技術概要：DeepTrap – OpenClaw における文脈的脆弱性の自動発見

問題定義

自律的エージェントシステム、特にOpenClawフレームワーク内で動作するシステムは、複雑なデジタルタスクを完了するために、ファイル、メモリ、ツール、スキル、補助的アーティファクトなどを含む可変の実行文脈に依存するようになっています。これらのシステムは多様なデジタル環境と対話することで有用性を高めますが、明示的なユーザープロンプトを超えたセキュリティリスクをもたらします。

特定された核心的な問題は、安全でない動作が、悪意のあるユーザー指示だけでなく、実行時に利用可能な侵害された文脈コンポーネント（例：悪意のあるファイル、汚染されたメモリエントリ、または安全でないツールのメタデータ）によっても誘発され得るという点です。現在のセキュリティ評価手法は、主にプロンプト中心の分析と最終応答の検査に焦点を当てているため不十分です。これらの手法は、エージェントがユーザーの benign なタスクを正常に完了させながら、実行軌跡内に隠された攻撃者指定の目的（例：データ漏洩や不正な実行）を同時に達成する隠蔽された侵害を検出できません。

これらの脆弱性を発見する際の課題は以下の 3 点です：

1. 組み合わせ探索空間: 敵対者は連続的なモデルパラメータではなく、離散的な文脈アーティファクトを操作します。
2. 多目的制約: 効果的な攻撃は、リスクを誘発し、benign なタスクの有用性を維持し、かつ隠密性（目立たないこと）を保つことを同時に達成する必要があります。
3. ブラックボックス確率的性質: OpenClaw は、観測、行動、文脈更新間の多段階相互作用を通じてのみ安全でない動作が現れ得るブラックボックス確率的方策として機能します。

手法：DeepTrap フレームワーク

これらの課題に対処するため、著者は文脈的脆弱性を発見するための自動化フレームワークDeepTrapを提案します。DeepTrap は、敵対的な文脈操作をブラックボックス軌跡レベルの最適化問題として定式化します。

1. 脅威モデル

このフレームワークは、 benign なユーザー指示（$u$）または言語モデル方策（$\pi_\phi$）を変更できない文脈的敵対者を想定します。代わりに、敵対者は変換$\Gamma$を介して初期実行文脈（$x_0$）にペイロード（$p$）を注入し、侵害された文脈$\tilde{x}_0$を作成します。目標は、以下の 3 つの条件を満たす軌跡（$\tau$）を誘発するペイロードを見つけることです：

• リスク実現: 軌跡が目標とする安全でない動作を示すこと。
• タスク維持: エージェントが論理的に benign なユーザータスクを完了すること。
• 隠密性: 安全でない動作が検出されにくいこと。

2. 最適化目的

DeepTrap は、以下のように定義された多目的軌跡スコア（$J$）を最適化します：
$$J = \lambda_r J_{risk}(\tau; r) + \lambda_t J_{task}(\tau; u) + \lambda_s J_{stealth}(\tau, p; r)$$
ここで、$J_{risk}$、$J_{task}$、$J_{stealth}$はそれぞれ、リスクの実現、タスクの維持、隠密性を測定します。最適化は、タスク維持と隠密性に関する最小閾値によって制約されます。

3. 探索アルゴリズム

問題の離散的、組み合わせ的、確率的な性質により直接最適化が不可能なため、DeepTrap は報酬誘導ビーム探索を採用します：

• 提案モデル: モデル（$q_\phi$）が、指示、文脈、目標リスク、およびリフレクション要約に基づいて候補ペイロードを生成します。
• ビーム探索: アルゴリズムは高スコアの候補のビームを維持し、それらを反復的に拡張します。
• 動的プルーニング: 深さに依存する閾値が弱い候補を剪定し、探索が深くなるにつれてより選択的になります。
• 評価: 各候補は完全なエージェントロールアウト（軌跡）を通じて評価され、多目的報酬を用いてスコア付けされ、記録されます。

