駆除しても68%が残る──自己進化型コーディングエージェントの「Self-Poisoning」を実証したEvoMal攻撃

コーディングエージェントに「過去に作ったツールを再利用させる」仕組みは、開発効率化の切り札として広まっている。エージェントが自分でスキル（ツール）を書き、共有ライブラリに保存し、次のタスクでは似たスキルを模倣して新しいツールを作る——この「自己進化」型のループに、静かに広がる脆弱性があることを実証した論文が、2026年8月26日にarXivで公開された。

何が起きるのか:模倣が「毒」を運ぶ

論文はまず前提を説明する。

"Self-evolving LLM coding agents write their own tools by imitating retrieved skills from shared skill libraries."

自己進化型のLLMコーディングエージェントは、共有スキルライブラリから取得したスキルを模倣することで、自分自身のツールを書く。ここに脆弱性がある、と著者らは指摘する。

"We identify a vulnerability in this loop: during authoring, a retrieved malicious skill can become the template for a new skill that preserves the payload."

新しいスキルを書く過程で、取得した悪意あるスキルがテンプレートとして使われ、そのペイロード（悪意あるコード本体）が新しいスキルにそのまま引き継がれてしまう。著者らはこれを「self-poisoning（自己中毒）」と呼ぶ。

"We call this self-poisoning: the agent authors, stores, and runs the resulting malicious skill."

エージェント自身が、その悪意あるスキルを執筆し、保存し、実行する——つまり攻撃者は最初に汚染されたスキルをライブラリに置くだけでよく、それを直接呼び出す必要すらない。エージェントが「参考にしよう」と模倣した瞬間に感染が成立する構造だ。

攻撃手法EvoMal:「バナー」でコピーを誘発する

論文はこの脆弱性を実証するため、EvoMalという攻撃を構築している。ペイロードを「バナー」——一見無害に見える構造的要素の集合——で包み、模倣するエージェントがその中身ごと再現してしまうように仕向ける手法だ。攻撃者は仕込んだ悪意あるスキルを一度も呼び出さないまま、エージェントに新しいスキルを書かせ、実行させることに成功する。さらに厄介なのは、書き写されたコピー自体が再びライブラリに戻り、次のエージェントに再び模倣される、という自己増殖の構造にある。

"Each authored copy can re-enter the library and be imitated again, forming a self-propagating worm that persists after the planted skills are removed."

作成されたコピーは再びライブラリに入り込み、また模倣される。これは、最初に仕込んだ悪意あるスキルを削除した後でも持続する「自己増殖ワーム」を形成する、と論文は表現している。

数字:ASPR20.3%〜41.8%、駆除後も68%が残存

論文は「エージェント自己中毒率（ASPR）」という指標を定義している。

"We define the agent self-poisoning rate (ASPR) as the fraction of tasks that add a newly authored malicious skill to the library."

新たに執筆された悪意あるスキルがライブラリに追加されたタスクの割合、という定義だ。実験は6モデル・SWE-bench Verifiedから抽出した153のツール関連タスクで行われ、ASPRは20.3%から41.8%の範囲となり、汚染されたライブラリは、当初仕込んだ数の4.9倍から9.0倍もの悪意あるスキルを抱えることになったという。

バナーを使わない素のペイロードだけでも、DeepSeek-V4-Proは11.1%のASPRを記録した。さらに、仕込むスキルの説明文を特定のタスクファミリーに合わせて調整すると、ASPRは86.7%まで跳ね上がる。そして最も印象的な数字が、駆除後の残存率だ。仕込んだ悪意あるスキルを取り除いた後も、Qwen3は5ラウンド目の時点でASPR 68%を記録している。これはエージェントが自分で書いたコピーがライブラリに残り続けているためで、論文はこの点について、既存の防御策が「攻撃者が持ち込んだ名前・コード・シグネチャ」にしか着目していないため、こうしたエージェント自作のコピーをすり抜けてしまうと指摘する。

対策:counter-promptでASPRを最大6.7%まで抑制

論文は対策として「counter-prompt」という手法を提案している。バナー形式でのコピー行為を促さないようにするプロンプト設計で、EvoMalのASPRを最大6.7%まで抑制し、タスク完了率への有意な悪化も見られなかったとしている。

スキルライブラリの出所をどう見るか

Claude CodeやOpenClawのように、エージェントが自分でスキル・ツールを書いて共有ライブラリに保存する構成を使っている場合、そのライブラリの出所が完全に信頼できるかどうかを再点検する価値がある。この論文が示すのは、悪意あるコードを直接注入する古典的な攻撃だけでなく、「模倣によって静かに増殖する」という、より発見しづらい経路の存在だ。プロンプトインジェクションのような既存の脅威モデルについてはAIセキュリティリスクを、企業向けの生成AIリスク全般については生成AIのセキュリティリスクを参照してほしい。

攻撃コードの再現は避けた理由

本記事は、当サイトが論文の要旨を読んで書いている。EvoMalの「バナー」がどのような具体的な文字列・構造で構成されているかは、要旨には詳細が記載されておらず、本文PDFを読み込んでいないため確認できていない。攻撃の再現手順を具体的に書くことは実害につながりうるため、本記事ではあえてその粒度までは踏み込んでいない。また、6モデルの具体名のうち要旨に登場するのはDeepSeek-V4-ProとQwen3の2つのみで、残り4モデルの名称は本記事執筆時点で確認できていない。Zenn記事検索で「EvoMal」を検索した時点(2026年8月27日)では該当記事は見つからなかった。