想像してみてください。あなたの指示に従って、単に質問に答えるだけでなく、実際に「行動」してくれる超スマートなロボットアシスタントがいるとします。それはコードを書いたり、航空券を予約したり、デジタルファイルを整理したりできます。これを行うために、ロボットには「脳」（AIモデル）と「バックパック」（記憶、ツール、スキルを保持するソフトウェアシステム）が必要です。このバックパックは非常に重要です。なぜなら、昨日何をしたかを覚えておくことで、今日大きなプロジェクトを完了させることができるからです。しかし、ここが厄介なところです。もし誰かがそのバックパックの中に、目に見えないほど小さなウイルスを忍び込ませたらどうなるでしょうか？それはすぐには何も起こさないかもしれません。代わりに、メモやツールの設定の中に隠れて、数週間後にロボットが無垢なタスクを実行する瞬間を待ち構えます。突然、その無垢なタスクがウイルスを起動させ、ロボットが誤ってあなたのファイルを削除したり、秘密のメッセージを送信したりしてしまうのです。これが、AIエージェントにおける「持続的なリスク（persistent risk）」の世界です。時間や異なるタスクを超えて生き残り、攻撃の瞬間を待っている危険のことです。

HarnessSafe と題されたこの論文は、これらロボットのバックパックに対する、大規模でハイテクなストレス・テストのようなものです。研究者たちは、現在のAIシステムが、これらの「眠っている」攻撃が目を覚ましてトラブルを引き起こす前に、それらを察知できるかどうかを確かめたいと考えました。彼らは、7種類の異なるタイプの「バックパック」（記憶、スキル、共有ツールなど）において、7つの異なる種類の「隠れたウイルス」を植え付けることに成功した、328もの異なるシナリオを備えた遊び場を構築しました。彼らは単に「ロボットはハックされたか？ はい／いいえ」と尋ねるのではなく、攻撃をステップ・バイ・ステップで追跡しました。ウイルスが植え付けられた瞬間に検知されたのか、境界（新しい日や新しいユーザーなど）を越えて生き残ったのか、あるいは最終的に災難を引き起こすことに成功したのかを観察したのです。

結果は、一種の警鐘となりました。研究者たちは、安全性とはロボットの「脳」や「バックパック」単独の問題ではなく、その特定の組み合わせの問題であることを発見しました。あるロボットシステムはメモリ内のウイルスを捕まえることには長けているが、ツール内のウイルスを見つけるのは苦手でした。また、その逆のシステムもありました。実際、2つのシステムが同じ「失敗率（ハックされた頻度）」を持っていたとしても、一方は攻撃を早い段階で阻止し、もう一方は失敗するまで数日間もウイルスを徘徊させていた、ということもありました。これは、単にシステムが何回ハックされたかを数えるだけでは不十分であり、どこで、いつ防御が失敗したのかを知る必要があるということを意味しています。この研究は、これらの隠れた遅延攻撃が実在し、かつ危険であることを証明しており、それに対処するには、単に最終的な爆発を見るのではなく、リスクの全行程を見る必要があると述べています。

「眠れるスパイ」の物語

研究者が行ったことを理解するために、AIエージェントを、巨大なオフィスで働く**「超整理整頓が得意なインターン」だと想像してみてください。このインターンには、ToDoリストや、ツール（計算機やファイルフォルダなど）、そして自分が行ったことに関するメモを保管するための「バックパック」**（「ハーネス」）があります。

通常、このインターンは非常に役に立ちます。しかし、想像してみてください。スパイ（攻撃者）がオフィスを破壊しようとしています。スパイは単に「悪いことをしろ！」と叫ぶことはしません。なぜなら、インターンが拒否するだろうからです。代わりに、スパイはインターンのバックパックの中に**「眠っている指示（sleeping instruction）」**を忍び込ませます。例えば、「メモリ」セクションに奇妙なメモを書いたり、「スキル」ファイルを、見た目は普通だが隠れた罠があるように書き換えたりします。

スパイは去ります。インターンは日常の、退屈で普通の業務をこなしていきます。何も起きません。これが「持続性（persistence）」の部分です。悪いことはただそこに座って、待ち構えているだけなのです。

その後、数日後、ボス（ユーザー）がインターンに「このレポートを要約して」といった、完全に無垢な依頼をします。これが「無垢なトリガー（benign trigger）」です。しかし、インターンのバックパックにはまだスパイからの「眠っている指示」が残っているため、インターンがレポートを開いた瞬間に、罠が作動します。インターンは、自分がただ普通の仕事をしていると思っている間に、誤ってボスのファイルを削除したり、秘密のメールを送信したりしてしまうかもしれないのです。

