技術概要：AgentCrypt

問題定義

マルチエージェントシステムにおける AI エージェントは、機密性が高く規制対象のデータを処理する任務をますます負うようになっている。しかし、既存のプライバシー防御策、主に「ガードレール」と LLM スキャン手法は、経験的かつ平均ケースの保護に依存している。これらの手法は、ツール呼び出し、コンテキスト共有、メモリ永続化、推論、またはマルチホップルーティングを通じたアクセス後の漏洩を防ぐことに失敗している。

核心的な問題は、大規模言語モデル（LLM）の固有の非決定性にある。規制環境（例：医療、金融）において、ゼロではない攻撃成功率は容認できない。機密データへのアクセス、信頼できないコンテンツへの曝露、外部通信チャネルという「致命的な三つ組」は重大なリスクを生み出す。さらに、確率的な誤生成自体が、敵対的なプロンプトがなくても開示を誘発しうる。現在の緩和戦略は、保護対象である LLM の確率的出力に依存する安全メカニズムを持っているため、攻撃成功率をゼロに保証することはできない。

手法：AgentCrypt フレームワーク

著者らは、モデルの動作に依存しない決定論的暗号化ラッパーを通じてプライバシーを強制する、3 段階のフレームワークAgentCryptを導入する。このラッパーは、タグ付けされたデータに対して厳密な最悪ケースの保証を提供し、敵対的な操作やエージェントの誤り下でもプライバシーを確保する。

このフレームワークは、機能の 3 つの漸進的なレベルで動作する。

レベル 1：プライバシーなし

エージェントは、暗号化やアクセス制御なしに生データを平文で交換する。このレベルは、制限のない情報フローの基準として機能し、非機密の公共サービスにのみ適している。

レベル 2：ポリシーベースの検索プライバシー

このレベルでは、**アイデンティティベース暗号（IBE）**を用いてデータ項目ごとにプライバシーを強制する。

• メカニズム：「フェッチ＆暗号化」ツールがデータベースからデータを取得し、受信者のアイデンティティ（例：ロールベースのポリシー）から導出された鍵の下で即座に暗号化する。
• 保証：エージェントが誤って間違ったデータを取得した場合（例：2 人の従業員を混同する）や悪意を持って行動した場合でも、データは暗号化されたままとなる。ポリシーによって承認された正しい復号鍵を持つエージェントのみが平文にアクセスできる。
• 脅威モデル：不正アクセス、なりすまし、誤ったエージェント推論に対する防御。正しさが損なわれても、プライバシーは暗号的に保証される。

レベル 3：ポリシーベースの計算プライバシー

このレベルでは、プライベート入力に対して行われる計算への保護を拡張する。

• メカニズム：独立したセキュリティラッパーが、決定論的な出力暗号化とアクセス制御を強制する。エージェントがプライベート入力に対して関数 $f$ を計算する際、ラッパーは出力にポリシーを適用する。
• ポリシー論理：デフォルトでは、出力ポリシーはすべての入力データ項目のポリシーの共通部分となる。これにより、条件付き推論攻撃（例：「チャリーの給与が 10 万ドルを超えたら、アリスの給与を返す」）を防ぐ。
• きめ細やかな制御：このフレームワークは、特定の集計関数（例：セクター平均）を計算する事前承認された決定論的ツールをサポートしており、これには個々のレコードを曝露することなく有用な分析を可能にする、関数固有の緩和された出力ポリシーが適用される。
• 高度なオプション：復号化なしに暗号化されたデータ上で直接計算が必要なシナリオでは、フレームワークは**完全準同型暗号（FHE）**を統合できるが、標準的なレベル 3 の操作は最終回答のために IBE に依存する。

