの危険な例を少なくとも80％検出する設定では、推定費用はMiniLM-L12-v2が3,550ドル、BGE-M3が3,150ドル、学習済みQwen3分類器が2,440ドルとなり、削減率はそれぞれ49.9％、55.6％、65.6％でした。推定では深刻度1と2の投稿をすべて高度審査に回すなど、費用を多めに見積もる条件を含めています。処理速度はMiniLMが毎秒約332件、BGE-M3が58件、分類器が10.3件で、MiniLMは分類器のおよそ32倍の速さでした。フィルターが審査に回した投稿のうち、実際に危険なものの割合は20.5～34.1％でした。再現率の目標を95％に上げると、費用削減率は順に29.6％、33.7％、39.6％に下がりました。

フィルターが検出した脱獄や安全対策の回避例は45～63％にとどまり、ソーシャルエンジニアリングの検出率も主要な再現率目標を下回りました。深刻度4の投稿は87～95％を検出し、深刻度5のテスト例は4件すべてを検出しましたが、最も深刻な脅威に対する性能を確かめるには例が少なすぎます。専門家2人は、確認した90件のうち91.1％で判断が一致しました。AI判定役が専門家の最終判断と一致した割合は78.9％でした。監査では深刻度ごとの件数を均等にしたため、この一致率は全投稿における正確さを示すものではありません。調査は短期間に収集した英語中心のデータの個別投稿を対象とし、会話履歴、協調的な活動、エージェントの権限、実際の後続行動は調べていません。費用推定にはローカルの設備費と処理全体にかかる時間を含めていません。研究者らは注釈データと実験用資料を公開しましたが、機密情報になり得る内容を体系的に除去していないため、元の投稿は公開しませんでした。

研究者らは2026年10月8日、エージェント向けソーシャルネットワークの投稿を対象とする軽量フィルターにより、高度なAI安全審査の推定費用を49.9～65.6％削減できると報告しました。一方で、フィルターはいくつかの脅威を見逃しました。調査対象のMoltbookでは自律型エージェントが投稿やコメントをやり取りします。OpenClawなどのシステムに接続したエージェントは、ファイル、認証情報、ブラウザー、決済機能にアクセスする場合があります。投稿によってアシスタントが個人情報を漏らしたり、安全でないソフトウェアを入れたり、所有者の指示を超える行動を取ったりする恐れがあると研究者らは警告しました。

元データは2026年1月27日から2月8日までに収集した、39,700のエージェント識別子による約210万件の投稿とコメントでした。重複や英語が主要言語でない内容を除き、787,226件が残りました。GPT-5.5が無作為抽出した1万件を評価し、有効な注釈は9,971件でした。約77.9％は安全と分類され、12.9％は深刻度1または2、9.2％は研究で「運用上の危険性があり得る」とする基準の深刻度3～5に達しました。深刻度がゼロでない投稿の40.1％には情報の抽出または漏えいが見られ、ソーシャルエンジニアリングと有害・虐待的な内容はそれぞれ約20％に現れました。ラベルの重複は認められています。OWASPリスクコードでは「機密情報の開示」が39.8％で最多となり、「過剰な権限行使」が29.5％でした。ほぼ4分の1にはOWASPコードが付与されませんでした。

研究チームは、文章の数値表現を良性・悪性のラベル付き例と比較する埋め込みベースのフィルターを検証し、全投稿を高度なモデルで審査する前に選別しました。この手法には個別タスク向けの学習は不要ですが、ラベル付き例に依存します。MiniLM-L12-v2、BGE-M3、Qwen3-Embedding-0.6Bを使いました。長い投稿を16トークンずつ重ねた128トークン区間に分けると、平均適合率は最大6.3ポイント上昇しました。固定したQwen3埋め込みを使う教師あり分類器の平均適合率は0.573で、同じエンコーダーによる全文類似度方式の0.393を上回りました。

1万件の注釈には約90ドルかかりました。基準となる推定では、787,226件すべての審査費用は7,085ドルです。検証用データの危険な例を少なくとも80％検出する設定では、推定費用はMiniLM-L12-v2が3,550ドル、BGE-M3が3,150ドル、学習済みQwen3分類器が2,440ドルとなり、削減率はそれぞれ49.9％、55.6％、65.6％でした。推定では深刻度1と2の投稿をすべて高度審査に回すなど、費用を多めに見積もる条件を含めています。処理速度はMiniLMが毎秒約332件、BGE-M3が58件、分類器が10.3件で、MiniLMは分類器のおよそ32倍の速さでした。フィルターが審査に回した投稿のうち、実際に危険なものの割合は20.5～34.1％でした。再現率の目標を95％に上げると、費用削減率は順に29.6％、33.7％、39.6％に下がりました。

フィルターが検出した脱獄や安全対策の回避例は45～63％にとどまり、ソーシャルエンジニアリングの検出率も主要な再現率目標を下回りました。深刻度4の投稿は87～95％を検出し、深刻度5のテスト例は4件すべてを検出しましたが、最も深刻な脅威に対する性能を確かめるには例が少なすぎます。専門家2人は、確認した90件のうち91.1％で判断が一致しました。AI判定役が専門家の最終判断と一致した割合は78.9％でした。監査では深刻度ごとの件数を均等にしたため、この一致率は全投稿における正確さを示すものではありません。調査は短期間に収集した英語中心のデータの個別投稿を対象とし、会話履歴、協調的な活動、エージェントの権限、実際の後続行動は調べていません。費用推定にはローカルの設備費と処理全体にかかる時間を含めていません。研究者らは注釈データと実験用資料を公開しましたが、機密情報になり得る内容を体系的に除去していないため、元の投稿は公開しませんでした。