🤖 AI

SoK: Agentic Skills -- Beyond Tool Use in LLM Agents

この論文は、LLM エージェントの長期的なタスク実行を支える「アジェンティックスキル」のライフサイクル全体を包括的にマッピングし、設計パターンと表現・範囲の 2 つの分類体系を提示するとともに、ClawHavoc 事例に代表されるセキュリティリスクや評価手法、そして実世界での信頼性ある自律エージェント実現に向けた課題を体系的に論じています。

原著者： Yanna Jiang, Delong Li, Haiyu Deng, Baihe Ma, Xu Wang, Qin Wang, Guangsheng Yu

公開日 2026-02-25

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Yanna Jiang, Delong Li, Haiyu Deng, Baihe Ma, Xu Wang, Qin Wang, Guangsheng Yu

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

この論文は、**「AI エージェント（自律型 AI）」がもっと賢く、安全に働くために必要な「スキル（技術）」**についてまとめた、非常に重要な研究報告書です。

専門用語を並べると難しく聞こえますが、実は**「AI に『経験』と『マニュアル』を持たせる仕組み」**について語っているのです。

わかりやすく、いくつかの比喩を使って解説しますね。

🧠 1. 問題：AI は「記憶力」が短すぎる

まず、現在の AI エージェントには大きな弱点があります。
それは、**「毎回、ゼロから考え直してしまう」**ことです。

例え話：
100 回も「プログラミングのバグを直す」作業を成功させた AI があるとします。しかし、101 回目の作業が始まると、AI は**「あ、これは初めて見る問題だ！」**とばかりに、また最初から頭をフル回転させて同じことを考え直してしまいます。
過去の経験（プロシージャル知識）が、会話の文脈が終わると消えてしまうからです。

🛠️ 2. 解決策：AI の「スキル（Agentic Skills）」

この論文が提案しているのは、AI に**「スキル」**というものを導入することです。

スキルとは？
単なる「道具（ツール）」や「その時の計画」ではなく、**「いつでも使える、信頼できる『作業マニュアル』や『熟練者のコツ』」**のことです。
- 道具（ツール）： 計算機や検索機能（単発で動く）。
- スキル： 「複雑なバグを直す手順書」や「旅行の予約を完結させる一連の流れ」など、「条件が合えば自動的に実行できる、まとまった作業パッケージ」。

これを AI に持たせることで、AI は「毎回ゼロから考える」必要がなくなり、**「経験則（プロシージャル記憶）」**を使って瞬時に行動できるようになります。

📚 3. スキルの「7 つの作り方（デザインパターン）」

スキルは、ただ一つの方法で作られるわけではありません。論文では、7 つの異なる「作り方のスタイル」を分類しました。

メタデータ駆動（目次から選ぶ）：
AI が「今何が必要か」を見て、必要なマニュアルの「目次」だけを読み、実行時だけ詳細を読み込む方式。
- 例：辞書の索引を見て、必要なページだけ開く感じ。
コード・アズ・スキル（実行可能なスクリプト）：
スキルそのものを「プログラムコード」として書く方式。最も確実で、テストもしやすい。
- 例：料理のレシピを、そのまま調理ロボットが実行できるプログラムにする。
ワークフロー強制（厳格な手順）：
「まずテストを書き、次にコードを書く」といった**「絶対に外せない手順」**をルール化して守らせる方式。
- 例：飛行機の離陸前のチェックリストを、パイロットが飛ばない限り飛ばないよう強制する。
自己進化型ライブラリ（AI が自分で作る）：
AI が失敗と成功を繰り返して、**「自分自身で新しいスキルを作り、蓄積していく」**方式。
- 例：料理人が失敗したレシピを改良し、次の日からはより美味しいレシピを自分で作って本にまとめる。
ハイブリッド（言葉＋コード）：
「人間が読む説明書」と「機械が読むコード」を混ぜたもの。
メタスキル（スキルを作るスキル）：
既存のスキルを分析して、「さらに新しいスキルを作るスキル」。
マーケットプレイス（アプリストア）：
世界中の誰かが作ったスキルを、「アプリストア」のように配布・共有する方式。

⚠️ 4. 危険性：「ClawHavoc（クロー・ハボック）」事件

ここが最も重要な部分です。スキルは便利ですが、**「危険なスキル」**が混入すると大惨事になります。

実際の事件（ClawHavoc）：
論文では、ある AI スキル共有サイト（ClawHub）で、**1,200 個以上の「悪意あるスキル」**がばらまかれた事件を分析しています。
- 何が起きた？
  悪意あるハッカーが、「便利なツール」と見せかけて、**「あなたのパスワードや暗号資産（仮想通貨）の鍵を盗む」**というスキルを配布しました。
- 結果：
  多くのユーザーの AI が、そのスキルを信じて実行し、銀行口座や暗号資産ウォレットから資産を盗み出されてしまいました。
- 教訓：
  「アプリストア」のように誰でもスキルを配布できるようになると、「信頼できるスキル」と「悪意あるスキル」を見分けるのが極めて難しくなることがわかりました。

