Shuichiro Ogawa
English

Notes ・ updated 2026-08-28

名前がついた日

2024年5月、Willison は「望まれない AI 生成コンテンツ」に slop という名を与えた。 新しい語だと彼は書いている。 だが、名前を与える動作のほうは新しくない。 1994年には spam が同じ働きをしたし、19世紀の英国には penny dreadful という名があった。

名前がつくと、対策が始まる。 名前がないうちは苦情でしかなかったものが、名前がつくと分類され、測定され、制度の対象になる。

ここまでは、繰り返されてきた通りである。 問題は次で、対策の歴史は勝った記録ではない。 同じ形の賭けが何度も打たれ、何度も同じ形で破れてきた。 どこが同じで、どこが今回だけ違うのか。

印刷術のあとに起きたこと

書物が急に増えたとき、学者たちが最初に作ったのは索引と抜粋帳だった。

Blair (2010) は、近世ヨーロッパの学者が印刷術による書物の急増に対して、索引、要約、抜粋帳、書誌という技術で対処した過程を追っている。 commonplace book と呼ばれた抜粋帳は、トピック別に引用を整理する道具であり、大量の文章から何を残し何を捨てるかを決める技法だった (Blair 1992, 2004)。 選別の技術は、量が増えたから発明された。

安く大量に作られた出版物への非難も、同じくらい古い。 Darnton (1971) は、革命前フランスの Grub Street に集まった三文文士が扇動的なパンフレットを量産していた実態を、警察の監視記録から描いた。 ヴィクトリア朝の英国では、penny dreadful と呼ばれた低価格の少年向け読み物が少年犯罪の原因とみなされ、道徳的パニックを引き起こした (Dunae 1979)。 当時の批評はそれを「印刷の浪費」と呼んでいる (Burz-Labrande 2021)。 自費出版に付いた「粗悪で無選別」という汚名は、その後 POD やウェブにも転用されていった (Laquintano 2013)。

選別を担う人の側にも名前が与えられた。 Lewin (1947) がゲートキーパーという語を作り、White (1950) が地方紙の電信編集者を7日間追って、通信社の配信記事のうち採用されるのはごく一部だと実証した。 Shoemaker と Vos (2009) は、その後半世紀の研究を個人、ルーティン、組織、社会制度、社会システムの5水準に整理している。

そして Simon (1971) が、後の議論の前提になる一文を書いた。 情報の豊かさは注意の貧困を生む。 情報処理システムは、受け取るより多くを発信しないことで初めて、組織の注意を節約する。

経済学の側には、質が見えないときに何が起きるかの定式がすでにあった。 Akerlof (1970) は、品質が観察できない市場では低品質が高品質を駆逐しうることを示し、Spence (1973) は、質の高い者だけが払える費用がシグナルとして働くことを示した。 この二つは、後に出てくるすべての対策の背骨になる。

スパムという名がついてから

1978年、DEC のマーケティング担当者が ARPANET の利用者に一斉に製品案内を送った。 1994年、移民法律事務所が広告を5,500を超える Usenet のニュースグループに個別投稿した (Ferrara 2019)。 この二つの事件を経て、spam の語が商業的な迷惑通信全般を指すようになる。

Brunton (2013) の定義は簡潔である。 スパムとは、情報インフラを使って、既存の注意の集積を搾取する行為である。

規模も測られた。 Rao と Reiley (2012) は、米国の企業と消費者が負担する年間コストを約200億ドル、スパマー側の世界年間収益を約2億ドルと推定し、外部コストと内部便益の比を約100対1と算出している。 費用のほとんどが、送らなかった側にかかる。

ここから、五つの賭けが順に打たれる。

賭けその一、受け手が分類する

いちばん成功した対策は、受け取った側で内容を見て分類することだった。

Sahami、Dumais、Heckerman、Horvitz (1998) は、決定理論の枠組みと確率的学習を使い、本文以外の特徴を加えるとフィルタの精度が大きく上がることを示した。 Androutsopoulos ら (2000) は公開コーパスで、Naive Bayes がキーワードルールを一貫して上回ることを確かめた。 2002年、Graham は利用者が spam と ham を印していく学習型フィルタの設計を公開し、実装が広まった。

