私たちは、OpenClawのような自律型AIエージェントの根本的な変化を目の当たりにしています。これは全く新しいものです。質問に答えるだけのチャットボットではなく、私たちに代わって行動し、ウェブを閲覧し、コードを実行し、かつてない自律性で私たちのデジタルライフを管理する代理人です。
しかし、問題があります。AIエージェントを非常に強力にしている機能、つまり永続メモリーこそが、最大の脆弱性でもあるのです。メモリーが管理されていないローカルファイルに残っていると、側面に魅力的な標的が描かれたブラックボックスができあがってしまうのです。ウイルスの進化とエンタープライズグレードの安全性とのギャップを埋めるには、AIエージェントのメモリーの取り扱い方を根本的に見直し、AIエージェントに「Cognitive Vault（知識の保管庫）」、つまりAIエージェントの脳を実際に保護するセキュアで管理されたレイヤーを用意する必要があります。
「セキュリティの悪夢」の解剖
リスクを理解するには、オープンソースエージェントが実際にどのように「記憶」しているのかを確認する必要があります。OpenClawなどの自律型フレームワークのほとんどは、洗練されているものの本質的に安全ではないアプローチを採用しています。長期メモリーをMEMORY.mdやSOUL.mdといった人間が読めるMarkdownファイルとしてローカルシステムに直接保存しているのです。このシンプルさは透明性という点では優れていますが、同時に、保護されていない広大な攻撃対象領域を生み出してしまいます。
サイバーセキュリティの研究者は、すでに「メモリポイズニング」攻撃を特定しています。悪意のある「スキル」（基本的にはサードパーティ製のプラグイン）がMarkdownファイルに指示を直接挿入するというものです。その結果、 AIエージェントは洗脳され、データを盗み出したり、安全プロトコルを完全に回避したりできるようになります。AIエージェントの脳が保護されていないテキストファイルである場合、侵害は避けられません。
もっと良い方法があります。Boxにエージェントメモリーを保存することで、脆弱なテキストファイルを管理、統制された資産へと変換できます。これは単にデータをA地点からB地点へ移動するだけでなく、AIエージェントのパフォーマンスを犠牲にすることなく企業に不可欠なセキュリティを実現するアーキテクチャの変革です。
仕組みは、次の通りです。
アイデンティティ中心の分離: AIエージェントを適切な場所に留める
オープンソースエージェントのセキュリティ問題の多くは、権限昇格に起因します。AIエージェントが広範なローカルアクセスを利用して、本来アクセスすべきでない機密領域に侵入してしまうのです。Boxにメモリーを保存することで、デフォルトで名前空間の分離が実現します。きめ細かな権限設定とスコープを限定したトークンを使用することで、IT管理者はAIエージェントが指定されたメモリーフォルダのみにアクセスするように制御できます。そうすることで、たとえAIエージェントのロジックが侵害されても、Boxのフォルダ構造によって物理的なアクセス範囲は厳密に制限されます。AIエージェントをどんなに巧妙な操作をしても、AIエージェントは1つのドアしか開けられない鍵しか持っていないということです。
フォレンジックの追跡性: ブラックボックスの解明
AIエージェントが自律的な意思決定を行う際は、その瞬間にAIエージェントがまさに何を「考えていた」のかを正確に把握する必要があります。Boxとのやり取りはすべてログに記録されるため、変更不可能な監査証跡が得られます。AIを不可解なブラックボックスから、透明性と監査性を備えた業務プロセスへと変貌させます。もはや、MEMORY.mdファイルを単に保存するだけではありません。検査、分析、そして信頼できる、機械推論に関するフォレンジック台帳を作成できるのです。
知識のレジリエンス: AIエージェントの脳を「元に戻す」ボタン
AIエージェントは「メモリポイズニング」の影響を受けやすく、ハルシネーションや悪意のあるインプットによって将来の行動が予測不能な形で歪められます。Boxファイルの自動バージョン管理機能は、AIエージェントの脳に「元に戻す」ボタンを提供し、この脆弱性に対処できます。AIエージェントがバイアスを示したり、不安定な判断をしたり、不審な行動を取ったりした場合は、メモリーを正常な状態にロールバックできます。このような知識のレジリエンスは、管理されていないローカルファイルでは実現が困難です。
現実世界のストレスを解決
AIエージェントのメモリーをクラウドに移行すると、2つの懸念事項が直ちに浮上しますが、どちらにも優れた解決策があります。
-
レイテンシー: AIエージェントが「考える」たびにクラウドAPIを呼び出すと、許容できない遅延が発生します。高性能なアプローチは、 ローカルの揮発性キャッシュを維持しながら、Boxを信頼できる情報源として扱うことです。AIエージェントはセッション開始時にBoxからメモリーを取得し、ローカルで高速に動作させ、定期的またはタスク完了時に更新情報をCognitive Vault（知識の保管庫）にフラッシュバックします。ユーザーが期待する高速なパフォーマンスを犠牲にすることなく、ガバナンスの効いたデータを利用できます。
-
並行処理: マルチエージェント環境では、2つのインスタンスが同時にUSER_PREFERENCES.mdを更新しようとすることがあり、「脳腐敗」を引き起こす可能性があります。Boxのファイルロック機能は、更新中に一時的なロックをかけることで同時更新を防ぎ、複数のAIエージェントが並行して実行されている場合でも、AIエージェントの学習が線形かつ一貫性を保つようにします。
ストレージに対する考え方の根本的な転換
代理人として機能するAIエージェントへ移行する際は、コンテンツとの関係を根本的に見直す必要があります。AIエージェントのメモリーは、もはや使い捨てのテキストファイルのように扱うことはできません。
Boxのようなガバナンスの利いた環境に永続的なメモリーを保存することで、ファイルだけでなく、AIエージェント自体の整合性も保護できます。強力なAIだけでなく、説明責任、監査、そしてレジリエンスを備えた未来を築きましょう。
このブログは、Box, Inc.公式ブログ（https://blog.box.com/）2026年2月23日付投稿の翻訳です。
著者: Rutuja Rajwade, Senior Product Marketing Manager, Platform & AI at Box
原文: https://blog.box.com/why-persistent-agentic-memory-requires-cognitive-vault
関連コンテンツ
- トピックス：
- Box製品情報