🛡️ 5. 安全な運用のために

この危険に対処するために、論文は以下のような対策を提案しています。

信頼の階層（Trust Tiers）：
スキルを「レベル 1（説明だけ見る）」から「レベル 4（自由に実行）」まで段階的に信頼度を上げ、いきなり全権限を与えない。
サンドボックス（隔離された部屋）：
スキルを実行するときは、AI の本体から隔離された「隔離された部屋」で実行し、万一の被害を最小限に抑える。
検証（Verification）：
AI が自分で作ったスキルは、人間が作ったスキルに比べて**「失敗する可能性が高い」**というデータがあります。そのため、AI 生成のスキルには特に厳しいチェックが必要です。

🚀 6. まとめ：AI の未来はどうなる？

この論文が伝えたかった核心は以下の 3 点です。

スキルは AI の「経験」を保存する箱：
これにより、AI は毎回ゼロから考えず、熟練者のように動けるようになります。
質が命：
手作業で丁寧に作られた「厳選されたスキル」は AI を劇的に強くしますが、AI が勝手に作った「質の低いスキル」は、逆に AI をバカにしてしまうことがあります。
セキュリティが最重要：
スキルを共有する「アプリストア」のような仕組みは便利ですが、「悪意あるスキル」が混入すると、AI が犯人の手下になってしまうリスクがあります。

一言で言うと：
「AI に『熟練者のマニュアル』を持たせて賢くしようという話ですが、そのマニュアルが『ハッカーに書き換えられた偽物』だったら、AI は大暴れしてしまいます。だから、『誰が作ったか』『中身は安全か』を厳しくチェックする仕組みが、これからの AI には不可欠です」というメッセージです。

SoK: Agentic Skills — Beyond Tool Use in LLM Agents

技術的サマリー（日本語）

本論文は、大規模言語モデル（LLM）エージェントにおける「アジェンティック・スキル（Agentic Skills）」という概念を体系的に整理し、その定義、ライフサイクル、設計パターン、セキュリティリスク、および評価手法を包括的に分析したシステマティク・オブ・ナレッジ（SoK）論文です。

1. 問題定義と背景

LLM エージェントは、単発の質問応答から、ウェブ閲覧、ソフトウェア開発、ツール連携などを行う自律的なシステムへと進化しました。しかし、根本的な非効率性が残っています。

文脈の限界: エージェントは各タスクに対して、ゼロから実行戦略を再構築する必要があり、過去の経験（手続き的知識）がコンテキストウィンドウの終了とともに失われます。
ツールと計画の限界: 既存の「ツール（原子操作）」や「計画（一時的な推論の足場）」では、繰り返し発生するタスクパターンを効率的に再利用・管理できず、信頼性やスケーラビリティに課題があります。
解決の必要性: 経験から得られた手続き的知識を、再利用可能で管理可能なモジュールとして定着させる「スキル」の層が必要とされています。

2. 手法とアプローチ

著者は以下の体系的な手法を用いて研究を遂行しました。

文献調査: Google Scholar, arXiv, IEEE Xplore などの 6 つのデータベースから、2020 年 1 月から 2025 年 2 月までの論文を網羅的に検索。Seed paper（Voyager, ReAct, SWE-agent など）からの引用追跡も実施。
コーパス分析: 180 件の候補論文から、厳格な選定基準（再利用可能な手続き的能力の導入・実装・評価を含むもの）に基づき 65 件の論文を抽出。そのうち 24 件の主要システムを深掘り分析。
分類法の開発: 分析対象システムの特徴マトリクスを構築し、ボトムアップのアプローチで 7 つの設計パターンと、表現×スコープの直交分類法を導出しました。

3. 主要な貢献

A. アジェンティック・スキルの形式的定義

スキルを、以下の 4 つのタプルとして定義し、ツールや計画、記憶との明確な境界を引きました。
$S = (C, \pi, T, R)$

$C$ (適用条件): 現在の観測と目標に基づき、スキルが適用可能かどうかを判定する述語。
$\pi$ (実行ポリシー): 観測と履歴からアクションや他のスキル呼び出しを生成する実行可能ロジック（自然言語、コード、学習済みポリシーなど）。
$T$ (終了条件): スキルが完了（成功または失敗）したかを判定する条件。
$R$ (再利用可能インターフェース): 名前、パラメータ、戻り値を定義する呼び出し可能な API 契約。