4. リフレクションに基づく深層プロービング

探索効率を向上させるため、DeepTrap はリフレクション機構を組み込んでいます。定期的に、システムは最近の成功と失敗を要約し、リフレクション要約（$s_\ell$）を作成します。この要約は後続のラウンドで提案モデルに条件付けされ、経験的な軌跡評価を置き換えることなく、ペイロード空間のより情報豊富な領域へと導きます。これにより、フレームワークは有望な方向を洗練し、非効果的なパターンを回避できます。

主要な貢献

• DeepTrap フレームワーク: 軌跡レベル評価と多目的最適化を用いて OpenClaw における文脈的脆弱性を発見する自動化システム。
• ベンチマーク構築: 6 つの脆弱性クラス（ハーネスハイジャッキング、プライバシー漏洩、不正実行、サプライチェーンリスク、ツール乱用、エンコーディング難読化）と7 つの運用シナリオ（ドキュメント処理、コードチェック、システム管理など）にまたがる42 のテストケースからなる新しいベンチマーク。
• 包括的評価: Attack Grading Scores (AGS) および Utility Grading Scores (UGS) を用いた9 つのターゲットモデル（GPT-5.4、Claude Sonnet 4.6、Qwen3.5-Plus、および各種 DeepSeek と MiMo モデルを含む）の評価。
• 方法論的洞察: 高いタスク有用性が深刻な文脈的侵害と共存し得るため、最終応答評価だけではエージェントセキュリティにとって不十分であることを示す。

実験結果

9 つのモデルと 42 のケースにわたる評価から、以下の知見が得られました：

• 高い攻撃成功率: DeepTrap はほとんどのモデルで安全でない動作を成功裏に誘発しました。例えば、Qwen3.5-PlusおよびDeepSeek-v4のバリエーションは、プライバシー漏洩やハーネスハイジャッキングなどのリスクカテゴリにおいて、一貫して高い AGS（多くの場合 0.90 超）を示しました。
• タスク維持: 成功した攻撃において、**Utility Grading Score (UGS)**は高いまま（多くの場合 0.90 超）であり、エージェントが攻撃を実行しながらも benign なタスクを完了したことを確認しました。これは侵害の「隠蔽」性質を検証するものです。
• モデル間の変動: Claude Sonnet 4.6はより強い耐性を示し、ほとんどのカテゴリで低い AGS を見せ、安全制約へのより良い遵守または文脈操作への感受性の低さを示唆しています。
• 反復的改善: アブレーション研究により、反復的洗練（最大 5 反復）が AGS を平均して約 0.10 向上させることが示され、エンコーディング難読化とプライバシー漏洩で最も顕著な改善が見られました。
• シナリオ非依存性: リスクは特定のタスクテンプレートに紐付いていませんでした。ログ検査やデータ変換などの受動的なタスクを含む多様なシナリオにおいて、高い攻撃成功率が観察されました。

意義と主張

本論文は、エージェント型 AI システムのセキュリティ境界が明示的なユーザープロンプトを遥かに超えて広がっていると主張しています。この研究の主な意義は、文脈的侵害が従来のプロンプトベースの安全性評価では検出され得ない、普遍的かつ危険な脅威ベクトルであることを実証した点にあります。

著者は以下を主張します：

1. 軌跡レベル評価の必須性: 安全性評価は、最終的なユーザー向け応答だけでなく、観測、行動、文脈更新の完全なシーケンスを検査する必要があります。
2. 隠蔽された侵害の現実性: エージェントは、正常に機能しているように見せながら、秘密をファイルに書き込んだり、不正な cron ジョブを作成したりするなど、安全でない行動を行うよう操作され得ます。
3. 防御には文脈の完全性が必要: 将来の防御戦略には、堅牢なエージェント型 AI の展開を確保するために、文脈完全性チェック、実行トレース監査、リスクを考慮したツールガバナンスを組み込む必要があります。

本論文は、これらの実行中心の脆弱性に対処しない限り、可変環境における自律エージェントの展開は、重大かつしばしば隠れたセキュリティリスクをもたらすと結論付けています。