Computer-Use Agent の安全性評価ベンチマーク StepJack を公開──マルチステップ間接的プロンプトインジェクションで攻撃成功率が最大 31.2pt 向上

論文概要

Computer-Use Agents (CUAs) がウェブページなどの環境に埋め込まれた敵対的指示に晒される「間接的プロンプトインジェクション (Indirect Prompt Injection)」の脅威が拡大している。本論文では、単一ページでの攻撃を超えた「マルチステップ間接的プロンプトインジェクション」という新しい攻撃クラスを定義し、敵対的目標を害のないように見える複数のサブステップに分解してエージェントのナビゲーション経路上に分散させる手法を提案した。さらに、この攻撃を評価するために 480 件のテスト例からなる CUA 安全性ベンチマーク「StepJack」を構築し、6 つの state-of-the-art な CUA を評価して、マルチステップ攻撃がモデルの脆弱性を大幅に高めることを実証している。

関連研究

従来のプロンプトインジェクション研究の多くは、単一のテキストや単一のウェブページを対象としたシングルステップの攻撃に焦点を当ててきた。しかし、実際のブラウジング環境で動作する CUA は複数ページの遷移を伴うため、一連のコンテキストにまたがる複合的な脆弱性評価は十分に行われていなかった。本研究は、複数ページに分散された指示がエージェントの長期記憶や状態管理に与える影響を系統的に評価する点で先行研究と一線を画す。

新規性と貢献

本研究の主要な貢献は、敵対的目標の自動分解パイプラインの設計と、それを用いた大規模ベンチマーク StepJack の構築にある。分解にあたっては、各サブステップの無害性（innocuousness）を最適化しつつ、一連の実行によって元の悪意ある目標が達成される制約を満たす仕組みが導入されており、CUA の頑健性を測るための新たな基準を提供する。

提案手法の詳細

提案手法の核心は、攻撃目標を複数段階の無害なサブステップに分解する自動化パイプラインである。エージェントがアクセスする各ページ（リンクチェーン）に断片的な指示を配置することで、単一ページでは検知されやすい不審な入力を回避し、エージェントを欺く設計になっている。

評価・考察

480 件のテスト例を持つ StepJack ベンチマークを用いて、6 つの最先端 CUA を評価した実験では、固定された分解深度において、マルチステップ攻撃が 3 つの CUA で攻撃成功率 (ASR) を最大 31.2 ポイント向上させることが判明した。例えば、GPT-5.4-mini ではシングルステップ時の 41.7% から 3-step 時には 72.9% へと ASR が急増した。また、参照チェーンを確実に追従できる 5 つの CUA の平均で見ても、ASR はシングルステップの 31.3% から 3-step の 36.9% へと上昇している。

応用例と今後の展望

本研究の成果は、ブラウザ操作やタスク自動化を行う CUA のセキュリティ監査や防御機構の設計に直接応用できる。特に、金融・EC 業界における顧客データの自動処理や社内業務自動化システムの開発現場において、マルチステップのインジェクションに対する防護策（メモリのサニタイズや複数ページにまたがるコンテキスト監視など）の実装が急務となる。今後の課題としては、より高度な防御プロンプトや検知アルゴリズムに対する耐性の検証が挙げられる。

結論

本論文は、CUA に対するマルチステップ間接的プロンプトインジェクションの脅威を初めて体系的に示し、ベンチマーク StepJack を通じて既存モデルの脆弱性を明らかにした。単一ページにとどまらない攻撃ベクトルに対する防御研究の重要性を強く裏付ける成果である。

注釈

• Computer-Use Agents (CUAs): 画面操作やウェブブラウジングを通じてユーザーの指示を実行する AI エージェント。
• 間接的プロンプトインジェクション: 直接入力されたプロンプトではなく、外部のウェブページやファイル等に含まれる悪意ある指示によってモデルの挙動が乗っ取られる脆弱性。