なぜ効いたのか。 理由は精度そのものより、フィルタの置かれた場所にある。 学習は受信者ごとに行われ、その中身は攻撃者から見えない。 一人ひとり違う的を狙うことになるので、攻撃側の最適化が効きにくい。

同じ賭けが2023年に打たれ、半年で降りた。 OpenAI は2023年1月31日に AI Text Classifier を公開し、7月20日に取り下げた。 理由は精度不足で、公開時の自己申告で正解率26%、人間の文章を誤って AI と判定する率が9%だった。

取り下げなかった検出器にも、同じ問題が付いている。 Liang ら (2023) は、主要な7種の検出器が TOEFL の非母語話者エッセイの半数超を誤って AI と判定することを示した。 同じ文章を ChatGPT に手直しさせると、検出率はほぼ0まで落ちる。 Sadasivan ら (2023) の再帰的なパラフレーズ攻撃では、透かしの検出率が偽陽性率1%の条件で99.8%から9.7%へ落ちた。 Kumarage ら (2023) は、検出器を回避するよう最適化したプロンプトがモデルをまたいで転用できることを示している。

ベイズフィルタとの違いは、精度の数字ではない。 スパムには売る意図が語彙として現れた。 価格があり、リンクがあり、急かす言い回しがあった。 slop にはそれがない。 正しい文章と同じ語彙で書かれるので、内容を見て分ける手がかりが薄い。

賭けその二、送り手に費用を課す

Dwork と Naor (1992) の提案は明快だった。 送信のたびに、中程度に難しい計算を課す。 一通なら気にならない負荷でも、百万通なら成立しない。 2002年に Back がまとめた Hashcash が、この考えの代表的な実装である。

2004年、Laurie と Clayton がこの賭けを閉じた。 スパマーは自分の計算機を使っていない。 乗っ取ったボットネットの計算資源を使うので、費用は本人にかからない。 一方、正規の利用者の端末性能はばらつきが大きい。 両者を分ける負荷の水準は、存在しない。 論文の題は「proof-of-work は働かないことが証明された」である。

費用を課すという発想自体が消えたわけではない。 Loder、Van Alstyne、Wash (2004) は、計算ではなく金銭を供託させ、受信者が有用と判断したら返す仕組みを設計した。 広くは実装されていない。

費用の非対称は、今回さらに強い形で現れている。 生成の費用は本人が払うが、その額が小さい。 そして下がったのは低品質を作る側の費用だけで、確かめる側の費用は下がらない。

ただし、費用を課す先を変えると結果が変わる例が一つある。 Tchernichovski ら (2019) は、オンラインの評価システムで、評価を入力する側に時間的な費用を課した。 評価の信頼性は上がった。 費用を送り手ではなく、選ぶ側の行為に課している。

賭けその三、出所を証明する

内容で見分けられないなら、誰が出したかを証明させればよい。 メールの世界はこの賭けに20年をかけた。 SPF (RFC 7208)、DKIM (RFC 6376)、DMARC (RFC 7489) が、送信ドメインの正当性を検証する仕組みとして標準化された。

採用率が問題になった。 Durumeric ら (2015) は、70万を超える SMTP サーバのうち暗号化を正しく設定していたのは35%、DMARC のポリシーを指定していたのは1.1%だと実測した。 7か国以上で、Gmail 宛に届くメッセージの20%超が平文のまま到着していた。 Foster ら (2015) は、大手プロバイダが一通り導入する一方で、中小の送信者には浸透していないという格差を測っている。

来歴の賭けは、今まさに打ち直されている。 Content Authenticity Initiative が2019年11月に、C2PA が2021年2月22日に発足し、2022年1月26日に仕様 v1.0 が公開された。 Google DeepMind は2023年8月29日に画像向けの透かし SynthID を提供しはじめ、2024年にはテキスト向けの方式を Nature に発表した (Dathathri et al. 2024)。 制度の側も動いた。 中国の標識義務が2025年9月1日に施行され、EU AI Act 第50条(4) は2026年8月2日から適用される。

そして、この賭けには前回になかった種類の結果が出ている。 Zhang ら (2024) は、自然な仮定のもとで「強い透かし」が理論的に不可能であることを証明した。 Fan ら (2024) は、単一の公開検証可能な方式では頑健性と健全性を同時に満たせないことを示している。 実装の側でも、Hu ら (2024) が Meta の Stable Signature を微調整で除去し、Hönig ら (2024) は Glaze や Nightshade のような芸術家向けの保護が単純な拡大処理で回避できることを示した。 C2PA 仕様の独立したセキュリティ分析 (Golaszewski et al. 2026) は、仕様が掲げた目標を達成できていないと結論している。

