AIエージェントの安全性評価にカーネルの記録を加える
On the Effectiveness of Kernel-Level Evidence for Agent Security
この論文をやさしく読む
ひとことで言うと
AIエージェントのメッセージなどの記録に、OSカーネルが記録するシステムコールを組み合わせると、脅威の検出に役立つかを調べた研究です。
何に役立つ？
エージェントの監視でどの層の記録を集めるべきかを考える材料になります。要旨では4系統の検出器で、両層の組み合わせが概して単独の層より良い結果だったと報告しています。
この研究の面白いところ
4,047セッションを攻撃の仕組みごとに整理し、識別に役立つ証拠がアプリケーション層とカーネル層のどちらにあるかを比べています。
どこまで分かった？
要旨では未見の攻撃群と別の実行環境への検証を述べていますが、あらゆるエージェント環境や脅威での性能は示していません。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
大規模言語モデルのエージェントはホスト上で広い権限を持つ基盤に配置されるが、既存の安全性ベンチマークと防御策は、提供されたツールの一覧、ユーザーの指示、モデルのメッセージといったアプリケーション層の記録をほぼ専ら扱っている。しかし、一部の脅威は悪意ある指示や動作をアプリケーションの境界を越えて紛れ込ませ、この層から見えなくする。 著者らはこの不足を補うため、アプリケーション層のエージェント記録とカーネル層のシステムコールの記録を対応付け、エージェントの安全性についてカーネル層とアプリケーション層の信号を比較できる初の対応証拠による分析を示す。記録を増やす価値を定量化するため、4,047セッションからなるAgent Cross-Layer Evidence（ACE）を構築した。ACEは、6種類の配送経路にまたがる17の脅威モデルと、OWASPの大規模言語モデルおよびエージェント関連の25の脅威分類のうち14を含み、12種類の攻撃の仕組みに整理されている。各仕組みについて、識別に最も有効な証拠がどこにあるかを分析した。 異なる4系統の検出器を使った結果、カーネルの証拠は単独でも識別力を持ち、アプリケーション層の証拠と組み合わせると、通常はどちらか一方だけを見るより高い性能を示した。これは、単一層の分析では見落とす相補的な信号があることを示す。さらに、未見の攻撃群への一般化と、別のエージェント実行環境への移行も示した。これらの結果は、層をまたぐ証拠がエージェントの安全性評価に有用であることを裏付ける。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-24（UTC）
- 最新改訂
- 2026-09-24 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-24 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
LLM agents are deployed into infrastructure that grants them broad host authority, yet existing agent-security benchmarks and defenses operate almost exclusively at the application telemetry layer: the served tool manifest, the user prompt, and the model's messages. Some threats, however, smuggle malicious instructions and actions past the application boundary, leaving them invisible to that layer. In this work, we bridge that gap by pairing application-level agent telemetry with kernel-level syscall traces to present the first paired-evidence characterization of kernel-level versus application-layer signal for agent security. To quantify the value of the enhanced telemetry, we introduce Agent Cross-Layer Evidence (ACE), a paired-session corpus of 4,047 sessions and 17 threat models spanning six delivery-vector families and 14 of the 25 OWASP LLM and agentic threat categories, organized into 12 attack mechanics with per-mechanic characterization of where the most discriminative evidence lies. Across four distinct detector families, we find that kernel evidence is discriminative on its own and that composing it with application-layer evidence generally outperforms either single-layer view, revealing complementary signals that single-layer analyses can miss. We further demonstrate generalization to unseen attack families and transfer to an alternate agent runtime. Together, these findings establish the value of cross-layer evidence for agent security.
著者のコメント
53 pages, 2 figures, 28 tables, including appendices
arXiv ID: 2609.28915 ／ 要約の誤りについて