技術概要：CASPIAN – LLM マルチエージェントシステムにおけるカスケード攻撃のオンライン検出と帰属

1. 問題定義

大規模言語モデルマルチエージェントシステム（LLM-MAS）は、個別のプロンプトインジェクションや幻覚とは異なる故障モードであるカスケード攻撃に対して、ますます脆弱になっています。これらの攻撃では、単一のエージェントに注入された敵対的または誤った影響が、複数のエージェントおよび相互作用のターンにわたって伝播し、増幅され、自己増幅します。これらのカスケードは、システムの相互作用構造を悪用し、共有メモリを汚染したり、ツールの出力をリダイレクトしたり、エージェントを集合的に欠陥のある軌道へと同期させたりする可能性があります。

これらの攻撃を検出する上での核心的な課題は、証拠の分散かつ結合された性質にあります：

• チャネル間伝播： 影響は、通信、共有メモリ、ツール API、および実行メタデータを通じて同時に広がります。単一のチャネルを監視するだけでは不完全な視点しか得られません。
• 時間的蓄積： 影響は、コンテキストの再利用を通じて徐々に蓄積します。エージェントは局所的には無害に見えるかもしれませんが、システム全体が協調的な故障へと移行している可能性があります。
• 既存の防御の限界： 現在のアプローチ（セマンティックガードレール、LLM ジャッジ、グラフベースの検出器）は、主に個別のメッセージ、静的グラフ、または事後のトレース上で動作します。これらは、カスケード伝播のオンライン的、チャネル間、時間的に調整されたダイナミクスを捉えることができず、初期段階の故障を見逃したり、リアルタイム介入を不可能にするオフライン分析を必要としたりすることが多いです。

2. 手法：CASPIAN フレームワーク

CASPIAN（Cascade Attack Spectral Propagation and Influence Attribution Network）は、カスケード攻撃のオンライン検出と帰属のために設計された統合フレームワークです。これは、局所的なセマンティック検査から、システム全体にわたる因果影響の進化構造の監視へとパラダイムを転換します。

2.1 統合されたチャネル間因果モデリング

CASPIAN は、LLM-MAS を進化させるチャネル間因果影響テンソル $A_t \in \mathbb{R}^{N \times N \times |C|}$ としてモデル化します。ここで、$N$ はエージェントの数、$C = \{comm, mem, tool, exec\}$ は相互作用チャネルを表します。

• 影響推定： 計算コストの高い全状態分析の代わりに、CASPIAN は**Late-Interaction Conditional Transfer Entropy（LI-CTE）**定式化を採用します。これは、ターゲットの自身の履歴状態を条件として、ソースの活動がターゲットの現在の行動をどの程度説明するかを測定することで、チャネル $c$ におけるエージェント $i$ から $j$ への directed 影響 $a_{ij}^{(c)}(t)$ を推定します。
• 効率性： ColBERT 型の分解に着想を得た LI-CTE は、コンパクトなソースとターゲットの射影を構築し、履歴を考慮した directed 依存関係を捉えながら、ミリ秒スケールのオーバーヘッドのみを導入します。
• テンソル集約： チャネル固有の影響行列は正規化され、スペクトル分析のために統合された影響行列 $\tilde{A}_t$ に集約されますが、チャネルレベルの帰属のためにテンソル構造は保持されます。

2.2 オンラインスペクトルカスケード検出

CASPIAN は、進化していく影響トポロジーにおけるスペクトル遷移を監視することでカスケードを検出します。それは、4 つの主要なダイナミクスを通じて、一時的な協調活動と自己増幅的なカスケードを区別します：

1. 増幅： 支配的なスペクトルエネルギーの成長（$E_t = \lambda_1(t) + \lambda_2(t)$）。
2. 同期： 結合された伝播モードを示すスペクトルギャップの狭小化（$g_t = 1 - \lambda_2(t)/\lambda_1(t)$）。
3. チャネル間拡散： 正規化されたシャノンエントロピー（$H_t^{norm}$）を介して測定される、複数のチャネルにわたる影響エネルギーの分布。
4. 持続性： これらのダイナミクスが時間的に持続的に強化されること。

検出ロジック：

• WATCH 条件： 支配的なモードによって駆動されるスペクトル結合の狭小化（$\Delta g_t > 0$）と増幅の成長が一致したときに発動します。
• 分類：
  • シングルターンカスケード： 実行可能な伝播経路（Weak-Link チェック）が存在する場合、WATCH が位相シフト（急激な構造変化）またはチャネル間拡散と一致すれば、即座に検出されます。
  • マルチターンカスケード： WATCH が適応的ウィンドウ $W_{tw}$（スペクトルギャップの逆数によって支配される）にわたって持続し、少なくとも 1 つの構造遷移イベントを含んでいる場合に検出されます。