来歴が答えるのは「誰が」であって、「良いか」ではない。 そして採用が任意であるかぎり、証明が無いことは何の証拠にもならない。

賭けその四、人間であることを証明する

von Ahn、Blum、Hopper、Langford (2003) の CAPTCHA は、設計として美しかった。 安全性を、当時未解決だった AI の問題に帰着させる。 高い精度で解くプログラムが現れたら、それは AI の難問が解けたということだから、どちらに転んでも人類の得になる。

この設計には、賞味期限が組み込まれている。 安全性が AI の能力の不足に依存しているので、能力が上がれば失効する。

実際そうなった。 Bursztein ら (2014) は、文字の分割こそがテキスト CAPTCHA の安全性の核心だと特定し、汎用の処理で多数の実運用スキームを突破した。 Ye ら (2018) は GAN で合成データを大量に作ってソルバーを事前学習し、大手サイトを含む33のスキームを1件あたり約0.05秒で解いた。 CCS 2018 の最優秀論文である。

副作用も測られている。 Khattak ら (2016) は、Tor を経由する匿名の利用者がウェブサイトから拒否や機能制限や CAPTCHA 要求という差別的な扱いを受ける実態を測定し、130万件以上の IP アドレスが Tor 出口ノードからの接続を拒否していると推定した。 視覚障害のある利用者や学習障害のある利用者にとって、CAPTCHA が実際に障壁になることも報告されている (Kuzma et al. 2011; Gafni & Nagar 2016)。

もう一つ、見落とされやすい性質がある。 reCAPTCHA は、解読の労力を書籍のデジタル化に転用した (von Ahn et al. 2008)。 4万を超えるサイトに導入され、4億4千万語超が転記された。 人間性の証明を求めるこの対策は、同時に無償労働の徴収でもあった。

賭けその五、門番を置く

査読は、思われているほど古くない。 Baldwin (2018) は、査読が科学実践の中心的な手続きとみなされるようになったのは20世紀後半、とくに1970年代の産物であり、冷戦期の米国で科学的自律性と公的説明責任が緊張したことから生まれたと論じている。 Csiszar (2018) は19世紀の判定システムを、政治的妥協と知的財産論争と商業的要請の産物として描いた。

その門は、機械が生成した文章に対して早い時期に破られている。 2005年、MIT の学生3名が作った SCIgen という自動生成器の出力が、査読なしの会議に受理された。 Labbé と Labbé (2013) は検出手法を作り、書誌サービスが SCIgen 生成論文を索引化していたことを示した。 2014年、Springer と IEEE が会議録から120本超を撤回している。

生成の道具が変わっても、構図は続いた。 Cabanac、Labbé、Magazinov (2021) は、自動的な同義語置換で生じる不自然な言い換えを tortured phrases と名づけ、これを検出の指紋として使った。 「counterfeit consciousness」と書かれていれば、元は artificial intelligence である。 彼らが作った Problematic Paper Screener は、週次で1億3千万件を走査している (Cabanac et al. 2022)。

門番を名指しするリストも作られ、そして畳まれた。 Beall’s list は2010年に始まり、2017年1月に閉鎖された。 Strinzel ら (2019) は、ブラックリストとホワイトリストを横断比較し、両者に重複と矛盾があること、ブラックリストがグローバルサウスの新興誌や小規模誌を誤って略奪的と分類する危険があることを示している。 Xia ら (2015) は、そうした雑誌に投稿しているのが主に発展途上国の若手研究者であることを実証した。 2019年、10か国43名が18の質問と12時間の議論を経て合意定義に到達したとき、彼らはオープンアクセスであること自体を略奪性の指標にしないと明記している (Grudniewicz et al. 2019)。

撤回の側も制度になった。 Fang、Steen、Casadevall (2012) は、撤回論文2,047本を全件精査し、単純な誤りによる撤回は21.3%で、不正行為が67.4%を占めることを示した。 2023年には撤回が年間1万件を超え、前年比2.5倍を記録している (Van Noorden 2023)。 ただし、撤回してもその論文は使われ続ける。 Hsiao と Schneider (2022) の大規模分析では、撤回後の引用文脈のうち撤回に言及していたのは5.4%だった。

