技術的サマリー：スリーパーチャネルとプロベナンスゲート

問題定義：スリーパーチャネル

本論文は、OpenClaw や Hermes Agent などの「常時稼働型」自律 AI エージェントにおいて、「スリーパーチャネル」と呼ばれる新たな脅威クラスを特定している。従来のプロンプトインジェクションが通常、単一のターンまたはセッション内で発生するのに対し、スリーパーチャネル攻撃は、入力 ($T_0$) と効果 ($T_1$) を時間、ストレージ基盤、通信表面の面で切り離す。

このシナリオでは、グループチャットやメールなどの信頼できない入力源からの入力がエージェントに取り込まれ、メモ、自己作成スキル、スケジュールされたジョブ、またはファイルシステムのパッチとして永続化する。このアーティファクトは、後続の所有者からのリクエストや自律ループといった健全なトリガーによって取得・実行されるまで、エージェントの権限境界内で生存し続ける。攻撃は、入力とは異なる表面を通じて発火し、多くの場合、エージェントが所有者に代わってコマンドを実行するが、そのコマンドのパラメータが信頼できないソースから由来していることに気づかない「混乱した代理人（confused deputy）」状態を利用する。

著者らは、このクラスを以下の 2 つの軸で定義している：

1. 永続化基盤（Persistence Substrate）： 悪意のある指示が生存する場所（メモリ、自己作成スキル、ファイルシステム、スケジュール/外部トリガー）。
2. 発火分離（Firing-Separation）： 入力と実行の間の切り離れの度合い（同一セッション、チャネル間、アクター間、実行コンテキスト間）。

本論文は、既存の文献がこれらの機能を単一のターンでのインジェクションやメモリの汚染など個別に扱っており、多基盤の永続化と遅延・クロス表面発火を組み合わせた統合的な脅威に対処できていないと主張している。

方法論と脅威モデル

著者らは、攻撃者が「信頼されていないが承認された（untrusted-but-admitted）」存在であるという脅威モデルを採用している。つまり、そのコンテンツは有効化されているが低信頼度のチャネル（グループチャット、メール、取得した URL）を通じてエージェントに到達する。防御者はエージェント所有者である。分析は、OpenClaw ランタイムの特定のピン留めされたコミット（コミット 3120401f...1829b1b6）に固定されており、すべての主張はベンダーソースコードに対して検証されている。

本論文は、永続化基盤 ($M_1$–$M_5$) と発火分離 ($C_0$–$C_4$) をマッピングする分類体系（表 I）を提示している。また、先行研究が不十分であった 4 つの事例を強調している：

• A4（実行例）： 「混乱した代理人を介した Cron」攻撃 ($M_5 \times C_4$)。攻撃者がメールに悪意のある webhook URL を埋め込む。エージェントはこれを要約してメモリに保存する。数日後、所有者がエージェントに「あの毎日健康チェックを設定して」と依頼する。エージェントはメモを取得し、攻撃者の URL を含む cron ジョブを生成して実行する。永続化は cron エントリであり、発火はエージェントプロセス外にあるシステム cron デーモン内で発生する。
• A2： グループチャットを介したスキルトロイ ($M_3 \times C_2$)。
• A3： メモリを介したチャネル間情報漏洩 ($M_2 \times C_2$)。
• A5： ドットファイルのパッチ適用 ($M_4 \times C_4$)。

主要な貢献：プロベナンス防御（D2）

本論文は、階層的な防御戦略を提案しており、その中核となる貢献がD2である。D2 はモデルループの外側で強制境界を移動させ、プロベナンス追跡とアクションインスタンスの認証に依存する。

