8月18日、The Decoderが「AI systems quietly drop user instructions when they compress context」と題した記事を公開した。AIエージェントがコンテキスト圧縮を行う際、ユーザーが明示的に設定した制約の平均83%が無断で削除されるという研究結果を紹介している。「メールを私の承認なく送るな」と指示したはずの制約が、圧縮後には存在しなかったことになる——この問題は単なる使い勝手の劣化ではなく、エージェントのセキュリティ設計の根幹に関わる。

AIエージェントが長いタスクを実行する際、コンテキストウィンドウの上限に達するとコンテキスト圧縮（compaction）が行われる。それまでの会話履歴や指示を要約・圧縮して続きを処理する仕組みだ。ペンシルベニア州立大学の研究者たちは、この圧縮が「ユーザーの指示にとって何を失うか」を体系的に調査した論文をarXivで公開した（Wang et al., 2026,「Compaction Integrity: Preserving User Constraints Through Context Compression in LLM Agents」）。

ユーザー制約の83%が消える

研究の核心は「セッション制約（session constraints）」の消失だ。セッション制約とは、「変更を加える前に必ず確認を取ること」「私の名前を応答に使わないこと」のような、そのセッション限りでAIの挙動を縛るユーザー定義のルールを指す。システムプロンプトのような恒久的な設定ではなく、ユーザーが会話中に付け加える側条件だ。

圧縮システムはタスクの継続性を優先するよう設計されている。ゴール、現在の状態、次のステップは保持される。しかしユーザーが付け加えた側条件は捨てられる。

研究チームが開発した評価スイートCOMPINT（GitHubで公開中）による計測では、**セッション制約の平均生存率はわずか17%**。つまり、8割以上の指示が圧縮後に消える。

影響は単なる「使い勝手の問題」にとどまらない。研究者らはこれをセキュリティ問題として位置づけている。制約が消えたエージェントは、ユーザーが明示的に禁止した操作（未承認のツール呼び出し、情報開示、確認ステップのスキップ等）を平然と実行してしまう。

「メールを私の承認なく送るな」と指示したのに、圧縮後はその制約がなかったことになる、というのが典型的なシナリオだ。

数字で見る「崩壊の深さ」

非圧縮状態でユーザー制約が保持されているとき、ルール遵守率は**59〜71%**と測定されている。この数値が100%に達していない背景には、そもそもLLMが長い会話の中で全指示に完全に従うことが難しいという根本的な性質がある——つまり、圧縮以前にモデル自体が指示を見落とす場合がある。圧縮後はその遵守率がさらに落ち込み、「制約を一切与えなかった場合」とほぼ同水準に近づく。

圧縮プロンプトをユーザー制約の保持に特化させるチューニングを施しても、保持率は40%未満にとどまることが確認されている。テストした大半の圧縮器は、圧縮なしで動かした場合より成績が悪い。なお、GPT-4.1-miniは一部シナリオで圧縮なしのベースラインを上回った。

小型モデルのアドオンが解決策になる

研究チームが提案する対策は、圧縮システム本体に手を加えず、小型モデルをアドオンとして並走させるアーキテクチャだ。

使用するのは**Qwen3-9B**だ。90億パラメータの比較的コンパクトなオープンソースモデルであり、推論コストを抑えながらメインエージェントと並走させやすいサイズ感がこの用途に適している。このモジュールはすべてのユーザー入力を読み込み、セッション制約を検出して別リストに収集する。コンテキスト圧縮が発生するタイミングで、そのリストを要約に付加することでユーザーの制約を保持する仕組みだ。

結果は以下の通りだ：

全シナリオで90%超の保持率を達成しており、追加学習不要・圧縮システムへの変更不要で動作する。

エンジニアへの含意

Claude、ChatGPT、Geminiなど現行の主要エージェント基盤は、長時間タスクで何らかの形のコンテキスト圧縮を利用している。ユーザーが「承認なしに操作するな」と明示的に指定しても、その制約が静かに消える可能性があるという事実は、エージェントの信頼性設計において見過ごせない問題だ。

実務的な「次のアクション」としては、以下が考えられる：

• COMPINTで自前のシステムを評価する：GitHubに公開されている評価スイートを使い、自分たちのエージェント環境でセッション制約の生存率を実測する。まず現状を把握することが出発点だ
• Qwen3-9Bアドオンを組み込む：同リポジトリに実装も公開されている。圧縮システム本体を改変せずに並走させられるため、既存のエージェント基盤への導入障壁は低い
• 制約の種類ごとにリスクを分類する：すべての制約が等しく消えるわけではない。セキュリティや承認フローに関わる制約は特に脆弱であるため、優先的に保護対象として扱う設計が求められる

詳細はAI systems quietly drop user instructions when they compress contextを参照していただきたい。