知識コミュニティの側は、もっと素早く動いた。 Stack Overflow は2022年12月5日、ChatGPT 生成の回答の投稿を一時禁止した。 正答率の低さゆえに実質的な害がある、というのが理由である。 Clarkesworld は2023年2月20日正午、投稿の受付を止めた。 その月、AI 生成とみられる投稿が500件を超え、人間からの投稿700件に迫っていた。 Nature と Science は2023年1月に著者ポリシーを表明し、ICML は同年に本文生成での LLM 使用を原則禁止した。 arXiv は2025年10月31日、計算機科学カテゴリのレビュー論文とポジションペーパーに事前査読の証明を要求する方針へ変えている。 Wikipedia は2023年12月に AI Cleanup のプロジェクトを立ち上げ、2025年に LLM 生成が明白な記事の即時削除方針を追加した。

禁止には効果があった。 Borwankar ら (2023) は、Stack Overflow の禁止措置の後、回答の言語的な複雑性と語数が対照群に比べて有意に増えたことを差分の差分法で示している。 質問数への有意な影響はなかった。 ただし別の指標では、コミュニティ自体が縮んでいる。 Burtch、Lee、Chen (2024) は、ChatGPT の登場後に Stack Overflow の訪問数と質問数が有意に減少し（Reddit では減少しなかった）、減少が新規参入者に集中していたと報告した。

門番を置くと、その門番を維持する労働が要る。 Halfaker と Geiger (2020) は、Wikipedia の損傷編集の検出を人手だけで行えば全言語版で1日あたり483労働時間が必要になると推定した。 査読の負荷も、少数の査読者に極端に偏っている (Kovanis et al. 2016)。

そして門番は、測られると壊れる。 Fire と Guestrin (2019) は1億2千万本超の論文を分析し、論文数や被引用数といった指標が Goodhart の法則どおりに機能不全を起こしていることを示した。 著者数が増え、論文が短くなり、出版のペースが上がる。 Asubiaro ら (2024) は、Web of Science と Scopus の収載基準が地域間に著しい格差を生んでいることを定量化している。

破れ方には型がある

五つの賭けを並べると、破れ方が数種類しかないことが見えてくる。

型1、賞味期限。 攻撃者の能力の不足を前提にして設計された対策は、能力が上がると失効する。 CAPTCHA は安全性を AI の未解決性に賭けた設計だったので、AI が解けるようになった時点で設計どおりに終わった。

型2、費用の転嫁先。 費用を課す対策は、その費用を他人に押し付けられる相手には効かない。 ボットネットを持つスパマーに計算費用は届かなかった。

型3、任意採用。 出所の証明は、正直な参加者しか使わない。 DMARC のポリシー指定が1.1%にとどまるとき、証明が無いことは有罪の証拠にならない。

型4、誤りの偏り。 門番は誤って締め出す。 そして誤りは弱い側に集中する。 ブラックリストはグローバルサウスの小規模誌を、ボット対策は Tor 利用者を、AI 検出器は非母語話者を、それぞれ多く誤判定した。

型5、集中。 効いた対策は、検証できる主体を絞る。 メール認証を一通り運用できるのは大手プロバイダで、中小の送信者は遅れる (Foster et al. 2015)。 対策が成功するほど、確かめる力は少数の場所に集まる。

今回だけ違うところ

型が同じなら、今回も同じだと言いたくなる。 そう言い切ると、三つ取り逃がす。

第一に、痕跡が薄い。 スパムには売る意図が形として残った。 価格、リンク、急かす言い回し。 生成された文章にはそれがなく、人は AI 生成の詩を偶然以下の精度でしか見分けられない（識別精度46.6%、ai-slop-design-creativity に詳しい）。 内容から分けるという賭けが、前回より不利な条件で打たれている。

第二に、不可能性が証明されている。 スパム対策の歴史に、Zhang ら (2024) のような結果はなかった。 proof-of-work は「実運用では機能しない」と論証されたが、それは経済と資源分布の議論であって、数学的な不可能性ではない。 強い透かしについては、自然な仮定のもとで不可能だと示されている。

