技術要約: REDACT – 手続き的スキルの保護のためのエージェント能力トレースの編集

1. 問題の動機と定義

ツールを使用するエージェントが、バイオメディシン、金融、エンジニアリングなどの領域において、研究用プロトタイプからデプロイされたシステムへと移行するにつれ、ワークフロー、コードテンプレート、ドメイン・ヒューリスティクスを含む構造化されたパッケージである「プロプライエタリなスキル」に依存するようになっています。透明性と説明責任を確保するために、これらのエージェントは実行トレース（推論、行動、観察の軌跡）を公開することがよくあります。しかし、これは根本的な緊張関係を生み出します。トレースは監査をサポートする一方で、その背後にある手続き的なスキルを露出させてしまうからです。

スキルの学習と進化に関する最近の研究は、エージェントの経験が再利用可能なスキルへと蒸留され、ダウンストリームのタスク性能を大幅に向上させることを示しています。これにより、トレースの公開は「手続き的資産の保護」の問題へと変貌します。公開されたトレースのみにアクセスできるダウンストリームの当事者は、モデルの重みやプライベートなスキルファイルにアクセスすることなく、プロプライエタリな公式、閾値の設定、ツール呼び出しのシーケンス、および検証ルーチンを復元できてしまいます。

著者らは、このリスクを**ブラックボックス・トレース開示（Black-Box Trace Disclosure）**として定式化しています。この設定において、ダウンストリームの再利用メソッドは、公開されたアーティファクト（$z = \phi(x, \tau)$）のみを観察し、プライベートなスキルファイル、モデルの重み、隠れ状態、またはサーバープロンプトにはアクセスできません。中心となるリスクは、最終的な回答のコピーではなく、繰り返されるデプロイメントを通じて適用可能な、再利用可能な保護された手続きの復元です。

2. メソドロジー: REDACT フレームワーク

これに対処するため、著者らは、2つの補完的なレイヤーで動作する保護されたトレース公開フレームワークである REDACT (Redacting Agent Capability Traces) を提案しています。

2.1 重要情報に基づいた書き換え（Key-Information-Guided Rewriting）

このレイヤーは、検証に不可欠な証拠を保持しながら、保護された手続き的情報を特定し、抽象化します。このプロセスは、スキルの所有者がリリース前に保護されたスキルパッケージ（$s$）にアクセスできることを前提としています。

1. 重要項目の特定 (Key-Item Localization): LLMベースのエクストラクター（$g_\eta$）が、タスクの指示とスキルパッケージから、タスクレベルの保護対象項目（$K_{prot}$）を特定します。これらには、公式、定数、閾値、特殊なツールの選択、および検証ルーチンが含まれます。
2. 人間によるレビュー: 同義のフレーズを統合するなど、特定された項目を重複排除し、正規化する軽量なステップです。
3. トレースの書き換え (Trace Rewriting): LLMベースのライター（$\rho_\theta$）が、保護された重要項目を明らかにする中間ターンをタスクレベルの記述へと抽象化しつつ、以下の事項を厳格に保持したまま、保護されたトレース（$z_{RA}$）を構築します。
   • 最終出力。
   • ツールの使用証拠（名称、実行順序）。
   • 検証器に不可欠なフィールド（スキーマキー、必須カラム）。
   • 監査に必要な実行順序。

結果として得られるトレースは、「回答のみ」のリリースよりも情報量が多いものの、「生の軌跡」よりも再利用可能な手続きとしての有用性は低いものとなります。

2.2 行動的ウォーターマーキング（Behavioral Watermarking）

タスクのセマンティクスに影響を与えることなく、プロベナンス（由来）の追跡を可能にするために、本フレームワークは選択されたトレースに「行動的ウォーターマーク」を注入します。

• フック・ファミリー (Hook Families): 注入および後に検出可能な、機能的に中立な行動（フック）のクラスを定義します。
  • スタンドアロン・フック (Standalone Hooks): 固定の位置に挿入されます（例：開始時/終了時の「儀式的マーカー」、環境プロービングのための「環境チェック」）。
  • コンテキスト・フック (Contextual Hooks): ツールの結果（「クロスチェック」）やエラーフィードバック（「エラーアンカリング」）など、特定の条件の後にのみ挿入されます。
• 注入スキーム (Injection Scheme): トレース集合 $C$ と比率 $r$ に対して、システムは適格なトレースを選択し、活性化フレーズ（$\kappa_h$）と共に無害なアクション・オブザベーション・パターンを注入します。
• 検出 (Detection): 検出時、スキル所有者は疑わしい学習済みモデルに対して活性化フレーズを用いてクエリを実行し、生成された軌跡に検出器（$W_{detect}$）を適用して、行動パターンが再現されたかどうかを判断します。

