技術的概要：このエージェントの所有者は誰か？AI エージェントをその所有者に遡って追跡する

1. 問題定義：エージェント帰属

本論文は、**エージェント帰属（agent attribution）**を重要な新興セキュリティの隙間として特定し、形式化している。AI エージェントがメッセージの送信、ウェブサイトの閲覧、API の呼び出し、スクリプトの実行など、自律的に行動するためにますます展開されるにつれ、有害なエージェントの相互作用を、それを展開した特定のオペレーターアカウントに遡って追跡できる信頼性の高い技術的メカニズムが現在存在しない。

この説明責任の欠如は、エージェントの行動の全範囲にわたって存在する：

• 意図しない害： 善良なオペレーターが、設定ミス（例：不正確な停止条件、過度に広範な目的）を伴うエージェントを展開し、スパム、サービス過負荷、または意図しない動作を引き起こす場合。
• 意図的な害： 悪意のあるオペレーターが、詐欺、嫌がらせ、サイバー侵入、または偽情報に対してエージェントを武器化する場合。

どちらの場合も、被害者は有害な行動を観察し、ベンダー（LLM プロバイダー）はセッションログを保持するが、観察された外部行動を責任あるベンダーアカウントに結びつけることができる当事者は存在しない。既存の救済メカニズムは以下の理由で失敗する：

• IP ベースの識別は、エージェントがアドレスをローテーションさせ、プロキシを使用するため、効果的ではない。
• プラットフォームレベルの調査は、一時的な表面アカウント（例：偽のペルソナ）のみを特定し、背後にあるベンダーアカウントを特定できない。
• 行動フィンガープリンティングはエージェントの存在を検出するが、数百万のベンダーアカウントのいずれが責任あるものかを特定できない。
• 法的プロセスは、開示を強制する前に前提条件（特定のセッションとアカウントの特定）を必要とするが、技術的な橋渡しがなければ現在それは不可能である。

著者らは、この問題が**ベンダーホスト型の大規模言語モデル（LLM）**の環境において特に実行可能であると主張している。高度な敵対者でさえ、推論能力のためにベンダーホスト型モデル（例：OpenAI、Anthropic、またはホストされたオープンソースモデル）に依存することが多い。オペレーターはランタイムとラッパーを制御するが、モデル呼び出しはベンダーを通過し、アカウントに対してログ記録される。

2. 手法：カナリアベースのプロトコル

著者らは、被害者の観察とベンダーのログの間のギャップを埋めるカナリアベースの帰属プロトコルを提案する。このプロトコルには、エージェント、オペレーター、ベンダー、被害者、および権限（例：法執行機関または商業団体）という 5 つの主体が関与する。

コアメカニズム

1. 注入： 権限ある権限（$\mathcal{D}$）が、エージェント（$\mathcal{A}$）が消費する可能性のあるコンテンツストリームにカナリアを注入する。
   • 直接相互作用： 権限がエージェントと直接対話（例：チャット経由）し、カナリアを注入する。
   • 受動的相互作用： 権限がエージェントが訪問すると予想される場所（例：特定のウェブページ、ファイル）にカナリアを配置し、フックで計器化を行う。
2. 伝播： エージェントがコンテンツを処理する。エージェントがこのコンテンツをベンダーホスト型 LLM に転送する場合、カナリアはベンダーのセッションログに現れる。
3. 検索： 権限が、注入時刻（$\tau$）とカナリア値を指定してベンダー（$\mathcal{V}$）に帰属リクエストを開始する。
4. 回復： ベンダーは、アクティブなセッションログの狭い時間ウィンドウ内でカナリアを検索する。見つかった場合、ベンダーはセッションを責任あるオペレーターアカウント（$\mathcal{O}$）にリンクする。

カナリアの構築

本論文は、異なるカナリアタイプを必要とする 2 つの環境を区別する：

• 非敵対的環境： オペレーターが帰属を回避しようとしていない場合。

  • 語彙的カナリア： 単純な完全一致トークンシーケンス（例：ランダム文字列、UUID、またはプロジェクトコードなどのタスク関連識別子）。エージェントは入力コンテンツをそのままモデルに渡すため、これらで十分である。

• 敵対的環境： オペレーターが、マーカーを抑制するために、入力コンテンツをフィルタリング、言い換え、または書き換えるラッパー（$\mathcal{W}$）を展開する場合。

  • 有用性を持つカナリア： 回避に対抗するため、著者らは正当なタスクコンテンツと区別がつかないカナリアを導入する。これらを削除すると、エージェントのタスク遂行能力が低下する。
  • 語彙的有用性カナリア： エージェントが成功するために必須として保持しなければならないタスククリティカルな識別子（例：ディレクトリ一覧内のファイル名、データベースクエリ内の特定の ID）。
  • 意味的カナリア： 表面形式ではなく意味によって定義されるシグネチャ（例：話し方のスタイル、構造的パターン、緊急性のシグナリング、または特定の修辞的習慣）。これらは完全一致文字列よりも言い換えに耐性がある。
  • マルチカナリア戦略： 権限は、大規模なカナリア宇宙（$N$）から部分集合（$K$）をサンプリングして注入する。検出には、一致の閾値（$m$）が必要である。これにより、防衛者に有利な非対称性が生まれる：敵対者はカナリアを削除するためにコンテンツを積極的にフィルタリングする必要があり、それは必然的にエージェントの有用性を低下させる（例：サイバー攻撃や詐欺の失敗を引き起こす）一方、防衛者は帰属確率を任意に 1 に近づけることができる。

