🤖 AI

Epistemic Bias Injection: Biasing LLMs via Selective Context Retrieval

この論文は、事実として正しいが特定の視点に偏った情報を意図的に注入して大規模言語モデルの回答を誘導する「認識バイアス注入（EBI）」という新たな脅威を明らかにし、その定量化手法と防御策「BiasDef」を提案しています。

原著者： Hao Wu, Prateek Saxena

公開日 2026-03-27

📖 1 分で読めます☕ さくっと読める

原著者： Hao Wu, Prateek Saxena

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

この論文は、最新の AI（大規模言語モデル）が「嘘をつかずに、でも偏った答え」を返してしまうという、非常に巧妙な新しい攻撃方法と、それに対する防御策について書かれています。

専門用語を使わず、日常の例え話を使って解説します。

🏪 1. 舞台設定：AI と「図書館」の関係

まず、現代の AI（チャットボットなど）がどうやって答えるか想像してみてください。
AI は「図書館（データベース）」から必要な本（情報）を借りてきて、それを読んで回答を作ります。これを**RAG（検索拡張生成）**と呼びます。

通常の流れ: ユーザーが質問する → AI が図書館から「関連する本」を 5 冊選び出す → その本の内容を読んで回答を作成。

⚠️ 2. 問題：「嘘」ではなく「偏り」の罠

これまでの攻撃は、図書館に**「嘘の本」や「暴力的な本」**を忍ばせて、AI を混乱させるものでした。これは「嘘つき」としてバレやすいので、防衛策（ファクトチェックなど）で簡単に見破られました。

しかし、この論文が指摘する新しい攻撃**「認識バイアス注入（EBI）」**は、もっと巧妙です。

🎭 例え話：「偏ったガイド」

図書館に、**「全ての内容が事実で、文法も完璧」なのに、「ある特定の視点だけを強調するガイド」**が大量に混入したと想像してください。

攻撃者の手口:
- 例えば「ある政策は良いか？」という質問があったとします。
- 攻撃者は、**「事実」**だけを並べた本を 10 冊作ります。
- しかし、その 10 冊すべてが**「この政策は素晴らしい！」**という視点で書かれています。
- 反対意見（「この政策は危険だ」という本）は、図書館には存在するけれど、AI が選ぶ「トップ 5」には入ってきません。
結果:
- AI は「嘘」を見ていないので、ファクトチェックには引っかかりません。
- しかし、AI が読む本がすべて「賛成派」ばかりなので、AI は**「この政策は素晴らしいに決まっている！」**と、偏った結論を導き出してしまいます。
- 攻撃者は「嘘」をついていないので、AI の回答は「一見正しそう」に見えますが、実は**「片側だけの真実」**を語っていることになります。

これを**「認識バイアス注入（EBI）」**と呼びます。

📐 3. 発見：「偏り」を数値で測るものさし

この攻撃が厄介なのは、「嘘」や「悪口」がないため、従来の防衛策では見つけられない点です。

そこで、研究者たちは**「偏り（バイアス）を数値で測るものさし」**を開発しました。

仕組み:
- 文章を「数学的な座標（ベクトル）」に変換します。
- 「賛成」と「反対」の意見が、この座標空間では**「反対の方向」**に位置していることに気づきました。
- この「賛成⇔反対」の軸を**「偏り軸（ポーラライゼーション軸）」**と呼びます。
- どの文章が、この軸のどの位置にあるかを計算する**「偏りスコア（PS）」**という数値を作りました。

これにより、「この文章は中立」「この文章は極端に賛成」「この文章は極端に反対」というのを、人間の主観ではなく**「数値」**で客観的に判断できるようになりました。

🛡️ 4. 防御策：「BiasDef（バイスデフ）」

この「偏りスコア」を使って、新しい防御システム**「BiasDef」**を作りました。

従来の防衛（失敗例）:
- 「関連度が高い本」だけを選ぶと、攻撃者の「偏った本」も選ばれてしまいます。
- 「多様性」を重視して本を選ぶと、逆に「有益な中立な本」まで捨ててしまうことがあります。
BiasDef の仕組み（成功例）:
1. 関連度と偏りの両方を見る: 「質問に関連している本」の中から、**「偏りスコアが極端な本」**を自動的に検知します。
2. 統計的なフィルタリング: 「同じような偏った本が大量に集まっている」というパターンを見つけ、それを「攻撃者の仕業」と判断して除外します。
3. 結果: 攻撃者の「偏った本」は排除しつつ、本当に必要な「中立で有益な本」は残すことができます。

