技術要約：SkillJack – 自己進化型エージェントにおける持続的なスキル・バックドア

問題提起

自己進化型の大規模言語モデル（LLM）エージェントは、相互作用の履歴を再利用可能な「スキル」へと変換し、個別のタスクを超えて持続させる設計がますます一般的になっています。先行研究では、メモリ・ポイズニングや間接的プロンプト注入のリスク（汚染された記録がコンテキストとして呼び出された時にのみ攻撃が成功するリスク）が確立されていますが、本論文はより根本的かつ耐久性の高いリスクを特定しています。著者らは、エージェント自身の**経験からスキルへのパイプライン（experience-to-skill pipeline）**が汚染された経験記録を処理する場合、その一過性の入力を耐久性のある行動アーティファクトへと変貌させてしまうと主張しています。従来のメモリ・ポイズニングでは、ソースとなる記録を削除すれば脅威は排除されますが、この新しい攻撃ベクトルでは、悪意のある挙動が起源の記録の削除後も生き残り、エージェントの再利用可能なスキル・レパートリーの中に埋め込まれてしまいます。

メソドロジー

本論文は、経験からスキルへの変換パイプラインを悪用する攻撃フレームワークであるSkillJackを導入しています。メソドロジーは、形式的な問題定式化と特定のペイロード設計戦略に基づいています。

1. 形式的な問題定式化

著者らは、経験からスキルへの変換パイプラインを、ロード ($\pi_L$)、変換 ($\pi_T$)、永続化 ($\pi_P$)、ルーティング ($\pi_R$) の4段階のプロセスとしてモデル化しています。攻撃者の目的は、結果として得られるスキル $s_p$ が以下の3つの条件を満たすように、汚染された経験項目 $e_p$ を注入することです。

1. 隠蔽性 (Stealth): スキルが安全性検知器 $D$ による検出を回避すること ($D(s_p) = \text{benign}$)。
2. ルーティング可能性 (Routability): ルーターが対象タスクに対してそのスキルを選択すること ($s_p \in \pi_R(q, S)$)。
3. 悪意のある実行 (Malicious Execution): スキルの実行時に意図しない挙動を引き起こすこと ($exec(s_p, q) \in B$)。

本研究は、この構成から生じる3つの創発的なセキュリティ特性を特徴付けています。

• サニタイゼーションによるホワイトウォッシング (Sanitization Whitewashing): 変換プロセス（圧縮、抽象化、正規化）が、悪意のある意図を隠蔽し、生の入力と比較して検出率を低下させます。
• クロスレイヤー昇格 (Cross-Layer Promotion): 一過性の経験が、持続的で再利用可能なアーティファクトへと変換され、元の記録を再読することなく将来のタスクに対して選択されるようになります。
• 永続化の隔離 (Persistence Isolation): スキル・ライブラリは経験コーパスから切り離されているため、ソースとなる記録を削除しても、派生したスキルは必ずしも削除されません。

2. 変換耐性を持つペイロード設計

この攻撃を実現するために、著者らは変換耐性を持つペイロード (transformation-resilient payloads) を設計しています。彼らは、抽出パイプラインはタスクの軌跡から有用な指示を抽出するように最適化されており、露骨に敵対的な言語で記述されたものよりも、妥当で正当なナラティブ（物語）の枠組み内に配置されたアクションシーケンスの方が、保持される可能性が高いという仮説を立てています。

• フレーミング戦略: 直接的な悪意のある言葉を用いる代わりに、著者らは、ポリシーに関連するアクション（例：データの持ち出し、権限昇格）が、正当で機能的なフレーム（例：「バックアップ」、「アーカイブ」、「エラーリカバリ」）の中に埋め込まれた軌跡を構築します。
• 評価指標: 研究では、抽出の収穫量、検出可能性（パターンマッチングおよびLLMジャッジによる）、およびダウンストリームのタスクにおけるルーティングの成功率を測定しています。

3. 実験設定

攻撃は、2つの代表的なシステムで評価されました。

• SkillX: プランベースの軌跡蒸留と、LLMネイティブな漸進的開示（progressive-disclosure）ルーティングを使用します。
• Anything2Skill (A2S): 異種混合のドキュメントを構造化されたスキル契約へとコンパイルします。
• データセット: 4つのポリシー・リスク・カテゴリ（データ持ち出し、権限昇格、不正転送、持続的バックドア）にわたる、共有された150の軌跡（機能的フレームを用いた汚染されたものが65、直接的な悪意のあるベースラインが65、クリーンなものが20）を使用。
• モデル: 抽出、ルーティング、および判定にはDeepSeek-v4-flashを使用。