3. 主要な貢献

1. 問題の形式化： 「エージェント帰属」を固有のセキュリティ問題として特定し定義し、シナリオの完全な分類（意図的か意図的か、さまざまな攻撃ターゲット）を特徴づけた最初の研究である。
2. 実用的プロトコル： 普遍的な事前登録や継続的なアイデンティティの露出なしに機能する、ベンダー仲介の帰属プロトコル。これは、エージェントがベンダーホスト型モデルに依存する構造的依存関係に依存している。
3. 堅牢なカナリア構築：
   • 敵対者にとってのトレードオフを作成する有用性を持つカナリア（語彙的および意味的の両方）の開発：帰属を回避するには、エージェントのパフォーマンスを低下させる必要がある。
   • 防衛者が帰属確率を制御できる一方、敵対者が回避のために有用性コストを支払うという非対称性の形式化。
4. 実証的評価： 3 つのドメインにわたる包括的なテスト：
   • コミュニケーションエージェント： チャットおよびフォーラム相互作用。
   • ウェブエージェント： HTML ドキュメントの取り込みとスクレイピング。
   • サイバーエージェント： キャプチャー・ザ・フラッグ（CTF）環境における自律的なツール使用エージェント。

4. 実験結果

評価は、プロトコルが信頼性が高く、堅牢で、スケーラブルであることを示している。

• 非敵対的パフォーマンス：

  • 語彙的カナリアは、コンテンツが変更なく渡される場合、ほぼ完全な検出（TPR $\approx$ 1.0）とほぼゼロの偽陽性（FPR）を達成する。
  • 意味的カナリアも、チャットおよびフォーラム環境で高い検出率（AUC $\approx$ 0.98–0.99）を達成する。

• 敵対的堅牢性：

  • 言い換え攻撃： ラッパーがコンテンツを言い換えする場合、完全一致の語彙的カナリアは失敗する（TPR が $\approx$ 0.20 に低下）。しかし、意味的カナリアは堅牢なままである。チャット環境では、マルチカナリア閾値（$m$-of-$k$）を使用する場合、言い換え下でも TPR は 0.97 以上を維持する。
  • ウェブエージェント： 可視の語彙的カナリア（レンダリングされたテキストに埋め込まれたもの）は、前処理および言い換えに対して 60% 以上の率で生存する。構造的カナリア（DOM に隠されたもの）はより脆弱である。意味的レイアウトカナリアは堅牢な二次チャネルを提供する。
  • サイバーエージェント（CTF）： これが最も強力なテストである。ツール出力からカナリアを削除しようとするカナリア認識型の敵対者は、エージェントの解決率を 51% から 9% に崩壊させた。これは、帰属証拠を抑制することがエージェントの任務を破壊するという、有用性 - 回避のトレードオフを確認する。
  • 帰属精度： サイバー環境では、敵対的状況下でも、セッションレベルの帰属は FPR がほぼゼロで TPR $\ge$ 98% を達成した。

• スケーラビリティ：

  • ベンダー側の検索は、運用上実用的であることが示された。同時セッションの境界付き時間ウィンドウのみを検索し、既存のトークン化ログを活用するトークンレベルの一致を使用することで、検索コストはログの総サイズではなく、アクティブなセッションの数に比例して線形にスケーリングする。トークンレベルの検索は、文字レベルの一致よりも約 2 倍高速であることが判明した。

5. 意義と主張

本論文は、エージェント帰属を定義し、実用的な解決策を提示した最初の研究であると主張している。その意義は以下の点にある：

• 救済の回復： 被害者、プラットフォーム、当局が責任あるオペレーターを特定し、善良なケースでの介入と悪意のあるケースでの法的説明責任を可能にする技術的な橋渡しを提供する。
• ベンダーへの実現可能性： このプロトコルは、既存のベンダーインフラ（ログ、API サービング）を活用し、エージェントのランタイムコードやオペレーターのインフラに変更を必要としない。
• 防衛における非対称性： カナリアをタスク有用性に結びつけることで、プロトコルは敵対者をジレンマに追い込み、帰属を回避することが自らの目的を損なうようにする。

著者らは、評価が特定のモデルファミリーとラッパー設定を使用しており、間接注入（エージェントの軌道の予測）はさらなる実世界でのテストを必要とするなど、限界については謙虚に留まっている。しかし、彼らは提案された方法が、ますます自律的になる AI エージェントに対する説明責任への展開可能な道筋を提供すると主張している。