技術要約：自動車サイバーセキュリティのためのCyberLLMフレームワーク

1. 問題提起

ソフトウェア定義車両（SDV）への移行は、ソースコード、ランタイムログ、およびデプロイメント・トポロジー全体にわたる脆弱性を導入し、自動車の攻撃対象領域（アタックサーフェス）を大幅に拡大させている。大規模言語モデル（LLM）は、これらの異種混合なアーティファクトを推論し、修復案を提示する可能性を秘めているが、その安全性が極めて重要な環境への適用には、主に2つの課題がある：

1. 確率的な性質: LLMは、発見事項を幻覚（ハルシネーション）として生成したり、問題を特定できなかったりする可能性があり、セキュリティ上の意思決定の唯一の根拠とするには信頼性に欠ける。
2. 安全制約: 車両に対して行動を起こす自律エージェントは、入力が敵対的に操作された場合（例：プロンプトインジェクションやメモリポイズニングによるもの）であっても、決して安全でない、あるいは許可されていないアクションを実行してはならない。

現在のツールは通常、ルールベースのスキャナーや手動レビューを用いてこれらのレイヤーを個別に処理しており、レイヤーを横断して推論したり、監視の下で自律的に行動したりする能力に欠けている。決定論的な分析と自律的な検出のバランスを取りつつ、監査可能な安全なエンベロープ（包絡領域）を備えたフレームワークが必要とされている。

2. メソドロジー：CyberLLMフレームワーク

CyberLLMは、形式的なランタイム安全ガードの下で、脆弱性を自律的に検出し、修復を実行するように設計された、LLMによってオーケストレーションされたマルチエージェント・フレームワークである。本システムは、すべての入力に対して必須のプロベナンス（由来）を保証する共通のBaseAgentからすべてのエージェントが派生する、スキーマ駆動型のパイプライン上で動作する。

A. レイヤード検出アーキテクチャ

検出フェーズは、決定論的な分析とLLMによる精査を統合することで、精度を損なうことなく高い再現率（リコール）を実現する：

• 決定論的フロア（Deterministic Floor）: 以下の要素からなる「常時稼働」レイヤー：
  • 正規表現ルール: コードに対するマルチライン、ケース不問のパターン。
  • ASTアナライザー: Bandit（Python）やSemgrep（その他の言語）などのツールのサンドボックス化された実行。
  • トポロジーグラフ・チェック: デプロイメントYAMLの静的解析（例：外部のアクターがメモリへの書き込みエッジを保持しているか等）。
  • ログアナライザー: ブルートフォース攻撃やDNSカバートチャネルのような異常に対する、時間的・統計的な検出器。
• LLM精査パス（LLM Refinement Pass）: 決定論的なヒット内容は、LLMスキャナーへのコンテキストとして注入される。LLMは、新たな事象を捏造するのではなく、既存の発見事項を精査、説明、または拡張することに厳格に指示される。「完全性クリティック（Completeness Critic）」パスは、正規表現では検出できない意味論的な欠陥（例：データレース、TOCTOU）を特に対象とする。
• マージ: 発見事項は重複排除される。決定論的レイヤーがグラウンドトゥルース（真実の基盤）として機能し、LLMは真に新しい箇所を特定した場合にのみ価値を加える。
• 決定論的フロアは、LLMを制約し、根拠を与える役割を果たす。

B. 意思決定およびレスポンスエンジン

中央の意思決定エージェント（Decision Agent）は、発見事項を集約し、人間中心の資産タクソノミー（7つのカテゴリ）を用いてタグ付けを行い、階層化されたレスポンス（なし／ソフト／モデレート／ハード）を選択する。

• メモリとフィードバック: エージェントは、署名済みのクロスセッション・メモリ・ストアを照会し、過去の類似したインシデントを確認する。前例はレスポンスのティア（階層）を引き上げることはできるが、下げることはできない。過去に拒否された試行があった場合、システムは自動的にティアをエスカレーションする。
• アクション生成: アクション生成器（Action Generator）は、修復計画を構築する。これは、決定論的なルールIDに基づいたプレイブックを基礎としている。オプションとして、MCPスタイルのツールレジストリからLLMツールセレクターがステップを追加する場合があるが、許可されるのは読み取り専用、観察、または検証ツールのみであり、破壊的なアクションは禁止されている。

C. ランタイム・セキュリティガード

アクションを実行する前に、SecurityGuardが4つのコンテキスト的なセキュリティ特性（Siuら[1]による）と、独立したアクション整合性オラクルを強制する：

