AIエージェントの記憶（メモリ）設計──何を覚えさせ、何を覚えさせないか

「前回の件ですが」と言わなくて済むAIは、何を覚えているのか

AIが過去のやり取りを覚えていれば、相手は同じ説明を繰り返さずに済みますが、覚えさせ方を誤ると古い情報や偽の指示まで残ります。

問い合わせ対応のAIエージェントで考えます。先週、A社の担当者から配送遅延の問い合わせがあり、そのとき「今後はメールで連絡してほしい」と言われました。AIがこれを覚えていれば、次の連絡はメールで始められます。主要なAI製品が「記憶（メモリ）」の機能を出しているのは、このためです。一方で、覚えさせ方を誤ると次のようなことが起きます。

• 古い情報のまま答える
• 別の取引先の情報が混ざる
• 悪意あるメールに書かれた偽の指示を覚える
• 消してほしいと言われた個人情報が残り続ける

この記事では、記憶の仕組みと各社の実装、研究で分かったことを整理したうえで、何を覚えさせ、誰が書き、誰が消すかの決め方をまとめます。

AIのモデル自体は、何も覚えていない

AIのモデル（大規模言語モデル）は会話が終わると何も覚えておらず、毎回、渡された情報（コンテキスト）だけを読んで答えます。覚えているように見えるのは、モデルの外の仕組みが過去の情報を保存し、次の会話のコンテキストに差し込んでいるからで、この仕組みを記憶と呼びます。

AWSとMicrosoftは公式文書で、記憶を1つの会話の中のやり取りである短期記憶と、会話をまたいで残す長期記憶に分けています。この記事で主に扱うのは、後者の長期記憶のほうです。

長期記憶は「事実」「出来事」「手順」に分けて考える

長期記憶は、2023年の研究が示したように、事実・出来事・手順の3種類に分けると整理できます。

• 事実の記憶：A社の担当者は、メールでの連絡を希望している
• 出来事の記憶：先週、A社から配送遅延の問い合わせがあった
• 手順の記憶：予定日を3日過ぎたら、配送会社に確認する

この研究は、手順の記憶をAIに書き込ませるのは、不具合が入りやすく設計者の意図をくつがえしうるため、事実や出来事より「大幅に危険」だとしています。つまり、AIに覚えさせてよいのは主に事実と出来事で、仕事のルールは人が書いて管理します。

主要な製品の記憶は、同じ3段階で動いている

2026年11月時点で、主要な製品の記憶はほぼ同じ3段階で動いています。

1. 抜き出す：会話から、残すべき情報をモデルが抜き出す
2. まとめる：すでにある記憶と照らし、重複や食い違いを直す
3. 差し込む：次の会話で関係する記憶を探し、コンテキストに入れる

抜き出しとまとめはモデルが担うため、ここに誤りや悪意ある指示が入りえます。各社の企業向けの主な実装は、次のとおりです。

各社の文書には共通する注意があり、OpenAIは、チームで必ず守る決まりを記憶ではなく人が管理する文書に置き、秘密情報も記憶に入れないよう求めています。Anthropicの開発支援のAIの文書も同じ立場です。記憶はコンテキストとして読まれるだけで、AIを必ず従わせる設定ではないため、必ず止めたい操作は、操作を止める仕組みで止めるよう求めています。

記憶の仕組みは「全部渡す」より正確とは限らない

記憶の仕組みを使っても、答えが正確になるとは限りません。2025年に、記憶の仕組みを提供するMem0が公表した論文では、長い会話の記憶を試す評価で最も正答率が高かったのは、過去の会話を全部渡す方法でした。全部渡す方法は72.90%、Mem0は66.88%です。

この論文で記憶の仕組みが勝ったのは、速さと費用です。全部渡す方法に比べ、回答の95%が返るまでの時間は91%短くなり、使うトークン（AIが文字列を区切って数える単位で、費用の基準）も90%以上減りました。

同じ評価でも、数字は報告する開発元によって変わり、図の下の枠のとおり、ZepとLettaは自社の方法で全部渡す方法を上回る値を報告しています。そのため製品を選ぶときは、提供元の数字を並べて比べず、自社の業務の例で試します。

AIに記憶を整理させ続けると、記憶は劣化しうる

AIに記憶のまとめ直しを繰り返させると、記憶はかえって役に立たなくなることがあります。2026年5月の研究では、記憶の役立つ度合いはいったん上がった後に下がり、記憶がない状態より悪くなることもありました。

パズル問題の実験では、正しい解き方から作った記憶でもまとめ直しで劣化し、あるモデルは、記憶なしなら解けた問題の54%を解けなくなりました。論文は、原因は元の経験ではなくまとめ直しの段階にあると分析しており、元の記録をそのまま残すAIは、まとめ直しを強いたAIより2倍正確でした。そのうえで、元の記録を証拠として残し、まとめ直しは決めたときだけ行うよう提言しています。

まとめ直しに注意した作りの製品もあります。Anthropicの整理の機能は、元の記憶を書き換えずに結果を別の保存先に出すので、人が確かめてから使うか捨てるかを決められます。

