イェディデル・ルーク（Yedidel Louck）氏は2026年7月23日(現地時間)、arXiv cs.CRで公開された研究論文において、AIエージェントが自律的にサービスを発見し、支払いを行い、ユーザー認証情報を利用する「エージェント商取引プラットフォーム（Agentic commerce platforms）」が、AIモデル層ではなくそのプロトコル層に構造的な脆弱性を抱えていることを指摘した。これらの脆弱性は、AIモデルの改善だけでは排除できず、特定のAIモデルの種類に依存することなく、決定論的に悪用される可能性があると警鐘を鳴らしている。
ルーク氏の論文では、3つの主要なエージェント商取引プラットフォームから33のプロトコルレベルの脆弱性が特定されたと報告されている。これらの脆弱性は、展開されているAIモデルに左右されず、実際の測定では100%の攻撃成功率（ASR）で悪用されることが確認された。独立して構築されたコードベース間で同一の失敗モードが繰り返し発生していることから、これらは単なる個別のバグではなく、体系的なパターンであるとルーク氏は述べている。
特に、特定された脆弱性のうち3つを連鎖させることで、エンドツーエンドの支払いハイジャックが可能になることも示された。ルーク氏は、モデルに依存するセマンティック攻撃とは異なる、これらの構造的攻撃を分類するための新しいタクソノミーを提案している。
研究成果として、2つのアーティファクトも発表された。一つは、エージェント商取引のセキュリティに関する初の決定論的ベンチマークであるというAIP-Bench (Agent Interaction Protocol Benchmark)。もう一つは、プラットフォームに依存しない防御策PCAT (Protocol-level Commerce Agent Trust)である。PCATは、5つの構造的クラス（RC-1, RC-2, RC-4, RC-5）のうち4クラスにおいて構造的攻撃成功率をゼロに低減し、RC-3（observable credential channels）については警告のみに留める。これらの防御策は、対象となるプラットフォームの変更を必要としない。
ルーク氏は、エージェント商取引のセキュリティ確保には、AIモデル層だけでなくプロトコル層での対策も不可欠であると結論付けている。
参考: arXiv cs.CR (アーカイブ) — 2026年7月27日 13:00 (JST)