CompoSkill、個別スキャンを通過したエージェントスキルも連携後には最大8割のリスクチェーンを形成し得ると報告

エージェントスキルのマーケットプレイスでは通常、パッケージを個別にスキャンする。各`SKILL.md`、スクリプト、依存関係が悪意のあるものと判定されなければ、そのインストール構成は安全だと見なされる。8月17日に提出されたCompoSkillは、このモデルが、エージェントが長いワークフローの中で異なるスキルの出力、権限、副作用を能動的に結び付ける点を見落としていると指摘した。単独では無害なファイル読み取り、クラウドへのアップロード、メッセージ送信といった機能も、モデルのプランニングによって連携されると、データ流出や未承認操作につながる経路を形成する可能性がある。

研究では2種類の攻撃器を構築した。ホワイトボックス版は、標的にインストール済みのスキルセットを把握しており、明示的なスキルIDのシーケンスを直接注入できる。ブラックボックス版はユーザーの役割説明のみを取得し、人気マーケットプレイスのスキルからSkill Composition Graphを構築したうえで、高リスクのチェーンを探索し、スキル名を直接指定しない暗黙的な誘導を生成する。この設計が検証するのは、スキャナーが単独の悪意あるテキストを識別できるかどうかだけではなく、エージェント自身が攻撃経路の不足部分を補完できるかどうかである。

CompoSkill-Benchには、5種類の脅威と6種類のシナリオを網羅する1,140件の長期的な専門ワークフローが収録され、OpenClawとNanobot上でテストされた。論文によると、リスクチェーン形成率はホワイトボックスで最大83.3％、ブラックボックスで最大80.6％に達した一方、既存のスキル単位のスキャナーが阻止できたのはその一部に限られた。著者らは「ブリッジングによる向上、ホップ数による減衰」も観察した。ブリッジングスキルを追加すると成功可能性は高まるが、チェーンが3スキルを超えると、攻撃成功率は逆に低下した。

したがって、プラットフォームエンジニアリングでは、防御を組み合わせと実行の段階へ移す必要がある。具体策には、ケイパビリティおよびデータフローグラフの構築、スキル間の値受け渡しの制限、機密性の高いソースへのtaint trackingの導入、実際のツール呼び出し時における送信先とユーザー承認の再確認などが含まれる。ただし、数値の解釈には注意が必要だ。Chain Formation Rateは危険な組み合わせが形成された割合を測るものであり、データ窃取の成功を意味しない。また、研究対象も2つのエージェントと人為的に構築されたシナリオに限られている。次の段階では、benchmarkと攻撃生成器を公開し、署名、静的解析、sandbox、最小権限ポリシーを組み合わせた場合の実際の阻止率を検証すべきである。