最大のリスクは、記憶の汚染

記憶に特有の最大のリスクは、偽の情報や悪意ある指示を書き込ませる攻撃で、これを記憶の汚染と呼びます。AIが読む文章に指示を紛れ込ませる攻撃（プロンプトインジェクション）は、ふつう影響がその会話の中で終わります。一方、記憶に書かれた偽の情報は会話が終わっても残り、後の仕事で正しい情報として使われるうえ、仕込みから被害まで時間が空くので原因も追いにくくなります。

たとえば、取引先を装ったメールに「担当者は振込先の変更を承認済み」と書かれていたとします。AIがこれを記憶すると、数日後の別の会話で正しい情報として使ってしまいます。

研究では、この攻撃の高い成功率が報告されています。

• 2024年：保存先の0.1%未満に偽の記録を混ぜ、平均80%超で攻撃が成功
• 2025年：ふつうの問い合わせだけで、98.2%の割合で悪意ある記録を入れられた
• 2026年7月：メール1通で、記憶に偽の事実を気付かれずに書かせられた

製品でも起きており、2024年9月には、ある研究者がChatGPTの記憶に指示を保存させる手口を公表しました。Webページを読ませるだけで、以後の会話を外部に送らせるものです。送信の経路は修正されましたが、信頼できない文書が任意の記憶を保存できる状態は残っている、と本人は書いています。

AWSやAnthropicなど主要な4社は、この攻撃への備えの一部を利用者の責任としています。AWSの文書では、記憶を抜き出す処理に不正な指示が紛れ込むのを防ぐのは利用者の役割です。Anthropicは、記憶の保存先が既定で書き込める状態でつながると注意し、参照用の資料は読み取り専用でつなぐよう勧めています。

会話を消しても、記憶は消えない

会話を消しても、そこから作られた記憶が消えるとは限りません。たとえばAnthropicのAIと対話するアプリでは、会話を削除しても記憶は消えないと公式文書にあります。

会社の管理の仕組みが記憶に効かない製品もあり、Microsoftの業務アプリに組み込まれたAI「Microsoft 365 Copilot」がその例です。公式文書によると、その記憶には管理者が決めたデータの保存と削除の規則が適用されず、記憶の操作は監査の記録にも残りません。管理者が、記憶する情報の種類を絞ることもできません。

記憶は個人情報の扱いにも関わり、個人情報保護委員会は2023年6月、生成AIに個人情報を入れるときは利用目的の範囲内かを確かめるよう呼びかけました。記憶として残すことが利用目的に入るかは、個別の判断になります。あわせて、消去を求められたときに記憶と変更の履歴まで消せるかも確かめておきます。Anthropicの開発者向けの記憶には、操作の記録を残したまま中身だけを消す機能があり、消去の請求に使えると説明されています。

何を覚えさせ、何を覚えさせないか

ここまでの一次資料を踏まえた提案は、記憶に入れるのを好みと期限付きの経緯にとどめ、ほかの情報はそれぞれ別の場所に置くことです。

あわせて、記憶の種類ごとに誰が書き、誰が消すかも決めておきます。

通し例では、「A社の担当者はメールでの連絡を希望」はAIが書いてよい記憶です。一方、「A社の振込先が変わった」はメールに書いてあっても記憶に入れず、取引先の台帳という業務システムで、決められた承認を通して変えます。

提供元に確かめること

記憶の機能を持つ製品を選ぶときは、次のことを確かめます。

• 記憶の一覧を、利用者と管理者が見て、直して、消せるか
• 会話の削除や消去の求めに、記憶と履歴まで消せるか
• 記憶に期限を付けられるか
• 利用者や取引先の間で、記憶が混ざらないよう分けられるか
• AIの書き込みやまとめ直しを、人が確かめてから反映できるか
• 外から読んだ内容が、記憶に書き込まれないようにできるか
• 記憶の変更を監査でき、会社の保存と削除の規則が効くか

推進担当が押さえる要点

• 記憶はモデルの外に保存して差し込む仕組み。抜き出しとまとめで誤りが入りうる
• ルールと手順は人が書く文書に、承認の状態は業務システムに置く
• 評価の数字は自社の例で試す。まとめ直しは元の記録を残して行う
• 最大のリスクは記憶の汚染。外から読んだ内容を記憶に直接書かせない
• 会話を消しても記憶は残りうる。削除・期限・監査が効くかを確かめる

まとめ

AIエージェントの記憶は、モデルの外に情報を保存し、次の会話に差し込む仕組みです。抜き出しとまとめはモデルが担うため、誤りや偽の情報が入りえます。

研究では、記憶は全部渡すより正確とは限らず、まとめ直しで劣化しうると分かっています。汚染されれば、偽の情報が後の仕事に持ち越されます。

記憶に入れるのは、好みと期限付きの経緯にとどめます。ルールや承認の状態は別の場所に置き、書き込みと削除を人が管理できるようにします。

関連記事

• AIエージェントは「ツールを呼ぶループ」でできている 〜AIハーネス入門 第1回〜：記憶を含め、AIエージェントを動かす仕組みの全体像
• プロンプトインジェクションとは？防げない前提の対策と確認8項目：記憶の汚染の入り口になる攻撃の仕組みと対策
• AIエージェントの承認はどの粒度で？承認疲れと自動承認ルール：記憶への書き込みや重要な変更に、人の確認をどう挟むか
• 生成AIに渡すデータはどこの国へ？保存先の確かめ方と個人情報保護法28条：記憶として残るデータの保存先と、個人情報保護法の考え方