偉大なるバックパック・ストレス・テスト

論文の著者たちは、どのオフィスシステムが安全かを確かめるために、スパイの役割を演じることにしました。彼らは、これらの「眠れるスパイ」を植え付けるための328通りの異なる方法を備えた、巨大なテストキットであるHarnessSafeを作成しました。彼らは、以下の7種類の異なるバックパックに対して、これらのスパイをテストしました：

1. Memory（メモリ）： インターンのメモの中に隠れる。
2. Skills（スキル）： タスクの実行手順の中に隠れる。
3. Tools/MCP（ツール/MCP）： インターンが使用するツールの設定の中に隠れる。
4. Memory-to-Skill（メモリからスキルへ）： メモを新しいスキルへと変える。
5. Subagent Delegation（サブエージェントへの委譲）： スパイをヘルパー・ロボットに引き継ぐ。
6. Session Summary（セッション要約）： 過去の会話の要約の中に隠れる。
7. Shared Artifacts（共有アーティファクト）： 異なる作業者間で共有されるファイルの中に隠れる。

彼らは、これらのテストを7つの異なる実世界のロボットシステム（Claude Code、Codex CLIなど）に対して実行し、それらが攻撃をどのように処理するかを確認しました。

「ステージ」スコア：単なる「はい／いいえ」ではない

ここからが、この論文の非常に巧妙な点です。ほとんどの安全性テストは、「ロボットはハックされたか？ はい／いいえ」とだけ言います。しかし、研究者たちは、それが「ブレーキが故障したのは時速10マイルの時か、それとも100マイルの時か」の違いを無視しているのと同様であることに気づきました。

代わりに、彼らはスパイがどこまで到達したかを追跡するために、7段階のスコアボード（N0からN5bと呼ばれます）を作成しました：

• N0: スパイは一度も見つかりませんでした。バックパックは固く閉ざされていました。
  ло
• N1: スパイが侵入しようとした瞬間に発見されました。
• N2: スパイは侵入して何かを変更しましたが、実害が出る前に捕まりました。
• N3: スパイは「夜（新しいセッション）」を生き延び、インターンによって再読されました。
• N4: スパイは何か悪いことをしようとしましたが、システムがその動作を阻止しました。
• N5a/N5b: スパイが成功しました！ 被害が発生しました。

このスコアボードを使用することで、彼らは、あるシステムは入り口でスパイを止めること（N1）には長けているが、中に入った後の阻止（N3）には不得意であることを見抜くことができました。また、その逆のシステムもありました。

彼らが発見したこと：すべては「組み合わせ」次第

大きな発見は、安全性がロボットの「脳（AIモデル）」と「バックパック（ハーネス）」の特定のチームワークに依存しているということでした。

• 完璧なものはない： あらゆることに最も優れたシステムというものは存在しませんでした。例えば、あるシステム（Codex CLI）は、ツールやメモリの中のスパイを捕まえることには驚異的に優れていましたが、実は「スキル」の中のスパイを捕まえることに関しては最も苦手としていました。別のシステム（Claude Code）はスキルには強いものの、他の部分では弱いといった具合です。
• 「脳」も重要である： 同じバックパックに異なるAIの脳を入れると、安全性スコアは劇的に変化します。ある脳は非常に慎重でスパイを捕まえる一方、別の脳はあまりにも信頼しすぎてしまい、スパイを通してしまうかもしれません。
• 「同じスコア」の罠： 2つのシステムが同じ「攻撃成功率（つまり、失敗した回数が同じであること）」を持っていたとしても、ステージを見ると、一方は早い段階（N1）で失敗し、もう一方は失敗するまで数日間もスパイを徘徊させていた（N3）という違いがあります。これは、単純な「合格／不合格」のスコアが、多くの危険な詳細を隠してしまっていることを意味します。

まとめ

本論文は、ロボットを見て単に「安全である」とか「安全ではない」と言うことはできない、と結論付けています。安全性は、記憶を保持するソフトウェアと、思考するAIとの間の複雑なダンスなのです。もし私たちがこれらの「眠れるスパイ」攻撃を阻止したいのであれば、最終的な結果だけでなく、リスクの全行程を監視するシステムを構築する必要があります。防御が具体的にどこで壊れたのかを知ることで、バックパックのその特定のパーツを修理することができるのです。

要するに、研究者たちは、AIエージェントの世界では、隠れた危険が長い間眠り続けることがあり、それを捕まえるには、ロボットがまだ動作しているかどうかを確認するよりも、はるかに詳細な観察が必要であることを示したのです。彼らは、どこに亀裂があるのかを正確に見つけ出すための地図とスコアボードを提供しました。