📊 5. 実験結果

攻撃の効果: 従来のシステムでは、攻撃者の「偏った本」がトップ 5 の 90% 以上を占めてしまい、AI の回答が完全に操作されてしまいました。
防御の効果: BiasDef を使うと、攻撃者の本を 70% 以上ブロックでき、AI の回答の偏りを6 倍以上減らすことができました。しかも、必要な情報は失われません。

💡 まとめ

この論文が伝えていることは、**「AI が『嘘』をつくのは危険だが、『偏った真実』を語るのも同じくらい危険だ」**ということです。

攻撃者は、**「事実を並べながら、意図的に片方の視点だけを強調する」という、非常に巧妙な手口を使います。しかし、研究者たちは「文章の『偏り』を数値で測る」という新しい方法を見つけ、それを使って「偏った情報だけをフィルタリングする」**という新しい防御策を提案しました。

これは、AI がより公平で、偏りのない答えを返すために非常に重要なステップです。

1. 問題定義：認識論的バイアス注入（EBI）

背景:
RAG システムは、外部データベース（Web などの未検証ソース）から関連する文書を検索し、それを LLM のコンテキストとして利用することで回答を生成します。既存の研究では、虚偽情報や毒性コンテンツを注入する攻撃が主に扱われてきましたが、これらは事実確認や言語分析で検知されやすいという課題がありました。

新たな脅威（EBI）:
著者らは、**「事実に基づいているが、認識論的に偏った（epistemically biased）」**文書を注入する攻撃手法を提案しました。

特徴: 注入された文書は事実として正しく、言語的にも自然ですが、多角的な視点を持つ問題において特定の視点のみを強調し、対立する視点を排除するように設計されています。
目的: 検索結果から「多様な視点」を排除し、LLM が特定のイデオロギーや解釈に偏った回答を生成させることです。
既存防御の限界: 事実誤認や明確な指示（プロンプトインジェクション）がないため、既存の事実確認や言語的フィンガープリント検知では見逃され、LLM の出力を誘導します。

2. 手法：偏りの定量化と攻撃・防御の設計

2.1 偏りの定量化指標：偏極化スコア（Polarization Score, PS）

EBI を検知・防御するために、テキストの認識論的バイアスを幾何学的に定量化する新しい指標「偏極化スコア（PS）」を提案しました。

原理:
1. 特定のトピックについて多様な視点（支持・反対など）を持つアンカー文書群の埋め込みベクトルを取得します。
2. 主成分分析（PCA）を行い、埋め込み空間内で文書間の分散を最大化する方向（偏極化軸、 $u_{polar}$ ）を特定します。
3. 任意の文書の埋め込みベクトルをこの軸に射影し、スカラー値としてPSを算出します。
  $PS(d) = u_{polar}^T E(d)$
効果: PS の値が大きいほど特定の視点に強く偏っており、値が 0 に近いほど中立的であることを示します。この指標は、人間による評価（GPT-5.2 によるランク付け）と高い相関（スピアマン相関係数 0.896）を示すことが実証されました。

2.2 攻撃手法（EBI Attack）

攻撃者は以下の 3 つの性質を満たす敵対的文書を生成・注入します。

高い関連性: 検索クエリに対して高い類似度スコア（SS）を持ち、トップ k 件に選ばれる。
認識論的バイアス: 攻撃者が意図する視点（PS の値が極端に高い、または低い）を一貫して持つ。
隠密性: 事実誤認や不自然な表現がなく、通常の統計的分布と区別がつかない。

攻撃フロー:

