この論文は、広く使われている 6 つの実在するコーディングエージェント（Cursor、Claude Code、GitHub Copilot、Windsurf、Cline、Trae）を、公式にサポートされているバックエンド LLM にわたって対象とした、ツール呼び出しに焦点を当てた初の体系的なセキュリティレッドチーミングであると自ら述べるものを提示する。レッドチーミングは 2 つのフェーズで進む。プロンプト窃取（エージェントの隠されたシステムプロンプトとツールのメタデータを復元すること）と、ツール呼び出しの乗っ取り（復元した情報を使って不正なコマンド実行を引き起こすこと）である。
中心的な技術的貢献は、ToolLeak と 2 チャネル・プロンプトインジェクション の手法である。前者は、モデルが通常のチャット応答を扱う方法とスキーマ駆動のツール引数生成を扱う方法とのギャップを突いて、隠されたプロンプトを窃取する手法であり、後者は、悪意のあるツールの説明文とその戻り値を組み合わせてエージェントのコマンド実行動作を乗っ取る手法である。
要点
- ToolLeak は、エミュレートされた環境では 6 つのエージェントすべてで最良のプロンプト窃取性能を達成し、実環境では、テストした 25 のエージェントと LLM の組み合わせのうち 18 で最良の「疑似再現率（pseudo-recall）」スコア（商用製品のシステムプロンプトの正解データが入手できないための代理指標）を達成した。Cursor と Claude Code では、複数のバックエンドモデルでほぼ完璧なスコア（例：1.00）に達した。
- 2 チャネル・プロンプトインジェクション手法は、テストした 6 つのコーディングエージェントのそれぞれで、少なくとも 1 つの構成においてリモートコード実行を達成し、直接比較において 4 つの単一チャネルのベースライン（AgentDojo、InjecAgent、MCPTox から改変したものと、論文自身の攻撃の単一チャネル版）を一貫して上回った。
- 新旧のエージェント／モデルのリリースにわたるテストでは、明確な堅牢化の傾向が見られた。「段階的開示（progressive disclosure）」（完全なツールの説明文ではなくツール名だけをモデルに示すこと）を採用した新しいバージョンの Cursor と Claude Code は、攻撃が依存する説明文チャネルの誘導を遮断した。また、新しいバックエンドモデル（例：Claude Sonnet 4.6、Opus 4.7）は、戻り値チャネルが開いたままでもより強い拒否行動を示した。その結果、新世代のバックエンドにわたって、2 チャネル攻撃の成功率は Claude Code で 0.0、Cursor で最大 0.3 に低下した。
- 同等のアーキテクチャ再設計を行っていないエージェントは、バックエンドにかかわらず脆弱なままだった。論文は、特定の新しいバックエンドモデル（例：Gemini 3.1-pro）を用いた Cline、Windsurf、Trae で、2 チャネル攻撃が依然として 1.0 の成功率を達成したと報告している。
- 評価した防御策のうち、パープレキシティに基づく異常検知器はテストで使われた悪意のあるツールの説明文を検出できず、プロンプトインジェクション専用の分類器（Llama-Prompt-Guard-2-86M）は悪意のあるケースの大半を検出し、個々のトークンではなく呼び出しトレースを検査するツールレベルのランタイムスキャナー（Agent-Scan、MCP Safety Scanner）は、評価した 6 つのエージェントすべてでペイロードを検出した。
- 論文は、ツール呼び出し乗っ取りの根本原因を、モデルのアラインメントのギャップだけでなくアーキテクチャ上の問題に帰している。現在のエージェント設計は、モデルが生成したツール呼び出しとその返却された出力を同質のテキストストリームとして扱い、命令とデータの明確な分離がない。論文は、事後的な検知よりも持続的な方向性として、命令とデータを分離する先行アーキテクチャ（SecAlign、MetaSecAlign、StruQ）を挙げている。
- 論文の脅威モデルは、攻撃者が被害者を攻撃者の管理する外部ツールに接続させること（例：審査が不十分な MCP レジストリ経由）を必要とするが、root／管理者権限、バックエンド LLM の制御、特権的な組み込みツールを直接呼び出す能力は必要としない。
補足
この論文はプレプリントである。そのケーススタディは、テスト時点での特定の名前付き製品とバージョンを対象としており、論文自身の結果がすでに、テスト対象のベンダーのいくつか（Cursor、Claude Code）が後のリリースでアーキテクチャ上の緩和策（段階的開示）を出荷していたことを示している。そのため、報告された攻撃成功率はいずれかの製品の恒久的な特性ではなく、バージョンと構成に固有のものである。論文自身のコード／アーティファクトのリポジトリへのリンクは、匿名化ホスティングのドメインに置かれている。