シチエ・ダイ (Shih-Chieh Dai) 氏、シンユウ・サン (Xinyu Sun) 氏、グアンホン・タオ (Guanhong Tao) 氏らの研究チームは10月23日(現地時間)、大規模言語モデル (LLM) エージェントを悪意あるツールへと誘導する新たな欺瞞攻撃手法「TSA (Tool-Spoofing Attack)」を発表した。この手法は、悪意あるツールの説明文を最適化することで、既存の正当なツールとの区別を困難にし、ステルス性の高い攻撃を可能にする。本研究は、科学論文投稿サイト「arXiv cs.CR」で公開された。
大規模言語モデル (LLM) エージェントは、現代の多岐にわたるアプリケーションで広く活用されており、その機能はしばしば外部ツールへの依存によって拡張される。これらのツールの機能説明は、エージェントが特定の状況に最適なツールを判断する上で極めて重要な情報源となる。しかし、この重要な情報を攻撃者が意図的に操作することで、LLMエージェントを悪意あるツールへと誤誘導する可能性が指摘されている。
従来のLLMエージェントに対する攻撃手法は、主にキーワードベースの技術に依存しており、その性質上、検知されやすいという課題があった。また、ルールベースの手法も存在したが、その効果は限定的であった。これに対し、今回提案されたTSA (Tool-Spoofing Attack) は、これまでの手法とは一線を画す、ステルス性の高いツール欺瞞攻撃として位置づけられる。この攻撃の核心は、既存の正当なツールと見分けがつきにくい悪意あるツールの説明文を作成することにある。
研究チームは、この目的を達成するために、LLMを応用した最適化メソッドを開発した。このメソッドは、まず正当なツールの説明文のバリアントを初期入力として利用する。次に、代理のLLMエージェントからのフィードバックに基づいて、悪意あるツールの説明文を反復的に改良していくプロセスを踏む。最適化プロセスには、フィードバック機能とコントラスティブ・インコンテキスト学習が組み込まれており、これにより、ステルス性と効果の両方を兼ね備えた説明文の探索が導かれる。
単一および複数ツールの利用を想定したベンチマークを用いた広範な実験が行われた結果、TSAが最大92.13%という高い攻撃成功率を達成したことが示された。この攻撃成功率は、比較対象とした4つの最新アプローチを上回るものであり、同時に高いステルス性も維持されていることが確認された。さらに、TSAによって生成されたツールの説明文を人間の参加者に評価させるユーザー調査では、人間でさえもそれらを正当なものと悪意あるものと区別できないことが判明した。TSAは、5種類のツールマルウェア検出器に対してもその有効性を維持し、検出を回避する能力を示している。本研究は、LLMエージェントのセキュリティに関する新たな脆弱性を提示し、今後の防御策開発の必要性を浮き彫りにした。
参考: arXiv cs.CR (アーカイブ) — 2026年10月27日 13:00 (JST)