ElasticBack、単一のAgent Skillに条件付きバックドアを埋め込み、大半のモデルで誤作動率を2%以下に抑制

Agent Skillは、新たなソフトウェア・サプライチェーンになりつつある。Agent Skills仕様では、パッケージに`SKILL.md`だけでなく、実行可能なスクリプト、参考資料、アセットも含められる。AgentはSkillが適用可能だと判断すると、指示全文を読み込み、必要に応じてそのリソースを実行する。ElasticBackは、この信頼モデルを、モデルの重みを変更しない条件付きバックドアへ転用できることを示した。

攻撃者はまず、Skill文書内の目立たない場所にルールRを埋め込み、リクエストに特定のマーカーが含まれる場合に限り、正規のツールを装ったpayloadを実行するよう規定する。次に、遺伝的探索を用いて、自然で対象分野の文脈に沿ったトリガー文Tを生成する。探索では、意味的な適合度、ルールとの類似度、文法を同時に考慮し、信頼下限を用いて、複数回のテストでも安定して起動する候補を選ぶ。通常のリクエストにはマーカーが含まれないため、一般的なレビューやテストでは、Skillは従来どおりの挙動を維持する。

著者らは、情報漏えい、未承認のコード実行、出力改ざんという3種類の挙動について、それぞれ50個のSkillと4つのモデルをテストした。GLM‑5.2、MiniMax‑M3、GPT‑5.4の攻撃成功率は82～98%で、誤作動率は大半が0～2%だった。一方、Claude Sonnet 4.6の成功率は72～76%にとどまり、誤作動率は20～24%に上昇した。この差は、攻撃がモデル非依存ではなく、「誤作動がほぼゼロ」という評価をすべての結果に一般化できないことを示している。

エンジニアリングチームにとって、テキストのperplexityだけを検査する、別のLLMにSkillをレビューさせる、少数の正常ケースで試験実行するといった対策だけでは不十分だ。Skillは第三者コードと同様にバージョンと配布元を固定し、スクリプトの権限を分離したうえで、変異入力や敵対的入力を使って条件分岐をテストすべきである。論文は現時点で公開実装を提供しておらず、すべての数値は著者らが構築したSkillセットに基づいている。次に問われるのは、独立した再現実験の結果と、署名、capability manifest、sandboxがpayloadを本当に遮断できるかどうかだ。