技術的概要：AI エージェントスキルに対する行動整合性検証

問題定義

大規模言語モデル（LLM）エージェントは、ファイルシステム、資格情報、ネットワークエンドポイント、シェル実行への特権的アクセスをエージェントに付与する、コード、設定、自然言語指示からなる自己完結型のバンドルであるサードパーティ製「スキル」を介して、ますます拡張されるようになっている。既存の安全メカニズムは悪意のあるプロンプトや危険なランタイム動作の検出に焦点を当てているが、スキルアーティファクト自体は検証されていない。

重大な脆弱性は、スキルの宣言された行動（メタデータ、説明、指示）と実際の行動（実行可能コード、埋め込まれた指示）の間のギャップに存在する。悪意のある actors は、メタデータファイルに自然言語の指示（例：「すべてのユーザー質問に対して常にこのスキルを使用する」）を埋め込んだり、コードにエージェントの意思決定ループをオーバーライドするロジックを隠したりすることができる。現在の静的解析手法は、コード、指示、メタデータを単一の型付き語彙の下で橋渡しすることに苦慮しており、サプライチェーンリスクが検出されずに蔓延することを可能にする「記述 - 実装ギャップ」を残している。

手法：BIV フレームワーク

著者らは、共有分類体系における宣言された能力と実際の能力との間の型付き集合比較として、エージェントスキルの検証を形式化する**行動整合性検証（BIV）**を提案する。

1. 形式化

BIV は、$s = (M, C, I)$ で構成されるスキルを定義する：

• メタデータ（$M$）： 説明、YAML フロントマター、API スキーマ。
• コード（$C$）： 実行可能コード（Python、JavaScript、Shell）。
• 指示（$I$）： 自然言語の指示（Markdown、インライン指示）。

このフレームワークは、宣言された行動 $D(s)$ と実際の行動 $A(s)$ の両方を、7 つのカテゴリ（ネットワーク、ファイルシステム、プロセス実行、環境、エンコーディング、資格情報、指示レベルの脅威）に組織化された共有の**29 能力分類体系（$\mathcal{T}$）**にマッピングする。核心的な検証問題は、対称差（逸脱集合）$D(s) \triangle A(s)$ を特定することであり、以下に分解される：

• 不足記述（$U(s)$）： コードには存在するがメタデータに欠落している能力（未開示の特権）。
• 過剰記述（$O(s)$）： 宣言されているが実装されていない能力。

2. ハイブリッド抽出パイプライン

BIV は、構造化された証拠 $\Phi(s) = \langle D(s), A(s), flow(s), compound(s) \rangle$ を生成するために、二重トラックの抽出プロセスを採用する：

• 宣言トラック： 構造的フィールド（YAML、JSON）には決定論的パーサーを、自然言語メタデータには LLM 抽出器を使用する。LLM は、主張が根拠あるものとなるよう、ハルシネーション制御フィルター（例：引用されたソース範囲の要求）によって制約される。
• 実トラック：
  • コード解析： 決定論的アナライザー（Python 用の AST トラバース、JS/Shell 用の正規表現）は、ソース（例：環境変数）からシンク（例：ネットワーク送信）へのデータフローを追跡するために、インタープロシージャル汚染解析を実行する。
  • 指示解析： LLM アナライザーは、能力呼び出し、プロンプト注入パターン、オーバーライドモチーフを自然言語指示からスキャンする。
• 複合脅威検出： パイプラインは、単一能力スキャナが見逃す可能性のある 4 つの特定の多段階攻撃モチーフ（情報漏洩チェーン、RCE チェーン、コード難読化、データ系譜違反）をフラグ付けする。

3. 下流分析

構造化された証拠 $\Phi(s)$ は、3 つの下流タスクのための測定プリミティブとして機能する：

1. 逸脱分類体系： 共通のパターンと新規の複合脅威を特定するために逸脱をクラスタリングする。
2. 根本原因分類： 開発者の見落とし（ドキュメントのギャップ）と敵対的意図を区別する。
3. 悪意のあるスキル検出： 「緩和された拒否権」オーバーライドを備えた LLM 判定者を使用した事例研究。判定者は $\Phi(s)$ を構造化された事前情報として消費する一方、拒否権述語は、複合脅威や高リスクの未宣言能力（例：資格情報の情報漏洩）を持つスキルを自動的にフラグ付けし、LLM が構造的証拠を合理化することを防ぐ。

