技術的概要：コンピュータ使用エージェントのセキュリティ確保

問題定義

コンピュータ使用エージェント（CUA）は、限定されたベンチマーク環境から、ブラウザ、デスクトップ、モバイルアプリケーション、ファイルシステム、およびツールバックエンドと対話する実世界のソフトウェア環境へと移行しつつある。これらのライブ環境において、信頼性はもはやタスク成功率によってのみ定義されるものではない。むしろ、それは知覚エラー、計画の漂移、メモリ管理、ツールの仲介、権限スコープ、およびランタイム監視の相互作用によって決定されるシステムレベルの性質である。

既存の文献は、主に手法ファミリー、プラットフォームカバレッジ、ベンチマーク目録、または特定のセキュリティ脅威によって CUA の風景を整理している。しかし、能力形成、権限の露出、失敗の顕在化、および制御の配置を明示的に関連付ける統合された座標系が存在しない。具体的には、現在の調査では、失敗が可視化される場所（例えば、ランタイム時）と、その失敗を可能にする条件が導入された場所（例えば、トレーニングデータの選定中または権限のバインディング中）を十分に区別していない。このギャップは、実運用に根ざした信頼性と効果的なガバナンスの開発を妨げている。

手法：アーキテクチャ–ライフサイクル・フレームワーク

このギャップに対処するため、本論文は実運用に根ざした信頼性フレームワークを提案する。これは、アーキテクチャ的視点とライフサイクル的視点という 2 つの分析視点を組み合わせたものである。このフレームワークは、形式的な因果モデルというよりも、ヒューリスティックな診断レンズとして機能する。

1. アーキテクチャ的視点（3 層構造）

このフレームワークは、CUA の振る舞いを、ソフトウェアの観測を権限を伴う行動へと変換する 3 つの結合された層に分解する：

• 知覚（Perception）： スクリーンショット、DOM ツリー、アクセシビリティメタデータ、OCR などの生きたソフトウェア観測から、実行可能な状態を再構築する。設計上の課題は、状態が実行に十分な信頼性を持つことを保証するために、精度（構造化された状態）と移植性（視覚的グラウンディング）のバランスを取ることである。
• 意思決定（Decision）： 不確実性と長期的なプレッシャーの下で、タスク条件付きの意図を維持する。この層は、メモリ拡張推論、制約の保持、検証、およびツールやサブエージェント間でのタスクの分解を処理する。
• 実行（Execution）： 決定を、特定のインターフェース（アトミック入力、プログラム的 API、またはバンドルされたマクロ）を通じて操作に変換する。この層は、行動の「爆発半径」、監査可能性、および回復可能性を決定する。

2. ライフサイクル的視点（4 段階）

このフレームワークは、能力が形成され、束縛され、ストレスを受け、修正される 4 つの明確な段階を通じてエージェントの進化を分析する：

• 作成（Creation）： 事前知識、グラウンディング習慣、目的、および行動の抽象化が学習される段階。ここでのリスクには、トレーニングデータのバイアス、弱い監督、および権限が割り当てられるまで潜在状態にとどまる可能性のある安全でない行動語彙が含まれる。
• デプロイメント（Deployment）： 学習された能力がライブチャネル、ツール、セッション、および権限に束縛される段階。ここでは、抽象的な能力が運用上の権限へと変化する。リスクには、過剰な権限付与、弱い分離、および仲介されないツールの露出が含まれる。
• 運用（Operation）： 能動的な軌道が、混合信頼の入力、部分的な観測可能性、および非同期の環境変化によってストレスを受ける段階。ここでの失敗は、しばしば長期的な漂移、TOCTOU（チェック時使用時）エラー、または意図の希薄化として顕在化する。
• 保守（Maintenance）： モデル–環境–エコシステムのスタックの有効性が漂移に対して維持される段階。リスクには、UI の変更、ツールの更新、および以前の安全性保証を陳腐化させるエコシステムの進化が含まれる。

3. セキュリティおよびプライバシー分析

本論文はこのフレームワークをセキュリティに応用し、構造的脅威分類と帰属レンズを導入する：

• 脅威カテゴリ： 入力側の破損（例：プロンプトインジェクション）、意思決定側の破損（例：メモリ汚染）、および実行側の濫用（例：行動の再バインディング）。
• 帰属レンズ：
  • スコープの越境（SO）： エージェントがユーザーの意図したタスク境界を超えて拡張する。
  • 目的の汚染（OC）： 攻撃者によって制御されたコンテンツが支配的な計画目的となる。
  • 環境の誤バインディング（EM）： 目標は intact（無傷）のままだが、観測/実行層が結果を安全でない方向にリダイレクトする。

