無害に見えるスキルの組み合わせがAIエージェントを危険に導く

はじめに

スキルベースのAIエージェントは、必要な機能を実行時に追加できる。スキルには自然言語による指示、実行可能なスクリプト、参照資料などを含められ、エージェントは特定の作業に応じてそれらを読み込む。この仕組みは第三者の能力を再利用しやすくする一方、複数のスキルが組み合わさったときの安全性という新たな課題も生む。

arXivに掲載された「Stealth Apart, Harm Together: Skill Cascading Attacks on Skill-Based Agent Systems」は、この課題を「スキル・カスケード攻撃」として整理した。従来の検査は個々のスキル内部にある脆弱性を中心に見てきたが、今回の研究は、スキル同士の関係が作るリスクに焦点を当てている。

悪意を複数の処理に分散

カスケード攻撃では、攻撃者は一つのスキルに明白な悪意ある処理を埋め込まない。代わりに、目的を複数のスキルへ分割する。各スキルは、項目の抽出方法を変えたり、重要度を調整したり、最終出力を整理したりするだけに見える。しかし、エージェントがそれらを順番に実行すると、小さな変更が積み重なり、最終的な判断を歪める可能性がある。

論文では処方薬の確認パイプラインを例に挙げている。最初のスキルが最近中止された薬剤に関する情報を弱め、次のスキルがそれらに関連する薬物相互作用の深刻度を下げ、最後のスキルが低優先度になった警告を最終要約から抑制する。個別に見れば、どの処理もデータ整理やアラート最適化として説明できる。しかし組み合わせると、重大な警告が医師に届く前に消えてしまう。

主なポイントは次の通りだ。

• リスクは個別スキルのコードだけでなく、スキル間の依存関係、実行順序、情報伝達にある。
• スキルを一つずつ調べるスキャナーでは、分散された目的を復元できない場合がある。
• 局所的な呼び出しだけを監視する仕組みでは、最終結果が段階的に形成される過程を見落としうる。
• 各コンポーネントが無害でも、組み合わせたワークフローが安全とは限らない。

SkillCascadeによる検証

研究チームはこの盲点を調べるため、自動化されたマルチエージェント・レッドチーム・フレームワーク「SkillCascade」を開発した。さらに、複数のエージェントシステムと分野を対象にした、213件の検証済みカスケードテストケースからなる「SkillCascade-Bench」も公開している。

評価にはOpenClaw、Claude Code、Codexなどの代表的なエージェントと、複数の大規模言語モデル基盤が含まれる。論文によれば、スキル間の連鎖は有害な挙動を安定して引き起こし、既存のスキル単位スキャナーや実行時モニターを回避した。これは、「すべての部品を個別に検査すれば、全体も安全になる」という前提に疑問を投げかける結果だ。

SkillCascadeが重視するのは、ワークフロー全体である。あるスキルが何を変更し、次のスキルがそれをどう解釈し、その連鎖が最終結果をどのように変えるのかを追跡する。これは、現実のエージェント処理に近い評価方法でもある。

エージェント安全性への意味

スキルのエコシステムが開放されるほど、依存関係と組み合わせの数は増える。開発者は個別スキルの静的検査だけでなく、データフロー、呼び出し順序、重要な状態変化を横断的に記録する必要があるだろう。高リスクの用途では、中間結果や変更履歴を保存し、警告の優先度や根拠がどの段階で変わったのかを監査できる仕組みも重要になる。

この研究が示す問いは明確だ。安全なのは「このスキル」だけなのか、それとも「これらのスキルを一緒に動かしたシステム」なのか。スキルがエージェント拡張の標準的な手段になるほど、スキル間の意味解析、組み合わせを対象にしたレッドチーム、システム全体の実行時防御が重要になる。

出典：arXiv