自己進化型エージェントは一度の危険な成功を永続的なスキルとして書き込む――悪意あるタスク3件でセッション横断攻撃率が35.3%に上昇

エージェントの「メモリ」がもたらすリスクは、機密性の高いテキストの保存だけではない。一度成功したものの危険な操作を、再利用可能な手順へと蒸留してしまう可能性もある。新たに公開されたSkillMisevo-Gymは、このライフサイクルをスキルの書き込み、検索、実行、セッションをまたいだ持続に分解する。各問題の終了後には会話、作業ディレクトリ、プロセス状態がリセットされ、問題間で保持されるのはバージョン管理されたスキルライブラリだけだ。攻撃者は、限られた学習履歴内の所定の位置で悪意あるタスクを投入できる一方、スキルファイル、検索器、その後のテストを直接変更することはできない。

SkillMisevo-Benchは、Claude Code、Codex、OpenClaw、Hermesという4種類のCLI harnessと、6種類のスキル進化手法を比較した。625回の主要実験では実行モデルを固定し、差異を手法とharnessに帰属させることを試みた。進化機能を持つ21種類の構成すべてが安全でないスキルを少なくとも一度生成し、そのうち15種類では、新たに構築したクリーンなセッションで実害が発生した。悪意あるタスクをわずか3件追加しただけで、carryover attack success rateは、曝露がない場合の16.0%から35.3%へ上昇した。最大曝露予算では41.3%に達し、途中に良性の更新を挟んでも汚染を確実に除去することはできなかった。

著者らはSafeEvolveを提案している。これは、書き込み前にcriticを用いて危険な内容を特定・削除し、検索時にはスキルの出所に伴うリスクを考慮したうえで、有害な再利用履歴に基づいてスキルを削除する仕組みだ。AutoSkillとEvoSkillでは、安全でない検索とクリーンなセッションでの被害をそれぞれ26.7ポイント、17.3ポイント低減し、良性タスクでの有用性は平均0.4ポイントしか変化しなかった。エンジニアリング上の示唆は明快だ。スキルファイルは実行可能なソフトウェア・サプライチェーン成果物として扱い、出所、承認、バージョン、失効の管理機能を備えなければならない。タスクが成功したという理由だけで自動的に信頼してはならない。評価がスキルライブラリとコンピューター操作に集中している点は制約となる。長期メモリ、モデル重みの更新、マルチモーダルエージェント、実環境のトラフィックでも同様の累積曲線が見られるかどうかは、今後の検証を待つ必要がある。