2.3 オンライン因果帰属

検出後、CASPIAN はキャッシュされた影響ダイナミクスを使用してオンライン帰属を実行し、リプレイや再計算を必要としません。以下を特定します：

• 発生源： 開始時に最も強い外向き影響を持つエージェント。
• 増幅器： 伝播を最も強く強化するエージェント（高い流出/流入比）。
• ブリッジ： 影響を受け取り、ネットワーク全体で再分配するエージェント。
• 伝播脊： 各脊の支配的な相互作用チャネルとともに、最も弱いリンクの強さでランク付けされた上位 $K$ 個の支配的経路。

3. 主要な貢献

1. 統合されたチャネル間因果モデリング： 効率的な LI-CTE 定式化を使用して、LLM-MAS における通信、メモリ、ツール、実行チャネルにわたる directed エージェント間影響を共同でモデル化する最初のフレームワーク。
2. オンラインスペクトル検出： 攻撃テンプレート、無害な較正トレース、またはオフライントレーニングを必要とせず、進化していく影響ダイナミクスから急激なシングルターンおよび漸進的なマルチターンカスケードの両方を特定する検出メカニズム。
3. リアルタイム帰属： 検出時にキャッシュされた影響ダイナミクスから直接カスケードの発生源、増幅器、ブリッジ、および伝播経路を回復する帰属スキーム。これにより即座の介入が可能になります。

4. 実験結果

CASPIAN は、727 のシナリオと 2,908 の実行トレースを含む 4 つの LLM-MAS フレームワーク（AutoGen, CrewAI, MetaGPT, LLM Debate）にわたる 2 つのベンチマーク（TAMAS および ACIArena）で評価されました。

• 検出性能： CASPIAN は、セマンティックガードレール（例：PromptGuard）、LLM ベースのジャッジ、グラフベースの検出器（例：G-Safeguard）を常に上回りました。
  • AUROC： ほとんどの構成で 0.90 を超えました（例：AutoGen で 0.942）。
  • 早期検出（EDR@5）： AutoGen において注入から 5 ターン以内に検出することを、ケースの約 79% で達成し、ベースラインを大幅に上回りました（例：最良のグラフベースベースラインに対して 0.792 対 0.482）。
  • ロバスト性： 異なる攻撃タイプ（意図操作、実行攻撃、協調攻撃）およびフレームワークトポロジー全体で、性能は強力なままでした。
• 帰属精度：
  • 発生源の局所化： 高い精度（TAMAS AutoGen で Acc@1 $\approx$ 0.86）。
  • ブリッジ/増幅器： 安定した回復。ただし、分散型トポロジーではブリッジの特定はより困難です。
  • 経路回復： 設定全体で Spine Jaccard@3 スコアは 0.62 以上を維持しました。
• 効率性： CASPIAN は 1% 未満の相対オーバーヘッド遅延（例：無害なトレースで約 0.66%）で動作し、オンライン展開に適しています。

5. 意義と主張

本論文は、LLM マルチエージェントシステムにおけるカスケード故障を信頼性高く検出・理解するためには、統合されたチャネル間因果モデリングが不可欠であると主張しています。プロンプトや静的グラフについて局所的に推論する先行手法とは異なり、CASPIAN はカスケード攻撃をグローバルな伝播プロセスとしての根本的な性質に対処します。

著者が強調する主な要点：

• 構造再編： カスケードの発生は、孤立した異常ではなく、エージェント間影響の構造再編（増幅、同期、チャネル間拡散）によって特徴付けられます。
• オンライン実現可能性： このフレームワークは、複雑な因果監視を無視できる遅延でオンライン実行に統合できることを実証しており、リアルタイム介入を可能にします。
• メッセージ検査を超えて： 実行、メモリ、およびツールチャネルの監視が重要です。メッセージのみの監視は、永続的なメモリまたはツールアクセスを持つシステムにおける伝播シグナルを捉えることができません。
• 解釈可能性： 帰属機能は、失敗のトレース条件付き分解を提供し、セキュリティ監査およびエージェント協調ダイナミクスの分析を支援します。

この研究は、構造的因果監視が、局所的なセマンティック検査の限界を超えて、複雑な LLM エージェントエコシステムにおけるセキュリティと監査のためのスケーラブルな基盤を提供することを結論付けています。