主要な貢献

本論文は、コンピュータ使用エージェントの分野に対して 4 つの主要な貢献を行う：

1. 実運用に根ざした信頼性の範囲： CUA の信頼性をベンチマークタスクの成功としてではなく、ソフトウェア観測、タスク条件付き意思決定、権限を伴う実行、メモリ、ツールの使用、および監視の共同特性として再定義する。
2. アーキテクチャ–ライフサイクル・フレームワーク： 3 層アーキテクチャ（知覚、意思決定、実行）と 4 段階ライフサイクル（作成、デプロイメント、運用、保守）を通じて文献を整理し、能力が権限とどのように相互作用するかを分析するための座標系を提供する。
3. 失敗発生源分析： 失敗が可視化される場所と、その失敗を可能にする条件が導入される場所を区別する。これにより、データ選定、権限スコーピング、ランタイム検証などの反復的な介入表面を、特定のアーキテクチャ層およびライフサイクル段階にマッピングすることが可能になる。
4. 制御およびガバナンスマップ： 制御、監視、保証のための反復的な介入表面を特定する。これには以下が含まれる：
   • 作成： データ選定、報酬設計、および安全な行動の抽象化。
   • デプロイメント： 権限スコーピング、出所意識のあるツールの仲介、およびサンドボックス化。
   • 運用： ランタイム検証、計画プレビュー、および較正された人間のエスカレーション。
   • 保守： 継続的な再評価、バージョンのピン留め、および拡張ガバナンス。

結果および知見

本論文は、代表的なシステム、ベンチマーク、およびセキュリティ研究を統合し、以下のことを実証する：

• 能力はライフサイクルに依存する： 「エージェントの能力」はベースモデルの内在的な性質ではなく、表現の選択、デプロイメントの仲介、および回復メカニズムによって共同で形成される。
• 失敗発生源と顕在化： 運用中に可視化される脆い回復経路は、作成段階での弱いグラウンディング監督や、デプロイメント段階での過剰に広範な権限に由来する可能性がある。すべてのランタイム失敗を推論の欠陥として扱うことは、真の制御表面を曖昧にする。
• 制御の配置は段階固有である： セキュリティとガバナンスは、エージェントが構築された後に付加されるものではなく、システムの構造と進化に対して付随させなければならない。例えば、スコープの越境はタスクスコーピングとメモリ境界によって最もよく対処され、環境の誤バインディングは実行仲介と TOCTOU 意識の検証を必要とする。
• オープンデプロイメントパターン： OpenClaw をオープンデプロイメントパターンの動機付けとなる例（検証済みの内部ケーススタディではない）として用い、永続的な流入、ツールの接続性、およびより長寿命のコンテキストを組み合わせることが、デプロイメントの選択が結果としてのリスクの相当部分を占めるリスクプロファイルを作成することを示す。

意義および主張

本論文は、コンピュータ使用の中心的な問題は、画面に何が表示されているかを認識することではなく、何を実行可能な状態として扱うかを決定し、その状態を実際の権限を伴う行動インターフェースにバインドすることであると主張する。

提案されたフレームワークの意義は、以下の点にある：

• 可視化された失敗と上流の原因の分離： ランタイムインシデントは、トレーニング中またはデプロイメント設定中に導入された失敗の顕在化である可能性を明確にする。
• リスクから介入へのマッピング： 一般的な「人間ループ内」のスローガンを超えて、計画プレビュー、ステップ確認、ロールバックなどの具体的で段階に整合したメカニズムへと、意味のある制御を適用できる場所を特定する診断ツールを提供する。
• セキュリティの再定義： セキュリティはアーキテクチャの周辺ではなく、能力、権限、および監視がどのように結合されるかに内在的であると論じる。

本論文は、信頼性の高いコンピュータ使用は、より強力なモデルだけでは達成されないだろうと結論づける。代わりに、それは制御可能な視覚的グラウンディング、デプロイメント意識の評価（権限のバインディングと誤用耐性を測定）、および保守意識のガバナンスに依存しており、これによりモデル、ツール、およびエコシステムがリリース後も管理可能であることを保証する。このフレームワークは、単なるベンチマークパフォーマンスではなく、これらの実運用に根ざした現実を中心に分野を組織化するための基礎的な一歩として機能する。