中核メカニズム

1. アーティファクトのタグ付けと伝播： ランタイムは、すべてのアーティファクト（メモリ、スキル、ファイル、ツール呼び出し）に対してプロベナンス状態 ($\Pi$) を維持する。タグ ($\tau$) はソース（チャネル、プリンシパル、デバイス）を記録する。信頼できない入力は、厳密にプロベナンスセットを拡大する。
2. アクションインスタンスダイジェスト： すべての帰結的なアクション $\alpha$ は、正規化されたアクションバイト（引数とターゲットを含む）に対して衝突耐性ハッシュ（SHA-256）を用いて、標準的なダイジェスト $\delta(\alpha)$ にハッシュされる。これにより、モデルが攻撃者の指示を書き換えてその起源を隠す「言い換え洗浄（paraphrase laundering）」を防ぐ。
3. 仲介フック： 防御は、10 個のランタイムフック（H1–H10）による**完全な仲介（complete mediation）**を必要とする。
   • 更新フック（H1–H5）： 入力時および作成時にタグを埋め込み、プロベナンスを伝播させる。
   • ゲートフック（H6–H10）： シェル実行、ファイル書き込み、スケジューリングなどの副作用を伴うディスパッチ前の意思決定ポイント。
4. ワンショット所有者認証： プロベナンスが信頼できないアクションの場合、ゲートは信頼できるプリンシパルからの許可 $g$ を必要とする。この許可は、アクションダイジェスト $\delta(\alpha)$ と一致し、リプレイを防ぐための一意のナンスを含み、モデルが発信できないハードウェア認証付きの同伴チャネル ($\Sigma$) 経由で到着しなければならない。

健全性定理

著者らは、7 つのランタイム不変条件（仲介、タグ、因果、チャネル、許可認証、ナンス、ハッシュ）を仮定して、D2 の健全性定理を提供している。この定理は、ディスパッチが許可されるのは以下のいずれかの条件が満たされる場合のみであると述べている：

• 因果セット内のすべての寄与アーティファクトが信頼できるプロベナンスを持っている場合 ($\Pi_\alpha \subseteq T$)、または
• 正確なアクションインスタンスに対して、有効で新鮮な、所有者が信頼する認証が存在する場合。

この設計により、モデルが悪意のあるコマンドを生成するように欺かれた場合でも、所有者が安全なチャネルを介してその特定のアクションインスタンスに対して明示的に認証しない限り、ゲートはそれを拒否する。

結果と評価

本論文は、展開された生産システムを主張するものではないが、ソースに根ざした実現可能性の論証と実行可能なリファレンス実装を提供している。

• 実証的プローブ（A4）： 20 回の単一ショット試行による「スモークプローブ」において、最先端の推論モデルに OpenClaw のセキュリティ警告と悪意のあるコンテキストを与えた。20 件中 19 件のモデルが、攻撃者の URL を指す有効な cron.add ツール呼び出しを出力し、コンテキスト内の警告（D1）が攻撃を防ぐには不十分であることを示した。
• リファレンス実装： github.com/maloyan/sleeper-channels にある同伴アーティファクトには、以下のものが含まれる：
  • D2 ゲート意思決定関数の TypeScript 実装。
  • OpenClaw の引用ソース行が存在し、脅威モデルと一致することを検証する静的監査スイート（13 ケース）。
  • cron パス周りのフック H1, H2, H3, H6, H9 を実装するランタイムアダプター。
  • 意思決定ルール、多入力洗浄、許可リプレイを網羅する 42 ケースのテストスイート。
• 検証： ランタイムアダプターは、プロベナンスが信頼できないため A4 攻撃者の呼び出しが拒否される一方、所有者のみによる健全な cron ジョブは承認されることを実証した。

意義と主張

本論文は、スリーパーチャネルの脅威クラスを修正し、防御の形式仕様を提供する立場と設計の論文として位置づけられている。

• 新規性： OS 稼働中のエージェントにおいて、多基盤の永続化と遅延・クロス表面発火の組み合わせを、統合された脅威クラスとして扱う最初の研究である。
• 防御の配置： プロベナンス信号はモデルループの外側で強制されなければならないと主張する。モデルに信頼できない入力を拒否させること（D1）への依存は、適応型攻撃に対して脆弱である。
• 形式化： 言い換え洗浄とリプレイ攻撃を打破するための健全性定理と標準的なアクションインスタンスダイジェストを導入し、実証的根拠と形式的強制仕様が欠けていた先行するコミュニティ提案（例：アップストリーム issue [10]）のギャップを埋める。
• 謙虚さ： 著者らは明確に、実証的な攻撃成功率、完全な展開の有効性、および有用性 - コストのトレードオフは、事前登録されたフォローアップ研究に委ねられると述べている。現在の研究は、特定のランタイムコミットにおける攻撃と防御の分類体系、形式的防御、および実現可能性を確立するものである。