対象クエリに対して LLM を用いて多様な視点の候補文書を生成。
候補文書の埋め込みに対して PCA を行い偏極化軸を決定し、PS を計算。
最も偏った（PS が極端な）文書を選択し、これを「バイアス源」として LLM に指示し、同様の視点を持つ複数の敵対的変種文書を生成。
これらを RAG データベースに注入する。

2.3 防御手法：BiasDef

既存の多様性重視の検索アルゴリズム（MMR, SMART, BRRA）は、EBI に対して完全には機能しないため、PS を活用した新しい防御「BiasDef」を提案しました。

仕組み:
1. ベース検出器: 検索された候補文書の「関連性（SS）」と「偏極化スコア（PS）」の 2 次元空間を分析します。
2. KL 発散の最大化: SS の閾値を変化させながら、SS 閾値で分割された 2 つの文書群（PS 分布が異なる部分）間の Kullback-Leibler 発散（KL 発散）を最大化する閾値（Max-KL Boundary）を探索します。これにより、敵対的文書と良性文書を統計的に分離する境界を見つけます。
3. 誤検知の軽減:
  - 偽陽性の除去: 境界付近で PS が良性文書に近い文書を除外します。
  - 偽陰性の回復: マハラノビス距離を用いて、敵対的クラスタに属するが SS が低い文書を再発見します。
特徴: LLM の再学習やファインチューニングを必要とせず、検索段階で動作する「プラグアンドプレイ」型の軽量防御です。

3. 実験結果

評価環境:

データセット: WIKI-BALANCE, Reddit-Dialogues, HotpotQA。
モデル: Llama-3-8B, DeepSeek-R1-Distill-Qwen-14B, GPT-4.1。
比較対象: 防御なし（No Def.）、MMR, SMART, BRRA, 自動事実確認。

主要な結果:

攻撃の有効性:
- 既存の防御（MMR, SMART, BRRA）は、注入された敵対的文書の約 19%〜27% を依然としてトップ 5 に含めており（A-Recall@5）、LLM の回答に大きなバイアス（PS シフト）をもたらしました。
- 事実確認 API（WikiCheck）は、敵対的文書が事実として正しいため、これを検知できませんでした。
- 攻撃により、LLM の回答の PS シフトは最大で 3 倍以上増加し、回答の偏りが顕著になりました。
BiasDef の性能:
- A-Recall@5（敵対的文書の混入率）: 多くのクエリで 0 に近づけ、既存手法よりも大幅に敵対的文書の混入を抑制しました。
- Recall@5（有益な文書の保持率）: 既存の多様性重視手法が有益な文書を過剰に排除するのに対し、BiasDef は有益な文書を多く保持しつつ（No Def. と比較して 12 倍の改善）、敵対的バイアスを削減しました。
- 回答のバイアス低減: BiasDef を適用した結果、LLM の回答における PS シフトは、No Def. に対して6.2 倍以上削減されました。
- 汎用性: 異なる LLM モデルやデータセットにおいても一貫して効果を発揮し、モデルのサイズやアーキテクチャに依存しないことが確認されました。

4. 貢献と意義

新たな脅威の特定: 事実に基づきながら視点操作を行う「認識論的バイアス注入（EBI）」という、既存の防御では検知困難な新たな RAG 攻撃を形式化しました。
幾何学的偏り指標の提案: 埋め込み空間における PCA を活用した「偏極化スコア（PS）」を提案し、テキストの認識論的バイアスを定量的かつ解釈可能に測定する手法を提供しました。
実用的な防御の実装: 再学習不要で即座に導入可能な軽量防御「BiasDef」を開発し、RAG システムのロバスト性を向上させることを実証しました。
将来への示唆: RAG システムの信頼性を高めるためには、単なる「事実の正確さ」だけでなく、「視点の多様性」や「認識論的バイアス」を明示的にモデル化し、検索段階で制御する必要性を示唆しています。

結論

この論文は、LLM の回答が検索されたコンテキストの視点によってどのように誘導されうるかを実証し、その脅威に対抗するための新しい定量的指標と防御フレームワークを提供しました。特に、事実誤認を含まない「巧妙なバイアス」に対処する技術は、AI 検索や Q&A システムの信頼性確保において極めて重要です。