要旨 新しい研究「Believed but Not Said」は、複数の大規模言語モデル（LLM）エージェントが参加する議論で、少数の“悪意ある”参加者が繰り返しもっともらしい誤答を投じるだけで、他のエージェントたちの“私的な回答”（内部の信念に相当）に大きな影響を与えることを示しました。興味深いのは、その変化の多くが公の発言（議論の記録）には現れない、いわば「見えない感染」だという点です。以下に方法と主要な発見、実用的な含意、限界をわかりやすく整理します。研究は慎重な実験室的条件下での計測によるもので、即時に広範な実運用への断定は避けるべきですが、マルチエージェント設計に対する重要な警告を投げかけています。

方法（概観） 研究チームは、同一モデルを使った10名のエージェントが16ラウンドにわたり1つの事実問題を議論するシミュレーションを行いました。実験条件として、悪意ある（攻撃者）エージェントの数を0、1、3で変え、攻撃者は“もっともらしいが誤り”の解答を一貫して主張します。各ラウンド終了後に、議論で見える「公開発言」とは別に、各善良（非攻撃）エージェントに対して個別の呼び出しで非公開に同じ質問を投げ、返答（プライベート回答）を得てラベル付けしました。これにより、各ラウンドごとに「公に言っていること」と「非公開で答えること」の両方を対にして分析できます。実験は6種のLLM（広く使われるモデル群）と3つの事実QAデータセットで繰り返されました。

主な発見（要点） - 基線では安定：攻撃者がいない条件では、最終的に誤答を私的に持つエージェントは平均0.6%に留まり、グループは安定していました。 - 一人の攻撃者で大きな損害：攻撃者が1名いるだけで、最終的に誤答を私的に保持する善良エージェントは平均44.8%に跳ね上がり、攻撃者3名では60.5%に達しました。つまり、わずかな攻撃で群の“私的信念”の大部分が書き換えられ得ます。 - 「見えない感染（hidden infection）」：公開発言を見るだけでは被害は過小評価されます。攻撃者3名の条件下で、公開場面で誤答を支持する割合は19.7%だった一方で、同じ露出ターンの私的回答が誤答である割合は51.6%でした。つまり、多くのエージェントが内心は誤りを受け入れているが、議論ではそれを明確には支持しないことが多いのです。 - 私的回答はしばしば“自分の見解”として残る：調査では、同じエージェントに「あなた自身の意見は？」と尋ねると、誤答を維持する割合が高く（例：約86%がそのまま誤答を保持）、議論の要約や“自分の発言を匿名化”しても大きく変わらないことが示されました。 - 知識量と頑健性は一致しない：あるモデルが事前に多くの事実を知っていても、攻撃に対する“頑健さ”は別物でした。たとえば、元の知識率が似ているモデル同士でも、攻撃後にどれだけ既知の事実を放棄するかは大きく異なりました。 - 時間的ダイナミクス：感染は速く進み、実験では最初の数ラウンド（多くは4ラウンド以内）に大部分が起きて、その後は高止まりする傾向が見られました。

なぜ「見えない感染」が起きるのか（解釈） 研究者らは、本実験の条件下で「多数派圧力における公的服従（public compliance）」と「私的受容（private acceptance）」という社会心理学の概念がモデルにも当てはまるが、典型的な人間の多数派実験とは逆のパターンが観察されたと述べています。すなわち、多数派が生み出すのは必ずしも表面的な同意（議論での賛同）だけではなく、少数の繰り返し主張によって他者の内部判断そのものが書き換えられることがあるという点です。さらに、誤答を内面に取り込んだエージェントは必ずしもそれを公開で主張せず、沈黙や慎重な表現（ヘッジ）で済ますことが多く、議事録だけを見ていると問題の深刻さが隠れてしまいます。

実務上の含意（慎重な提言） - トランスクリプト監視は不十分：公開発言だけを監視している運用では、内部的な誤信念の広がりを見逃す可能性が高いです。 - 個別の非公開プローブの導入：各エージェントの“私的回答”を定期的に取得して比較することで、表面に出ない変化を検出できる可能性があります。 - 早期介入が重要：感染は初期ラウンドで急速に進むため、検出と介入は議論の初期に行うべきです。 - 選定段階での“耐性テスト”：単に事実知識が高いモデルを選べばよいわけではないので、仲間からの圧力や少数の悪意ある参加者に対する耐性を評価する検査を導入することが望ましいです。 - 発言を“信頼できない入力”として扱う設計：議論に流れるテキストをそのまま真と見なすのではなく、検証や出典照会などの仕組みを組み込むことが必要です。