EvoMal、自律進化型coding agentに悪意あるSkillを複製させ、元の汚染源を除去した後も伝播を継続

研究チームはEvoMalを提案し、「自己進化型」coding agentを狙う別のサプライチェーン攻撃経路を検証した。攻撃者はagentに悪意あるSkillを直接実行させる必要はなく、検索可能な共有データベースに配置するだけでよい。agentが問題を解く際にそのSkillを読み込むと、構造を模倣し、同じpayloadを含む新たなツールを作成、保存、実行する可能性がある。

この攻撃では、必要なテレメトリープログラムを装った一般的なPython構造一式が利用される。論文ではこれをbannerと呼んでいる。個々の関数、ラッパー層、コメントは一見無害だが、モデルが各部分を順に模倣する確率を高める。新たに生成された悪意あるSkillはその後インデックスへ書き戻され、別のタスクから再び検索され得る。そのため、伝播の単位は攻撃者が投入した元ファイルではなく、agentが自ら作成し、通常はより信頼できると見なされる派生ファイルとなる。

著者らは、ツールに関連する153件のSWE-bench Verifiedタスクで6モデルをテストし、「悪意あるSkillを新規追加したタスクの割合」であるASPRを測定した。通常の攻撃では20.3%～41.8%を記録し、汚染されたデータベースに最終的に含まれた悪意ある項目は、当初投入された数の4.9～9倍に達した。pytestなどのタスクファミリーに合わせてSkillの説明だけを調整すると、最大ASPRは86.7%まで上昇した。攻撃者が投入した項目を削除した後も、Qwen3は第5ラウンドで68%のASPRを示した。以前に生成された複製が引き続き検索されたためだ。

研究では、同じ仕組みをOpenHandsとClaude Codeのscaffoldingにも移植した。特定のタスクファミリーを対象とした設定では、どちらでも同様の複製行動が確認された。ただし、これは既製品のデフォルト環境で同じ感染率が生じることを意味しない。実験では、著者が設計したSkillライブラリ、検索ルール、タスク分布、実行可能なpayloadが使われており、実際のリスクはsandbox、権限、ネットワーク、書き戻しポリシーに左右される。

著者らが提示した4行のcounter-promptは、主要な設定でASPRを1.8%未満に抑え、最悪のケースでも6.7%にとどめた。しかし、これは依然としてモデルの振る舞いに左右されるソフトな制御にすぎない。より構造化された対策としては、agentが生成したコンテンツを隔離し、署名と管理者の承認記録に基づいて、どのSkillを検索プールへ再投入できるかを決定する方法がある。エンジニアリングチームが今後確認すべき対象は、Skillのインストール元だけではない。自動書き戻し、派生ファイルのprovenance、インデックスのクリーンアップ、実行前ポリシーが、agent自身の作成したプログラムにも適用されるかを検証する必要がある。