arXiv論文の9割に非公開情報漏洩の懸念　パスワードやGPS座標も

2019年にスタートした本連載「Innovative Tech」は、世界中の幅広い分野から最先端の研究論文を独自視点で厳選、解説する。執筆は研究論文メディア「Seamless」（シームレス）を主宰し、日課として数多くの論文に目を通す山下氏が担当。イラストや漫画は、同メディア所属のアーティスト・おね氏が手掛けている。X：＠shiropen2

ドイツのアーヘン工科大学に所属する研究者らが発表した論文「Hidden Secrets in the arXiv: Discovering, Analyzing, and Preventing Unintentional Information Disclosure in Source Files of Scientific Preprints」は、査読前論文を公開するWebサイト「arXiv」（アーカイブ）に投稿された論文から個人情報や機密情報、意図しない情報が漏えいしているとする研究報告だ。

研究チームが1991年から25年末までに投稿された270万件の論文を分析した結果、全体の88％に当たる論文に著者が意図していない隠れた情報が含まれていたという。

arXivでは、文書作成システム「LaTeX」で論文を書いた場合、元のLaTeXソースファイルをアップロードする決まりになっており、PDFと一緒にソースファイルも一緒に公開される（投稿の約93％がLaTeXで書かれている）。

LaTeXはプログラミングのように文字のコードを打ち込んで文書を作成するため、PDFには表示されない自分たち用のメモやコメントをソースファイル内に残すことができる。

これらのソースファイルを調査したところ、さまざまな情報が含まれていた。共同研究者間の議論や、本文では触れられていない論文の弱点を記したメモ、恥ずかしい下品な言葉まで残されていた。加えて、メールアドレスやパスワード、APIトークン、秘密鍵といった機密情報も発見されたという。

さらには、画像に埋め込まれたGPS情報から研究施設と住居地の両方が読み取れ、研究者の行動を追跡できてしまうケースや、アクセス制限のかかっていない内部用GoogleドキュメントのURLから、未公開の査読内容や被験者の調査データが誰でも閲覧できる状態になっていた。皮肉なことにセキュリティ分野の論文の方が情報が多く含まれていた。

研究チームが著者にアンケートを実施した結果、ソースファイルが公開されることを知っていたのは全体の約4割に過ぎなかった。arXiv側は、機密情報が含まれていないか確認するのは著者の責任としており、投稿前に専用のクリーンアップツール（Googleの「arxiv_latex_cleaner」など）を使って不要なデータやコメントを自動で取り除くことを推奨している。

この事態に対処するため、研究チームは新たなツール「ALC-NG」を独自に開発し、オープンソースとして無償公開した。このツールは、ファイルの構造を正確に解析する技術を組み合わせることで、論文の見た目をできるだけ変えることなく、見えてはいけないコメントや不要な隠しファイルを既存ツールより高い精度で除去できるという。