3. ベンチマーク: CAPTRACEBENCH

この問題を大規模に評価するために、著者らは CAPTRACEBENCH、すなわち手続き的スキルの保護評価のための初のベンチマークを構築しました。

• 範囲: 7つのドメイン（ライフサイエンス、化学、地球・気候、エンジニアリング、金融・経済、メディア・ウェブ、ソフトウェア・セキュリティ）にわたる75の特化した長期間タスク。
• スキル: 多様な再利用シナリオをカバーする154の精選されたスキル。
• 設計: タスクはマルチステップのツール使用を必要とし、人間が作成した指示、実行可能な環境、および自動検証器を含みます。ベンチマークは、手続き的複雑性に基づいて、Easy、Medium、Hardの難易度層に分類されています。
• 評価プロトコル: 「教師」エージェントが軌跡を生成します。開示ポリシーが公開アーティファクトをリリースします。「学習者」エージェントは、リリースされたアーティファクトのみを使用して同じタスクを解決しようと試みます。成功は、学習者が自動検証器を通過できるかによって測定され、これは保護された手続き的知識が正常に復元されたかどうかを示します。

4. 実験結果

著者らは、4つのダウンストリーム再利用メソッドに対して REDACT を評価しました：Single-Agent Skill Extraction、Multi-Agent Skill Evolution、Agent Workflow Retrieval Reuse、および Trajectory Fine-tuning です。

4.1 生のトレースの脆弱性

生の実行トレースは、脆弱な攻撃対象面であることが判明しました。様々なモデルと再利用メソッドにおいて、生のトレースはダウンストリームエージェントによる大幅な手続き的価値の回収を許しました。

• 正規化スキル転送 (NST): 生のトレースは 44.7–67.1% の NST をもたらしました。これは、ダウンストリームエージェントが、プライベートファイルへのオラクルアクセスによって提供されるスキルの利点の大部分を回収したことを意味します。
• スキル復元: 生のトレースから抽出されたスキルは、オラクルスキルとの差をほぼ埋め、オラクルスキルの 76.5% に対し、平均ステップ成功率 (SSR) 73.5% を達成しました。

4.2 REDACT の有効性

REDACT は、保護されたスキルの再利用能力を大幅に低下させました。

• スキルの抑制: 書き換え後、スキル抽出、進化、および検索の平均 SSR は、それぞれ 67.5%、66.3%、65.5% に低下しました。決定的なことに、これらの値は No-Skill ベースライン (68.0%) と同等かそれ以下になりました。
• NST の減少: 正規化スキル転送は、生のトレースの 44.7–67.1% から、保護された状態では 最大 -5.9% まで低下しました。これは、保護されたトレースが、スキルを全く持たない場合と比較して、手続き的な利点を提供しなかったことを示しています。
• 情報漏洩: 回復された保護情報 (RPI) は、全チャネルを通じて 37–48% 減少しました。
• 困難なタスク: 保護は困難なタスクにおいて最も重要であり、生のトレースはベースラインに対して 6.5–10.5% の SSR ゲインを提供しましたが、REDACT はこれを最大 4.8%（あるいは一部のメソッドではベースライン以下）に圧縮しました。

4.3 プロベナンス検出

行動的ウォーターマークは、強力な再利用の証拠を提供しました。

• 真の検出 (True Detection): スタンドアロン・フック（例：「環境チェック」）は、学習済みモデルに対して 93.6–100.0% の真の検出率を達成しました。
• 誤検知 (False Alarm): 誤検知率は低く抑えられ、最大でも 1.9% でした。
• コンテキスト・フック: 検出はより困難（TD 16.4–32.2%）ですが、誤検知はゼロでした。これは、学習者が特定の実行コンテキストを保持した場合にのみ再現されることを示唆しています。

4.4 監査の完全性

REDACT は、監査のためのトレースの有用性を維持しました。

• 証拠の保持: 最終回答、ツール名、検証器のパス、およびスキーマフィールドは、生のレベルの 91.0–96.6% で保持されました。
• 運用の安定性: ツール呼び出し回数とトレースの長さは、生のトレースの 90–110% の範囲内に留まりました。
• 人間による評価: 保護されたトレースは、自然さ（7.14/10）と監査の使いやすさ（6.48/10）において高いスコアを獲得し、高い評価者間一致を示しました。

5. 意義と主張

本論文は、公開されたエージェントのトレースを セキュリティ・インターフェース として位置づけています。その主な意義は、選択的な編集（selective redaction） が、透明性に必要な監査証拠を取り除くことなく、手続き的な能力の漏洩を効果的に減少させられることを示した点にあります。

主な主張は以下の通りです：

1. 新しい評価問題の提示: エージェントのトレースからの再利用可能なスキルの抽出を、「ブラックボックス・トレース開示」問題として定式化したこと。
2. ベンチマークの構築: 多様なドメインと難易度レベルにわたって、手続き的スキルの保護を評価するための CAPTRACEBENCH の導入。
3. 二層防御: 選択的なトレース書き換え（再利用可能なコンテンツの除去）と行動的ウォーターマーキング（プロベナンスの追跡）を組み合わせることが、プロプライエタリなエージェント・スキルを保護するための実行可能な戦略であることを示したこと。
4. バランスの取れたトレードオフ: プロプライエタリな知的財産を構成する特定の公式、閾値、およびルーチンを剥ぎ取りつつ、デバッグと再現性をサポートするトレースをリリースすることが可能であることを示したこと。

著者らは、本評価が自動検証器を用いた制御されたタスクを使用している一方で、現実世界のデプロイメントでは、よりノイズの多いトレースや、より弱い検証器のフィードバックが発生する可能性があることを認め、限界についても言及しています。また、行動的ウォーターマークは、暗号学的な所有権の証明ではなく、統計的なプロベナンスの証拠として扱うべきであることも強調しています。