技術概要：CAESAR – 自動化されたサイバー侵入のための調整型マルチエージェントフレームワーク

1. 問題定義

大規模言語モデル（LLM）は、脆弱性の選別やエクスプロイトの作成など、攻撃的セキュリティタスクにおいて能力を示しています。しかし、現在の単一エージェントアプローチは、証拠の抽出、計画、実行、検証といった侵入ワークフロー全体を、単一の会話コンテキストに圧縮しています。この圧縮により、特に高度持続的脅威（APT）のような複雑で多段階のキャンペーンにおいて、コンテキストのドリフト、誤りの伝播、および幻覚が生じます。

現実世界の侵入キャンペーンは、偵察、仮説形成、エクスプロイト構築、侵害後の活動といった相互依存するフェーズを必要とし、これらは単一の LLM 呼び出しの実用的なトークン予算やメモリの一貫性を超えています。既存のマルチエージェントシステムは、一般的な協調や議論に焦点を当てることが多く、敵対的な多段階推論に必要な役割の境界、アーティファクトの由来、および厳格なコスト制約（トークン、時間、リスク）を明示的にモデル化できていません。その結果、単一エージェントのパイプラインは、バイナリ解析や代数推論のような異質なドメインにおいて収束しない試行錯誤の連鎖に陥ることがよくあります。

2. 手法：CAESAR フレームワーク

本論文は、構造化されたラウンドベースのプロトコルを通じて侵入スタイルのワークフローを実用化するために設計された、調整型マルチエージェントフレームワークであるCAESAR（Coordinated Adversarial Execution and Strategic Reasoning：調整型敵対的実行と戦略的推論）を提示します。

A. 形式モデルとアーキテクチャ

CAESAR は、有界な運用予算 $\Gamma = \langle c_{tok}, c_{time}, c_{risk} \rangle$ を持つターゲット環境 $E$ 上で動作するタプル $F = \langle R, E, K, W, \Pi, V \rangle$ として形式化されます。このフレームワークは、ワークフローを 5 つの型付けされた役割演算子に分解します。

1. 探偵（Detective, D）： ターゲット環境から重要な特徴と証拠を抽出します。
2. 戦略家（Strategist, S）： 証拠を仮説グラフに整理し、代替の解決経路を構築します。
3. 司令官（General, G）： 仮説を予算ベクトルに対して評価し、実行可能な計画を選択して、特定の遂行者にアクションを割り当てます。
4. 遂行者（Executor, E）： デバッガー、逆アセンブラなどのドメイン固有ツールを呼び出して、原子操作を実行します。
5. 検証者（Validator, V）： 実行トレースを検査し、結果を検証して、信頼性の高いパターンを永続的な知識ベースへ昇格させるかどうかを管理します。

B. ラウンドプロトコル

フレームワークは離散的なラウンドで実行され、各ラウンドは 6 つの段階を経て進行します。

1. 初期化： 永続的な知識ベース（$K$）の読み取り専用スナップショットが、そのラウンド用に作成されます。
2. 証拠収集： 探偵が限定された観測アクションを発行し、構造化された証拠アーティファクトを生成します。
3. 仮説構築： 戦略家が、現在の証拠と $K$ から再利用可能なパターンを用いて仮説グラフを構築します。
4. 計画形成： 司令官が、成功確率とトークン、時間、リスクのコストをバランスさせる効用関数 $U_G$ を用いて仮説をスコアリングします。計画は交渉され、遂行者に割り当てられます。
5. タスク実行： 遂行者がツールを呼び出し、構造化されたトレースを出力します。
6. 評価と昇格： 検証者がすべてのアーティファクトをスコアリングします。昇格閾値 $\tau_{prom}$ を超えるもののみが、型付けされたエントリ（パターン、機能、またはフィードバック）として永続的な知識ベース $K$ にコミットされます。

C. 主要なメカニズム

• 検証者ゲート付き知識昇格： 誤りの増幅を防ぐため、検証され、高信頼性のアーティファクトのみが $K$ に昇格されます。これにより、後続のラウンドは幻覚された状態ではなく、検証済みの観測に基づいて構築されます。
• 型付けされたアーティファクトと由来： すべてのアーティファクトは、タイプ、コンテンツハッシュ、由来リンクを保持しており、検証者が仕様に対して中間製品を監査することを可能にします。
• 予算認識型計画： 司令官は明示的にトレードオフベクトルを最適化し、計画がトークン、時間、リスクの制限内に留まることを保証します。
• 書き込みの分離： 役割は、それぞれの特定のワークスペースパーティションへの書き込みアクセスを隔離されており、検証者が共有知識ベースへの唯一の書き込み担当となります。

