本論文は、LLM エージェントの性能が実行ハーネス、すなわちツール利用、コンテキスト管理、状態の永続化を統括するシステム層に決定的に依存しているという観察から出発する（エージェントハーネス を参照）。著者らは、アーキテクチャ上のこの中心性ゆえにハーネスは価値の高い攻撃対象領域になると主張する。ハーネスのレベルで一度侵害が起きると、それが実行パイプライン全体に連鎖的に波及しうるからである。さらに、既存のセキュリティ手法には構造的なミスマッチがあると論じる。既存手法はハーネス内部の状態を把握できず、エージェントの動作の異なるフェーズをまたいで連携することもできない。
これに対して著者らは SafeHarness を提案する。これは、提案する 4 つの防御層をフェーズごとに 1 つずつエージェントのライフサイクルに直接組み込み、層をまたぐ仕組みによって各層を結び付けるセキュリティアーキテクチャである。著者らは多様なハーネス構成にわたるベンチマークデータセット上で、6 つの脅威カテゴリにまたがる 5 つの攻撃シナリオのもと、4 つのセキュリティベースラインと比較して評価している。
要点
- 本論文は、モデル単体ではなく実行ハーネスそのものを、侵害されると実行パイプライン全体に連鎖的に波及しうる価値の高い攻撃対象領域として位置づけている。
- 既存のセキュリティ手法はこの状況に構造的に適合しておらず、ハーネス内部の状態を把握できず、エージェントの動作のフェーズをまたいで連携できないと論じている。
- SafeHarness はライフサイクルの各フェーズに 1 つずつ防御層を配置する。入力処理では敵対的コンテキストのフィルタリング、意思決定では段階的な因果検証、アクション実行では権限分離されたツール制御、状態更新では適応的な機能縮退を伴う安全なロールバックである。
- 層をまたぐ仕組みにより、持続的な異常が検出されるたびに、検証の厳格さを引き上げ、ロールバックを発動し、ツールの権限を絞り込む。
- 著者らは、防御のないベースラインと比べて、安全でない振る舞いの発生率（UBR）が平均で約 38%、攻撃成功率（ASR）が平均で約 42% 低下し、しかも中核的なタスクの有用性は維持されたと報告している。これらの数値は、6 つの脅威カテゴリにまたがる 5 つの攻撃シナリオのもとで 4 つのベースラインと比較した評価から得られたものである。
補足
本論文は 2026 年 4 月 15 日に arXiv に初めて投稿され、2026 年 5 月 11 日に改訂された。分類は Cryptography and Security（cs.CR）および Artificial Intelligence（cs.AI）で、分量は 26 ページ、図 6 点である。