AIエージェントの履歴再投入による課金増大を抑える
Persistent Billable State: Denial-of-Wallet Attacks and Defenses in Tool-Calling LLM Agents
この論文をやさしく読む
ひとことで言うと
外部ツールの長い返答を後のLLM入力へ繰り返し入れると利用者の課金が増える問題と、その防御を調べた。
何に役立つ？
ツールを使うエージェントで、履歴の保持・圧縮・費用上限をどう設計するか判断する材料になる。
この研究の面白いところ
243回の試験で累積入力が初回の最大1万4293倍になり、履歴の圧縮は単純な削除より課題成功を保った。
どこまで分かった？
評価は特定のモデル系列、再現攻撃群、作業手順での結果であり、すべての攻撃に対する完全な保証ではない。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
複数段階でツールを呼ぶLLMエージェントでは、実行環境が対話をまたいで状態を保持する。外部ツールの返答を後のモデル入力へ引き継ぐと、その内容には再び利用料金がかかる。受け入れられた悪意ある、または侵害されたツールは、被害者の認証情報や端末上の特権がなくても、信頼できないデータを繰り返し被害者へ課金される処理に変えうる。本研究は保持された内容を「持続する課金対象の状態」と呼び、それが後の課金対象の文脈に入るか、どう入るかを決める実行環境の境界を定式化する。この受け入れ後の段階を体系的に調べ、六つの費用枯渇型攻撃経路を導き、六つのモデル系列で評価するDOW-BENCHを作った。243回の実行で、各セッションの累積入力は最大で初回呼び出しの1万4293倍に達した。履歴方針をそろえた再実行では、生の履歴を残すとセッションの平均的な実効費用が21.2～35.9％増えた。履歴の圧縮は履歴が必要な12課題中10件と11件で成功した一方、削除では各提供者で12件中2件だけだった。 この境界を管理するため、決定的な履歴変換と、再投入前に入力量、文脈の増加、再帰的な機会、累積費用を制限する四つの実行環境側の不変条件を組み合わせた。防御の中核は、123件の再現評価群にある繰り返し型の攻撃をすべて封じた。Mistral Small 4を使う24件の作業手順では、進捗を考慮する方針が24件中22件の正解で検証された課題成功を達成し、完了前の中断はなかった。固定上限では24件中13件だった。調べた3830件のMCPサーバーと通信処理のリポジトリで、コードから確認できる防護策の代替指標を一つでも持つものは71件だけで、四種類すべてを備えたものはなかった。これらの結果は、履歴へ再投入する前の制御が実行環境側の責任であることを示す。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-23（UTC）
- 最新改訂
- 2026-09-23 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-23 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Multi-step tool-calling LLM agents rely on host runtimes to preserve state across turns. When a runtime carries an external tool return into later model inputs, providers meter it again. An admitted malicious or compromised tool can thereby convert untrusted data into recurring victim-billed processing without victim credentials or local runtime privilege. We call retained content persistent billable state and formalize the host's decision over whether and how it enters later billable context as the persistent billable-state boundary. We present the first systematic security study of this post-admission lifecycle. We derive six denial-of-wallet attack vectors and build DOW-BENCH, an end-to-end harness evaluated across six model families. Across 243 executions, usage telemetry shows that the maximum per-session cumulative input reaches 14,293x the session's first-call input. Controlled history-policy reruns isolate raw retention's contribution: retaining raw history increases mean effective session cost by 21.2-35.9%. Compression succeeds on 10/12 and 11/12 history-dependent tasks, versus 2/12 under deletion for each provider. To govern this boundary, we combine deterministic history transformation with four host-side invariants that bound prompt mass, context growth, recursive opportunity, and cumulative spend before reingestion. The kernel contains every recurring attack in the 123-evaluation replay corpus. Across 24 Mistral Small 4 workflows, a progress-authorized policy achieves 22/24 oracle-verified task successes with no pre-completion interruptions, versus 13/24 under a fixed cap. Only 71 of 3,830 scanned MCP server and transport repositories expose any code-visible safeguard proxy, and none cover all four safeguard families. These results establish persistent billable state as a first-class security object and pre-reingestion as its host-owned control point.
著者のコメント
22 pages, 14 figures, 13 tables
arXiv ID: 2609.28585 ／ 要約の誤りについて