B. スキルライフサイクルモデル

スキルを静的なアーティファクトではなく、進化し続けるシステムコンポーネントとして捉え、以下の 7 つの段階を定義しました。

発見 (Discovery): 反復するタスクパターンの特定。
実践/洗練 (Practice/Refinement): 試行錯誤とフィードバックによる改善。
蒸留 (Distillation): 軌跡から一般化された手続きを抽出し、形式化。
保存 (Storage): インデックス付け、バージョン管理、メタデータ付与。
検索/構成 (Retrieval/Composition): 実行時のスキル選択とワークフローへの組み込み。
実行 (Execution): サンドボックス内でのポリシー実行。
評価/更新 (Evaluation/Update): パフォーマンス監視と修正・廃棄。

C. 7 つの設計パターン

スキルがシステムレベルでどのようにパッケージ化・実行されるかを分類しました。

メタデータ駆動の progressive disclosure: 必要な時だけ詳細をロードし、コンテキストを節約。
コード・アズ・スキル: 実行可能スクリプトとして表現（決定性が高い）。
ワークフロー強制: 厳格な手順（例：TDD）をエージェントに強制。
自己進化型スキルライブラリ: エージェントが自律的にスキルを生成・更新。
ハイブリッド NL+コード: 自然言語の説明と実行可能コードの組み合わせ。
メタスキル: 他のスキルを生成・構成するスキル。
プラグイン/マーケットプレイス配布: 外部からのスキル配布エコシステム。

D. 表現×スコープ分類

表現軸: 自然言語、コード、ツールマクロ、ポリシー（学習済み）、ハイブリッド。
スコープ軸: 単一ツール、マルチツール、Web 操作、OS/デスクトップ、ソフトウェア工学、ロボティクス。

E. セキュリティとガバナンス分析

スキル層が新たな攻撃対象領域（アタックサーフェス）をもたらすことを指摘し、以下の脅威を分析しました。

ClawHavoc ケーススタディ: OpenClaw のスキルマーケットプレイス「ClawHub」において、約 1,200 件の悪意あるスキルが流入し、API キー、暗号資産ウォレット、ブラウザ認証情報を大規模に窃取した事案を分析。
攻撃ベクトル: メタデータ汚染（検索結果の操作）、悪意あるペイロード（コードインジェクションやプロンプトインジェクション）、適用条件の汚染、環境ドリフトによる悪用など。
対策: 4 段階の信頼ティア（メタデータのみから完全自律実行まで）、サンドボックス化、プロヴェナンス署名、依存関係監査の必要性を提唱。

F. 評価フレームワークと結果

SkillsBench ベンチマーク分析: 86 タスク、7,308 回の軌跡を用いた評価。
- キュレーションされたスキル: 平均でパス率を16.2 ポイント向上（特に医療・製造分野で劇的）。
- 自己生成スキル: 平均で1.3 ポイント低下（品質管理なしの自己生成は性能を劣化させる）。
- モデルサイズとの関係: 適切なスキルを備えた小型モデルは、スキルなしの大型モデルを上回る性能を示す可能性（スキルは計算リソースの等価物として機能）。

4. 結果と知見

品質とスケーラビリティのトレードオフ: 人間がキュレーションしたスキルは信頼性が高いがスケーラビリティに劣り、自己生成はスケーラブルだが品質が不安定。
ドメイン依存性: スキルの効果はドメインによって大きく異なり、事前学習データが手続き的知識に乏しい分野（医療、製造）で最も恩恵を受ける。
セキュリティの重要性: マーケットプレイス型配布（パターン 7）は急速に成長する一方、ガバナンスが追いついておらず、サプライチェーン攻撃のリスクが極めて高い。

5. 意義と今後の課題

本論文は、LLM エージェントの進化において「ツール使用」から「スキル管理」へのパラダイムシフトを理論的に裏付けました。

理論的基盤: スキルを形式化し、ライフサイクル全体を網羅する分類法を提供したことで、研究と実装の共通言語を確立。
実用性への示唆: 自律エージェントを現実世界に展開するには、単なる能力の拡張だけでなく、検証可能で、信頼でき、管理可能なスキルの構築が不可欠であることを示唆。
今後の課題:
- 自律的なスキル生成における検証の自動化（CI/CD パイプラインの導入）。
- 教師なしでのスキル発見手法の確立。
- 多様な表現形式（特に自然言語）に対する形式的検証技術の開発。
- 環境ドリフトに対するロバスト性の確保。
- マーケットプレイスにおける責任と経済モデルの明確化。

本論文は、信頼性の高い自律エージェントの実現に向けて、スキルという抽象化が中核的な役割を果たすことを示し、その設計、セキュリティ、評価に関する包括的なロードマップを提供しています。