参考資料

• Sumers et al.「Cognitive Architectures for Language Agents（CoALA）」（arXiv:2309.02427、2023年9月、https://arxiv.org/abs/2309.02427 （2026年11月4日確認））
• Chhikara et al.「Mem0: Building Production-Ready AI Agents with Scalable Long-Term Memory」（arXiv:2504.19413、2025年4月、https://arxiv.org/abs/2504.19413 （2026年11月4日確認））
• Zep「Lies, Damn Lies, & Statistics: Is Mem0 Really SOTA in Agent Memory?」（2025年5月6日、https://www.getzep.com/blog/lies-damn-lies-statistics-is-mem0-really-sota-in-agent-memory/ （2026年11月4日確認））
• Letta「Benchmarking AI Agent Memory」（2025年8月12日、https://www.letta.com/blog/benchmarking-ai-agent-memory/ （2026年11月4日確認））
• Zhang et al.「Useful Memories Become Faulty When Continuously Updated by LLMs」（arXiv:2605.12978、2026年5月、https://arxiv.org/abs/2605.12978 （2026年11月4日確認））
• Chen et al.「AgentPoison」（arXiv:2407.12784、2024年7月、https://arxiv.org/abs/2407.12784 （2026年11月4日確認））
• Dong et al.「A Practical Memory Injection Attack against LLM Agents（MINJA）」（arXiv:2503.03704、2025年3月、https://arxiv.org/abs/2503.03704 （2026年11月4日確認））
• Zhang et al.「When Claws Remember but Do Not Tell」（arXiv:2607.05189、2026年7月、https://arxiv.org/abs/2607.05189 （2026年11月4日確認））
• Johann Rehberger「Spyware Injection Into Your ChatGPT's Long-Term Memory (SpAIware)」（2024年9月20日、https://embracethered.com/blog/posts/2024/chatgpt-macos-app-persistent-data-exfiltration/ （2026年11月4日確認））
• AWS「Amazon Bedrock AgentCore Memory」（https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/memory.html （2026年11月4日確認））
• AWS「AgentCore Memory best practices」（https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/best-practices.html （2026年11月4日確認））
• Google Cloud「Memory Bank」（https://docs.cloud.google.com/gemini-enterprise-agent-platform/scale/memory-bank （2026年11月4日確認））
• Microsoft Learn「What is memory?（Microsoft Foundry Agent Service）」（2026年6月2日、https://learn.microsoft.com/en-us/azure/foundry/agents/concepts/what-is-memory （2026年11月4日確認））
• Microsoft「Microsoft 365 Copilot personalization and memory」（https://github.com/MicrosoftDocs/microsoft-365-docs/blob/public/copilot/copilot-personalization-memory.md （2026年11月4日確認））
• Anthropic「Memory stores（Claude Managed Agents）」（https://platform.claude.com/docs/en/managed-agents/memory （2026年11月4日確認））
• Anthropic「Dreams（Claude Managed Agents）」（https://platform.claude.com/docs/en/managed-agents/dreams （2026年11月4日確認））
• Anthropic「How Claude remembers your project」（Claude Code、https://code.claude.com/docs/en/memory （2026年11月4日確認））
• Anthropic「Use Claude's chat search and memory」（https://support.claude.com/en/articles/11817273-use-claude-s-chat-search-and-memory-to-build-on-previous-context （2026年11月4日確認））
• OpenAI「Codex changelog」（0.165.0、2026年10月27日、https://learn.chatgpt.com/docs/changelog （2026年11月4日確認））
• OpenAI「Memories（Codex）」（https://learn.chatgpt.com/docs/customization/memories （2026年11月4日確認））
• 個人情報保護委員会「生成AIサービスの利用に関する注意喚起等」（2023年6月2日、https://www.ppc.go.jp/files/pdf/230602_alert_generative_AI_service.pdf （2026年11月4日確認））

Askhubについて

Askhubは、日本の中堅・大企業がAIに業務を任せるための基盤です。業務の型（オントロジー）でAIに許す操作を定め、承認と判断ログで任せる範囲を広げながら、国産の基幹システムまで書き込めるようにします。導入はコンサルタントが伴走します。

この記事の言葉で言えば、Askhubは、承認の状態や取引先の情報のように記憶に入れないものを業務システムの側に置き、AIがそれを書き換えるときに定めた操作と承認を通す基盤にあたります。

※Askhubのサービスに関する記載は、2026年11月時点の情報です。

関連するページ：製品の全体像、承認

自社の業務にAIエージェントをどう導入するか相談したい方は、お問い合わせからご連絡ください。