第三に、効いたという証拠がない。 本収集の範囲では、検出やラベリングや規制が slop の量や流通を実際に減らしたと示す査読研究は見つからなかった。 見つかったのは二種類である。 ラベルが受け手の認知に与える影響を測った実験と、検出や透かしが攻撃で無効化されることを示した技術評価。 前者では、AI ラベルは記事の知覚精度と信用度を下げるが、政策支持や、いいねやシェアといった関与行動はほとんど動かない（Wang et al. 2025, n=3,861; Berinsky et al. 2025, n=7,579; Gamage et al. 2025, n=911）。 態度は変わり、行動は変わらない。

歴史が残した、効いた対策の条件

負けた記録ばかりではない。 効いた対策には共通点がある。

一つ、攻撃者から見えない場所で、個別に学習する。 ベイズフィルタが効いたのは精度ではなく、的が一人ずつ違ったからである。

二つ、経済の急所を突く。 Levchenko ら (2011) は、スパムの価値連鎖を命名、ホスティング、決済、履行に分解し、100件超の実購入を通じて、決済処理が少数の業者に集中しているというボトルネックを特定した。 中身を分類するのではなく、金の流れる場所を止める。

三つ、費用を課す先を、送り手から選ぶ側の行為へ移す。 Tchernichovski ら (2019) の実験では、評価に時間の費用を課すと評価の信頼性が上がった。

三つに共通するのは、見分けようとしていないことである。 どれも構造を変えている。 誰が学習するか、どこで金が止まるか、誰が費用を払うか。

姉妹ノート ai-slop-design-creativity は、スロップを「検証の負担がどこへ渡るか」の問題として読んだ。 歴史の側から見ると、その読み方は対策の設計にそのまま効く。 「見分けられるか」を問うと、型1から型4のどれかで破れる。 「誰が確かめ、その人に費用が払われるか」を問うと、少なくとも過去に効いた三つの形が視野に入る。

この読み方が外れるとき

三つ書いておく。

第一に、検出が実は勝つなら。 不可能性の証明は「強い透かし」という定式化についてのもので、実務で十分な弱い保証まで否定していない。 攻撃に費用がかかるなら、完全でない透かしでも運用上は足りうる。

第二に、任意採用が任意でなくなるなら。 EU AI Act 第50条の適用（2026年8月2日）と中国の標識義務（2025年9月1日施行）は、来歴の採用を法的な義務に変える試みである。 DMARC が1.1%にとどまったのは義務がなかったからで、義務があれば型3は当てはまらない可能性がある。 効果の測定はこれからで、本ノートの時点では結果が出ていない。

第三に、そもそも受け手が困っていないなら。 ラベルが行動を変えないという結果は、受け手が気にしていないことの現れかもしれない。 であれば対策が効かないのではなく、対策が要求されていないことになる。

射程も限る。 本ノートは英語圏の文献に強く偏っている。 Google Panda（2011）の効果を測定した査読研究、スパム対策が配信インフラの寡占をもたらしたことを直接測定した査読研究は、いずれも本収集では見つからなかった。 「見つからなかった」は「存在しない」ではない。 2022年以降の対策に関する文献はプレプリントの比率が高く、査読を経ていないものが多い。

