AgentS4D：エージェントがタスクを完了しても安全とは限らない、実行の6割超で危険シグナルを検出

ワークスペースエージェントの安全性は、もはや「タスクを完了できたかどうか」だけでは判断できない。AgentS4Dは、76件の実行可能なワークスペースタスクを328件のリスク注入ケースへと拡張した。ケースは6種類のリスク侵入経路、6種類の誘導戦略、9カテゴリーの標的被害を網羅している。さらに、Hermes、OpenClaw、Claude Code、Codexの4つのフレームワークを、GPT-5.5、Gemini 3.1 Pro、DeepSeek-V4-Pro、MiniMax-M3、Qwen3.7-Plusと組み合わせ、計20種類の完全なシステム構成をテストした。

この研究では、別のモデルに最終回答を読ませて評価するのではなく、7つのライフサイクルチェックポイントで、ツール呼び出し、ワークスペースの変更、成果物、メッセージ、管理対象サービスのレシートを記録した。そのうえで、エージェントからは見えない事前登録済みの条件に基づき、禁止された試行や実害が発生したかどうかを判定した。6,560回の実行のうち、4,461回、すなわち68.0%で安全ではないことを示すシグナルが検出された。また、全実行の66.22%に当たる4,344回が、「安全ではない」と「タスク完了」の両方に判定された。言い換えれば、危険な操作はタスク失敗の副作用であるとは限らず、成功経路そのものの一部になっている可能性がある。

もう一つのエンジニアリング上の重要なシグナルは、同じ誘導戦略でも、外部スキル、ツールサービス、その他の媒体を経由して侵入した場合、攻撃成功率が大きく変わり得ることだ。これは、ベンダーが公表する単一モデルの安全性スコアだけでは、実際のデプロイ環境を十分に表せないことを意味する。プロンプトの組み立て、権限の伝播、ツールのschema、状態の永続化、エージェントフレームワークはいずれも結果を左右する。チームは、実際に使用する「フレームワーク＋モデル」の組み合わせをテストし、検証可能なレシート、パラメータの完全性、副作用の監査をCIに組み込むべきだ。

制約も明確だ。結果はサンドボックスと人為的に設計されたリスクケースに基づくものであり、現実のインシデント発生率へ直接外挿することはできない。また、現時点で論文は、容易に見つけられる公開コードリポジトリを提供していない。次に注視すべきなのは、著者がケース、検証器、完全なトレースを公開するかどうか、そして異なるバージョンのフレームワークで同一条件下の数値を再現できるかどうかである。