arXiv:2607.08395：Token-Flow Firewall — 長期稼働 AI エージェントをリアルタイム監視し攻撃成功率を 12.5% に低下
Token-Flow Firewall は arXiv で発表された防御メカニズムで、長期稼働（永続的）AI エージェントの自然言語トークンフローをリアルタイムで監視します。prompt injection などの敵対的攻撃テストで攻撃成功率を 12.5% まで低下させ、モデルのトレーニングだけに依存せずランタイム保護レイヤーを提供します。
この記事はAIにより一次情報源から生成されました。
論文「Token-Flow Firewall: Semantic Runtime Auditing for Persistent AI Agents」（arXiv:2607.08395）、著者 Puji Wang ら、は長期稼働 AI エージェントのための防御メカニズムを提案します。このメカニズムはトレーニング段階だけでなく、実行中に機能します。永続的エージェントとは長時間・多ステップのセッションでタスクを処理するシステムです——まさに一度の攻撃成功が最も危険なクラスのシステムです。その効果がタスクチェーン全体に伝播するためです。
ファイアウォールの仕組み
このメカニズムは自然言語トークンフロー——エージェントの入力、中間ステップ、出力——をリアルタイムで監視し、攻撃を示すセマンティックパターン（目標を転換させる注入指令など）を探します。静的な入力チェックとは異なり、ランタイム監視はタスクの途中で発動する攻撃も捕捉できます。この時点では元の入力はすでに通過しています。これにより、モデルのトレーニングによる既存の防御を補完するものとなります。
論文を具体的にする数字
prompt injection および他の敵対的攻撃テストで、Token-Flow Firewall は攻撃成功率を 12.5% まで低下させます。prompt injection——隠れた指令をモデルの入力に注入する手法——は LLM システムへの最も根強い攻撃の一つであり、成功率の測定可能な低下は防御に実用的な価値を与えます。このプレプリントはまだ査読されていないため注意が必要ですが、指標は将来のアプローチとの比較に十分具体的です。
背景
この論文は一連の 7 月のセキュリティ成果の一つです。GitHub の CodeQL が静的解析に prompt injection 検出を導入し、arXiv 論文「Overthinking」は reasoning モデルへの抽出攻撃を示しました。これらはまとめて、AI セキュリティがコードの静的解析から本番環境のエージェントのランタイムファイアウォールまで独自のツールを持つ独立した規律として成熟していることを示しています。
よくある質問
- Token-Flow Firewall とは何ですか？
- 長期稼働 AI エージェントの自然言語トークンフローをセマンティックに監視し、エージェントの実行中に不審なパターンを遮断するランタイム防御メカニズムです。
- どのくらい効果的ですか？
- prompt injection および敵対的攻撃テストで、攻撃成功率（attack success rate）を 12.5% まで低下させます。
- なぜ永続的エージェントは特に脆弱なのですか？
- 長時間かつ多くのステップにわたって動作するため、一度の指令注入成功がタスクチェーン全体に影響する可能性があります。ランタイム監視はトレーニングの防御をすり抜けた攻撃を捕捉します。