年表

年出来事型
1947Lewin がゲートキーパー概念を提示門番
1950White が新聞編集者の選別を実証門番
1970–73Akerlof のレモン市場、Spence のシグナリング理論
1971Simon「情報の豊かさは注意の貧困を生む」理論
1978DEC の一斉送信メール汚染
1992Dwork & Naor が proof-of-work を提案費用
1994Canter & Siegel が5,500超のニュースグループへ投稿汚染
1994robots.txt（事実上の標準として成立）規範
1998Sahami らのベイズフィルタ分類
2002Graham “A Plan for Spam”、Back の Hashcash分類／費用
2003von Ahn らの CAPTCHA、米 CAN-SPAM 法人間性／制度
2004Laurie & Clayton が proof-of-work の失敗を論証。TrustRank費用／分類
2005SCIgen 生成論文が会議に受理汚染
2008reCAPTCHA が書籍デジタル化に労力を転用人間性
2010Beall’s list 開始門番
2011Levchenko らが決済ボトルネックを特定経済
2011–15SPF / DKIM / DMARC の標準化来歴
2014Springer と IEEE が SCIgen 論文120本超を撤回。CAPTCHA の汎用突破門番／人間性
2015Durumeric らが DMARC ポリシー指定1.1%を実測来歴
2017-01Beall’s list 閉鎖門番
2018GAN による CAPTCHA ソルバーが33スキームを突破人間性
2019-11Content Authenticity Initiative 発足来歴
2021-02C2PA 発足来歴
2021tortured phrases による検出分類
2022-01C2PA 仕様 v1.0来歴
2022-09RFC 9309（robots.txt の正式標準化）規範
2022-12-05Stack Overflow が ChatGPT 回答を禁止門番
2023-01Nature と Science が著者ポリシーを表明。OpenAI が検出器を公開門番／分類
2023-02-20Clarkesworld が投稿受付を停止門番
2023-07-20OpenAI が検出器を撤回（正解率26%）分類
2023-08Glaze が USENIX Security に。SynthID ベータ対抗／来歴
2023-12Wikipedia の AI Cleanup 発足門番
2024Zhang らが強い透かしの不可能性を証明。SynthID-Text が Nature に来歴
2025-09-01中国の標識義務が施行制度
2025-10-31arXiv がレビュー論文に事前査読の証明を要求門番
2026-08-02EU AI Act 第50条(4) 適用開始制度

関連ノート

  • ai-slop-design-creativity：AI スロップを検証の外部化として読んだ姉妹ノート。本ノートはその読み方を歴史の側から検証している。
  • maker-to-editor-paradigm：制作者から編集者への役割移行。門番を置く賭けの、職能の側からの記述にあたる。
  • llm-as-a-judge-literature：評価を機械に戻せるかという問い。分類の賭けを検証工程に持ち込む試みの現在地。
  • design-value-dimensions：質の代理指標を考えるときの前提になる価値の地図。
  • generative-art-literature：Glaze と Nightshade を含む、生成物と著作権をめぐる軍拡競争の文脈。
  • adoption-approval-paradox：利用率と肯定率の乖離。ラベルが態度を変えても行動を変えないという結果と同じ地層にある。

参照文献

前史（情報過多と選別の技術）

スパムの歴史と対策

検索の汚染と人間性の証明

学術出版と知識共同体

2022年以降の AI 対策

日付の一次資料（非学術）

未検証事項

コーパス全体（140件）の未検証項目は source/review/slop-countermeasures-history/papers.md の末尾にある。本文に関わるものを集約する。

  • Kanich ら (2008) のコンバージョン率の具体値、Foster ら (2015) の採用率の具体値は、いずれも一次テキストで確認できていないため本文では数値を書いていない。
  • Google Panda（2011）の効果を測定した査読研究は本収集では見つからなかった。
  • スパム対策がメール配信インフラの寡占をもたらしたことを直接測定した査読研究も見つからなかった。型5（集中）は、Durumeric (2015) と Foster (2015) が示した非対称からの推論であり、寡占という帰結そのものの実証ではない。
  • Beall’s list 閉鎖の経緯について、Beall 本人の一次証言原文に到達していない。
  • Bohannon (2013) への方法論批判は複数の場で言及されるが、批判論文そのものを本収集では特定していない。
  • Borwankar ら (2023) の正式な掲載巻号、Cabanac らの2本の査読誌掲載版の有無は未確認。
  • 2022年以降の対策に関する文献のうち、Zhang ら (2024) と Kirchenbauer ら (2023) と Dathathri ら (2024) と Shan らの2本は査読を経ているが、Hu ら (2024)、Hönig ら (2024)、Golaszewski ら (2026)、Wang ら (2025) はプレプリントである。
  • Berinsky ら (2025) の正式 DOI、Golaszewski ら (2026) の査読状況は未確認。
  • EU AI Act 第50条の条文は解説サイト経由で確認しており、EUR-Lex の官報原文と照合していない。中国の標識義務も政府原文と照合していない。
  • Clarkesworld の投稿受付再開日、Wikipedia の G15 方針の正確な発効日は一次資料で確認できていない。
  • 「対策の破れ方に五つの型がある」という整理そのものは本ノートによるもので、この形で先行文献に定式化されているものは、今回の探索の範囲では見当たらなかった。網羅性は保証していない。

← Notes 一覧 ・ ホーム