3. 主要な貢献

1. フレームワークの提案： 役割の専門化、検証者ゲート付きメモリ、および予算認識型計画を、形式化された型付けラウンドプロトコル下で実用化する CAESAR の導入。
2. 体系的評価： 25 の現実世界の CTF チャレンジ（Reverse, Pwn, Crypto, Misc, Web）を4 つの現代的な LLM バックエンド（GPT-5, Gemini 2.5, Grok-4, DeepSeek-R1）で包括的に評価。
3. 一般化研究： 協調パターンが社会的エンジニアリングによる浸透シナリオへ転用可能であることを示す二次的な研究。単一エージェントのベースラインと比較して、より高い抽出成功率と低い検出リスクを達成。
4. 防御的示唆： 攻撃強度の発現を駆動するのは、生身のモデル能力ではなく、協調構造であるという実証的証拠。これは、役割ダイナミクスの構造的監視の必要性を示唆しています。

4. 結果と分析

評価は、同一のツールアクセスと予算制約の下で、CAESAR を単一エージェントのベースラインと比較しました。

• 成功率と効率性： CAESAR は、5 つのすべての CTF カテゴリにおいて、タスクの成功率を一貫して向上させ、解決までの時間を短縮しました。例えば、GPT-5 を使用した Reverse カテゴリでは、成功率が +0.36 向上し、解決時間が単一エージェントの約 54 分からマルチエージェントの約 24 分に短縮されました。
• 適応的行動： フレームワークは適応的学習を示しました。少数の成功ラウンド後にパフォーマンスが安定し、検証者ゲート付きメモリが誤りの増幅を抑制しました。検証者によって割り当てられた役割スコアは、成功した実行の近くで再構成を示し、システムが検証済みのフィードバックから学習したことを示しています。
• バックエンド非依存性： 協調の恩恵は、4 つのすべての LLM バックエンドで一貫していました。生身の性能はモデルによって異なりました（例：Grok-4 は Crypto タスクでより高い推論スコアを示すなど）が、マルチエージェント構造によって提供される相対的な利益は安定していました。これは、改善が特定のモデル能力ではなく、協調プロトコルに起因することを示唆しています。
• 社会的エンジニアリングへの転用： 社会的エンジニアリング研究において、マルチエージェントチームはラウンド 10 までに3/3 の秘密を検知されずに獲得しましたが、単一エージェントのベースラインは1/3のみでした。マルチエージェントアプローチは、検知をトリガーする直接プロービングから、間接的な引き出し戦略へと成功裏にシフトしました。

5. 意義と主張

本論文は、観察された攻撃の有効性を支配しているのは、生身のモデルの知能ではなく、協調であると主張しています。

• 構造的脆弱性： 発見事項は、将来の AI 駆動型敵対者は、単一の「超知能」インスタンスではなく、ラウンド全体で部分的な情報を交換し、戦略を洗練する分散型アンサンブルとして現れる可能性が高いことを示唆しています。
• 防御への示唆： 現在のコンテンツレベルの保護策（入力/出力フィルター、アライメント層）は、メッセージを個別に評価するため、不十分です。協調型攻撃者は意図を役割とラウンドに分散させるため、有害なシグナルはメッセージが相関したときにのみ顕在化します。
• 防御の転換： 著者らは、防御がコンテンツベースのフィルタリングから、役割ダイナミクス、アーティファクトの由来、およびメッセージ間戦略形成の構造的監視へ移行する必要があると主張しています。CAESAR によって外部化されたプロトコルレベルのシグナル（例：エージェント間での保護対象への繰り返し参照、漸進的な役割の専門化）は、構造的防御に必要な量として提案されています。

認められた限界

著者は明示的に以下の点を指摘しています。

• CTF チャレンジは、能動的な防御者や永続的な制約を欠く、現実の侵入に対する単純化された代理です。
• このフレームワークは、稼働中の強化されたプロダクションシステムに対してテストされていません。
• 社会的エンジニアリング研究は、実在の人間ではなく LLM ベースのペルソナを使用しており、実際の人間の認知に対する運用上の有効性に関する主張は制限されます。
• プロトコルは協調的なエージェントを前提としており、ビザンチン型または欺瞞的な役割は対象外です。