主要な結果

1. サニタイゼーションによるホワイトウォッシング（検出可能性の低下）

抽出プロセスは、悪意のあるコンテンツの検出可能性を著しく低下させます。

• SkillX: LLMジャッジによる検出率は、生の汚染された軌跡の**98.5%から、抽出されたスキルの場合は11.4%**に低下しました。パターン検出は44.6%から11.0%に低下しました。
• Anything2Skill (DOCモード): 検出率は、生の軌跡の**100.0%から、抽出されたスキルの場合は44.4%**に低下しました。
• メカニズム: この「ホワイトウォッシング」効果は、抽出されたスキルに付随する、一見無害に見えるメタデータ（名称やドキュメント）によって引き起こされます。コードの内容のみをジャッジに示した場合、検出率は大幅に上昇したため（例：SkillXにおいて10.0%から36.7%へ）、表面的なメタデータが回避を駆動していることが示されました。

2. クロスレイヤー昇格（ダウンストリームでのトリガー）

抽出されたスキルは、ターゲットタスクに対して正常にルーティングされ、トリガーされます。

• SkillX: 攻撃指向のタスクの**56.2%**が、ポリシー違反のプロキシを満たすスキルへとルーティングされました。
• Anything2Skill: 攻撃指向のクエリの**89.2%**が、ポリシー違反のプロキシーをトリガーしました。
• 副作用 (Collateral Damage): これらのスキルは、無関係な正常なタスクに対してもトリガーされました（SkillXでは20.0%、A2Sでは取得率95.0%）。これは、影響範囲（ブラスト半径）が広いことを示しています。

3. 永続化の隔離（ソース削除後の生存）

元の汚染された記録を削除した後でも、攻撃は持続します。

• マッチしたタスクの実験において、スキル経路を介してトリガーされた攻撃の**80.0%**は、ソースとなる軌跡が削除された後も引き続き発生しました。これは、メモリをパージしても、派生したアーティファクトは除去されないことを証明しています。

4. 防御の感度

予備的な防御実験により、緩和における課題が明らかになりました。

• 静的レビュー: 抽出時のLLM安全性レビューは、トリガー率を低下させましたが、完璧ではありませんでした。
• ランタイム・モニタリング: 行動を意識したモニタリング（特定の動作シグネチャのブロック）は、単独では非常に効果的でしたが（SkillXのサンプルにおいてトリガー0.0%）、静的レビューと組み合わせると脆弱性を示しました。防御をスタック（積み重ね）すると、「防御のコーディネーション（連携）」の失敗が発生し、アップストリームのフィルタリングがアクションの分布を変更したことで、ダウンストリームのモニターが新しいパターンを見逃す原因となりました。
• A2Sの特異性: 標準的なシグネチャは、正規化された言語を使用しているためA2Sでは失敗しました。トリガー率を下げるためには、正規化された語彙をカバーするようにシグネチャを拡張する必要がありました。

主な貢献

1. 新しい攻撃対象領域: 本論文は、**経験からスキルへのポイズニング（experience-to-skill poisoning）**を、明確なセキュリティリスクとして初めて特定し、定式化したものです。著者らは、経験のポイズニングと自動化されたスキル抽出の組み合わせから特有に生じる3つの特性（サニテーションによるホワイトウォッシング、クロスレイヤー昇格、永続化の隔離）を特徴付けています。
2. 変換耐性を持つ攻撃手法: 悪意のあるアクションを正当な機能的ナラティブの中にフレーム化することで、露骨に悪意のある言葉はフィルタリングされる一方で、抽出パイプラインの抽象化と圧縮を生き残ることができることを実証しました。
3. クロスシステムによる実証的検証: この攻撃は、独立して実装された2つのシステム（SkillXおよびAnything2Skill）上で共有データセットを用いて検証されており、これが単一の実装の欠陥ではなく、パラダイムレベルのリスクであることを確立しています。

意義と主張

本論文は、スキルの進化が、自己進化型エージェントにとって新しく重要な攻撃対象領域となると主張しています。その主な意義は、一過性のコンテキスト・ポイズニングから、持続的な行動アーティファクトへのシフトにあります。

• ライフサイクルのギャップ: 著者らは、現在のセキュリティモデルは「ソースとなる記録を削除すれば脅威も削除される」という前提に基づいていると指摘しています。SkillJackは、汚染された記録がスキルとしてコンパイルされると、その攻撃はソースよりも長く生存することを証明しています。
• 防御への示唆: 調査結果は、プロベナンス（由来）を意識したスキルのライフサイクル保護への移行を促しています。防御者は、派生したスキルをそのソース記録まで追跡し、ソースが隔離された場合にはその子孫も無効化し、あらゆる変換境界（ロード、変換、永続化、ルーティング）において行動ベースのチェックを実装する必要があります。
• 謙虚な姿勢: 著者らは、結果がライブの外部サービス実行ではなく、単一のモデル構成とルーティングレベルのプロキシに基づいていることを明示しています。また、防御の結果については予備的かつ探索的なものであるとし、「防御のコーディネーション」の失敗についてはさらなる研究が必要であると述べています。本研究は、自己進化型エージェントのプロベナンスおよびライフサイクル・セキュリティに関する将来の研究を促すためのテクニカルレポートとして提示されています。