主要な貢献

1. 形式的セキュリティ保証を備えた初のエージェントフレームワーク：経験的堅牢性を強調する従来の「安全性」研究とは異なり、AgentCrypt は厳密に定義された最悪ケースのプライバシー保証を提供する。
2. 確率的エージェントのための形式的セキュリティ定義：著者らは、エージェントを LLM 出力（ランダム性）を制御できるが、決定論的暗号化ラッパーによって制約される半悪意ある敵として扱う、エージェント型 LLM に特化したセキュリティモデルを提案する。敵の視点が理想的な実行と識別不可能であるシミュレーションベースのセキュリティを定義する。
3. 3 段階アーキテクチャ：単純な暗号化検索（レベル 2）から複雑なプライバシー保護計算（レベル 3）までを網羅するスケーラブルなフレームワーク。
4. マルチホップルーティングのセキュリティ：このフレームワークは、機密データが複数の中間エージェントを通過するシナリオに対処する。暗号化により、仲介者は暗号文のみを視認でき、これは LLM スキャンの範囲外である。
5. ベンチマークデータセットとツール：著者らは、FERPA、HIPAA、GLBA、GDPR、CCPA などの規制にまたがり、なりすまし、マルチホップルーティング、現実世界での情報漏洩を含む 14 の攻撃クラスを網羅する914 のプライバシー注釈付きマルチエージェントシナリオのベンチマークを提供する。また、合成データ生成ツールも提供する。
6. 実装：AgentCrypt は、LangGraphやGoogle ADK（Agent2Agent プロトコル搭載）を含む現代的なマルチエージェントスタックに実装されている。

実験結果

このフレームワークは、さまざまな失敗タイプと攻撃を含む 914 のシナリオで評価された。

• プライバシー保持：AgentCrypt は、エージェントの正しさや攻撃タイプに関わらず、すべてのシナリオで100% のプライバシーを維持した。「現実世界での情報漏洩」（例：Superhuman AI メール攻撃、GitHub MCP 脆弱性）やマルチホップルーティングエラーの場合でも、機密平文が漏洩することはなかった。
• タスクの正しさ：フレームワークは84.14% のタスク正しさ（加重平均）を維持した。正しさはカテゴリによって変動した。
  • なりすまし、条件付き推論、ツールの誤選択では高い正しさ（96–99%）。
  • マルチホップルーティングエラー、アイデンティティの混同、多ターン洗浄の失敗では低い正しさ（48–67%）。
  • コンテキスト漏洩と現実世界での情報漏洩攻撃ではほぼゼロの正しさ（0–10%）であり、これらが LLM にとっていかに困難な相互作用であるかを浮き彫りにしたが、プライバシーは無傷であった。
• オーバーヘッド：論文はレベル 3 における FHE の計算オーバーヘッドをベンチマークしており、CKKS FHE を通じた 50 要素のソートに約 150 秒を要するものの、フレームワークは機能的かつプライバシーを保持したまま稼働していると指摘している。

意義と主張

この論文は、AgentCrypt が AI エージェントにおいて経験的安全性から形式的セキュリティへの根本的な転換を表すと主張している。プライバシー強制を LLM の確率的推論から切り離すことで、単一のエージェントの失敗がコンプライアンス違反を引き起こすことがないことを保証する。

著者らは、このアプローチが「漏れやすいエージェントを強化する」ことではなく、暗号化を通じて「基盤となるデータベースの防御を補強する」ものであると強調している。これにより、いかなるデータ漏洩も容認できない医療や金融などの高リスク分野において、エージェントが正しく推論するかどうかに関係なく、システムレベルの保証を提供し、エージェントを稼働させることができる。

限界：

• このフレームワークは、すべての機密データ要素がオフラインフェーズでアクセスポリシーを適切にタグ付けされていることを前提としている。タグが欠落している場合、システムはデータを曝露するのではなく、安全に停止（ハルト）する。
• 計算の復号化出力は必然的に関数の結果を露呈する。これらの出力からの推論に制限を必要とするアプリケーションについては、著者らは差分プライバシー（DP）を将来の補完として統合することを提案しており、LLM チャットにおける DP は未解決の問題であると指摘している。