1. タスク整合性（Task Alignment）: 目標が許可された集合内にあること。
2. アクション整合性（Action Alignment）: アクションの種類が目標と互換性があること。
3. ソース認可（Source Authorization）: すべての入力が認証されたソースに由来すること。
4. データ隔離（Data Isolation）: アクションが信頼されたデスティネーションにのみ書き込むこと。

• オラクル ($H_a$): 独立したLLMジャッジが、提案されたアクションが宣言された目標に真に資するかどうかを検証する。このオラクルは、決定を厳格化（承認 $\to$ 拒否）することはできるが、緩和することは決してできず、これにより、サブバージョン（乗っ取り）されたスキャナーが安全でないアクションを強制することを防ぐ。
• 拒否処理: アクションが拒否された場合、システムは安全でない修正を実行するのではなく、ティアを上げた状態での再計画をトリガーする。

D. 対称的攻撃パイプライン

防御の質を評価するために、CyberLLMは防御エージェントを模倣したレッドチーム・パイプラインを含んでいる。これは、同じルールベースに基づいた、非破壊的かつカナリー専用のエクスプロイト・スクリプト（例：シェルインジェクション、パス・トラバーサル）を生成する。これにより、実際の攻撃を実行することなく、同一のシナリオ上で攻撃と防御の両方を測定することが可能となる。

3. 主な貢献

本論文は、4つの主要な貢献を述べている：

1. 階層型検出設計: 正規表現、ASTベース、およびトポロジーグラフ・アナライザーをLLM精査パスと統合した統一ストリーム。ここでは、決定論的フロアがLLMを接地させ、制約をかける。
2. 意思決定およびレスポンスエンジン: 階層化された緩和策を選択し、署名済みメモリと再計画フィードバックを通じて信頼性を高め、ステップごとの検証とロールバックを備えたツールレジストリを通じて計画を実行するメカニズム。
3. ランタイム・セキュリティガード: 上流のコンポーネントがサブバージョンされても、安全でないアクションを防ぐために、4つのコンテキスト的セキュリティ特性と独立したアクション整合性オラクルを適用する形式的な強制レイヤー。
4. 対称的攻撃パイチラインおよびベンチマーク: 攻撃と防御を並行して測定するための、エクスプロイトを生成・再生するシステム。これは、手動でラベル付けされた自動車ECUモジュメントのコーパスを用いて評価されている。

4. 実験結果

本フレームワークは、47個の階層化された脆弱性を含む、9つのオリジナルの自動車ECUモジュール（C、C++、Rust）からなる、独立したグラウンドトゥルース付きベンチマークを用いて評価された。

• 決定論的レイヤー (Fast Mode): ラベル付けされた脆弱性の 34.0% (16/47) をカバーし、100%の適合率（Precision）（クリーンな制御モジュールにおける偽陽性はゼロ）を達成した。
• LLM拡張レイヤー (Deep Mode): LLMによる精査と完全性パスを追加することで、カバー率は約 70% (33/47) に増加し、F1スコアは0.83となった。
• 適合率の維持: Deepモードは、クリーンな制御モジュールに対して 100%の適合率 を維持した。LLMによる精査は、偽陽性を導入することなく、主に正規表現パターンが見逃した中程度の深刻度のロジックやDoS欠陥（例：微妙なレース条件、オフバイワンエラー）の再現率（Recall）を向上させた。
• 言語別内訳: 改善はC、C++、Rustの間で一貫しており、LLMパスは複雑な意味論的欠陥の検出を大幅に強化した。

5. 意義と主張

本論文は、CyberLLMが、決定論的で監査可能な安全なエンベロープに包まれている限り、LLMエージェントが有用な自律的サイバー防御を実行できることを示している。

• 自律性と安全性のバランス: 本フレームワークは、アクションが形式的なコンテキスト的セキュリティ特性を満たさない限り実行されないようにすることで、LLMの自律性と安全制約の間の緊張関係を解消する。
• 定量化された貢献: 結果はLLMの具体的な価値を定量化している。すなわち、決定論的フロアにおいて偽陽性を一切発生させることなく、再現率をほぼ倍増させた。
• 堅牢性: システムは、スキャナーが敵対的な入力によってサブバージョンされたとしても、独立したガードとメモリメカニズムが安全でないアクションのコミットを防ぐように設計されている。
• 今後の展望: 著者らは、現在の静的重視のアプローチは効果的であるが、今後の課題として、ライブツールサーバーの統合、CVEに対する検索拡張生成（RAG）による接地、および高忠実度SDVテストベッド（例：CARLA）に対する検証を挙げている。

結論として、接地されたLLMによる精査、改ざん防止型のメモリ、および形式的なランタイム強制の組み合わせは、自律的で安全な自動車サイバーセキュリティへの実行可能な道筋を提供する。