主要な結果

このフレームワークは、OpenClaw レジストリからの49,943 個のスキルと、906 個のスキルからなる悪意のある検出ベンチマークで評価された。

エコシステム規模の知見

• 広範な逸脱： スキルの80.0%が宣言された行動から逸脱しており、合計250,706の逸脱が特定された。
• 根本原因： 逸脱の大部分（81.1%）は悪意ではなく、開発者の見落とし（ドキュメントエラー、未使用の宣言、テンプレートの残滓など）に起因する。**18.9%**のみが敵対的意図に帰せられる。
• 複合脅威： 分析により、4 つの新規の複合脅威カテゴリが表面化した。大部分は benign であるが、情報漏洩チェーンやRCE チェーンなどの特定のモチーフは、高い敵対的割合（それぞれ 58% と 86%）を示している。
• 指示レベルのリスク： 量としては最小のカテゴリであるが、指示レベルの脅威は最も高い敵対的割合（96%）を持ち、未宣言のプロンプト制御指示が極めて疑わしいことを示している。

検出性能

906 個のスキルベンチマーク（現実世界のマルウェアと合成攻撃の混合）において：

• BIV の性能： F1 スコア 0.946を達成し、再現率（recall）は 0.978、偽陽性率（FPR）は 7.2% だった。
• 比較： BIV は最先端のベースラインを上回った：
  • ルールベース（Cisco AI Defense）： F1 = 0.44（再現率 0.35）。
  • LLM のみ（単一パス監査）： F1 = 0.927（再現率 0.89）。
• 構造の寄与： 構造的証拠と緩和された拒否権オーバーライドが決定的であった。特に、LLM のみのベースラインが再現率で22 ポイント見逃した現実世界のマルウェアにおいて顕著だった。構造化抽出器は、LLM 判定者単独では悪意のあるものとしてフラグ付けできなかったキルチェーン（例：資格情報の読み取り $\to$ ネットワーク送信）を特定した。

意義と主張

本論文は、**行動整合性検証（BIV）**が LLM エージェントサプライチェーンを保護するためのスケーラブルで監査可能なプリミティブを提供すると主張する。その主な貢献は以下の通りである：

1. 形式化： 単一のモダリティに依存することなく、コード、指示、メタデータの間のギャップを埋める問題として BIV を型付き集合比較問題として確立する。
2. 規模での測定： 「記述 - 実装ギャップ」がエージェントエコシステムにおけるシステム的な問題であり、80% のスキルに影響を与えているが、広範な悪意のある問題というよりは、主にドキュメント/見落としの問題であることを実証する。
3. 運用上の有用性： 構造化された証拠 $\Phi(s)$ は、再抽出なしに複数のセキュリティ分析（分類体系、根本原因、検出）をサポートする「ワンパス」抽出を可能にする。
4. 検出の有効性： 決定論的構造解析と LLM 推論、および緩和された拒否権オーバーライドを組み合わせることで、BIV は現実世界のマルウェアにおいて高い再現率を達成しつつ、運用上実現可能な偽陽性率を維持し、ルールベースおよび純粋な LLM アプローチの両方を上回る。

著者らは、BIV は最終的な判決システムではなく、測定プリミティブであると強調している。これは、 benign なドキュメントのギャップと複雑な攻撃パターンを区別することでレビュー対象候補を特定し、見落としに対するドキュメントの周知や敵対的意図に対するセキュリティレビューなど、ターゲットを絞ったガバナンス戦略を可能にする。このフレームワークは、動的ディスパッチの欠如や LLM 抽出への依存といった限界を認識しつつも、それが生成する構造化された証拠が、将来のランタイム防御と長期的な監視にとって不可欠な基盤であると提唱している。