arXiv cs.CRが2026年7月28日(現地時間)、マルチエージェントLLMシステムにおける分散型バックドア攻撃の早期検出に関する研究論文を公開した。この攻撃では、単一のエージェントでは完全なペイロードを持たず、暗号化された断片を観測結果に隠し、複数のエージェントに拡散させ、実行後に外部ステップで再構築および実行する。各アクションを個別に判断する逐次的な安全性チェックでは、完全な分散型ペイロードを認識できない可能性があるという。
研究では、攻撃が実行中にどれだけ早く検出できるか、また最も明白な手がかりが取り除かれた後にどれだけ確実に捕捉できるかを調査した。階層型マルチエージェントシステムで実装を構築し、5つの言語モデルと2つのタスクドメインにわたる良性および攻撃条件下で実行された。各断片が注入されるタイミングと、ペイロードが組み立てられ実行されるタイミングが記録された。
検出はペイロードの組み立てとの競合として位置づけられている。最初の断片が注入される前は、攻撃された実行と良性の実行は区別できないが、注入が始まると、プレフィックス検出器が成功した攻撃の99.3%を検出し、中央値で5ステップが残された状態で警告を発した。この際の良性実行における誤検知率は10.3%だった。ペイロードの組み立ては実行後にのみ発生するため、これらのアラートはほぼすべての成功した攻撃を中止するのに間に合うタイミングで到達したと報告されている。
また、警告のどれだけが攻撃の分散構造ではなく、削除可能な表面的な手がかり（主に暗号文の長さとエントロピー）に依存しているかについても測定された。一般的なゼロショット検出器や行動学習型検出器はほとんど警告を提供しなかった。機能した検出器は、一部削除可能な表面的な手がかりに依存する部分があった。ペイロードからエントロピーの手がかりが削除され、検出器から長さの特徴が削除されると、検出は遅れ、ドメイン間の転移も不十分になることが判明した。ただし、ファインチューニングされたモデルは一部の損失を回復した。この研究はディエゴ・フェルナンデス・アリアス (Diego Fernandez Arias)、デブ・プラシャント・ミストリー (Dev Prashant Mistry)、レン・ワン (Ren Wang)、イボ・フー (Yibo Hu) の各氏によって行われた。
参考: arXiv cs.CR — 2026年7月29日 13:00 (JST)