LLMエージェントの新たな脅威「CDH」とは
大規模言語モデル（LLM）を基盤とするエージェントは、その能力を拡張するために外部のサードパーティ製スキル（ツール）に依存する場面が増えています。しかし、この外部スキルとの連携が新たなセキュリティリスクを生み出す可能性が指摘されています。今回報告された「Convergent Detour Hijacking (CDH)」は、まさにその脆弱性を突く攻撃手法です。
CDH攻撃の最大の特徴は、エージェントが与えられたタスクを最終的には正しく完了させる点にあります。しかし、その裏で、攻撃者はエージェントに不必要な迂回ルートを通らせ、結果としてトークン消費量や実行時間を大幅に増大させます。つまり、正しい結果が得られたとしても、そのプロセスが最適ではなく、コスト面での大きな損害が発生する可能性があるのです。
攻撃のメカニズム：二段階の巧妙な手口
CDH攻撃は、LLMエージェントが外部スキルを利用する際の「スキル選択」と「計画（指示本体）」という二つの段階を悪用します。まず、攻撃者は正規のスキルと見分けがつかないような自然言語の説明を持つ「攻撃者制御のコーディネーター」スキルを用意します。この説明は、正規のタスクに関連性があるように見せかけ、エージェントに選択させます。
次に、計画段階で、このコーディネーターは、その関連性を再利用して、実際には不要な「良性スキル」をタスクの実行フローに組み込むようエージェントに指示します。これにより、エージェントは本来必要のない処理を迂回ルートとして実行することになります。最終的に、エージェントは元の正規ルートに戻り、タスクを完了させますが、その過程で無駄なリソースが消費されるという仕組みです。
実証された影響とリスク
このCDH攻撃は、複数のLLMバックエンドと491の異なるタスクを用いて評価されました。DeepSeek-V4-Proでの評価結果は特に注目に値します。攻撃者制御のコーディネーターがタスクの80.02%で選択され、タスクを完了した実行においては、トークン消費量が平均で66.91%増加し、エンドツーエンドの実行時間は92.45%も増大しました。一方で、タスクの完了率は同等レベルを維持しています。
この結果は、LLMエージェントがタスクを正しく完了したとしても、その裏で不必要なリソースが消費されている可能性があることを明確に示しています。これは、エージェントの運用コストに直接的な影響を与えるだけでなく、システムの効率性や信頼性にも疑問を投げかけるものです。正しい出力だけを見て安心することはできない、という新たなリスクが浮上したと言えるでしょう。
私の見方：コストと信頼性の両立が課題
このCDH攻撃の報告は、LLMエージェントの設計と運用において、単に「タスクが完了するかどうか」だけでなく、「どのように完了するか」というプロセス全体の整合性とコスト効率を深く考慮する必要があることを示しています。特に、外部スキルへの依存度が高まるにつれて、そのスキルがもたらす潜在的なリスクを評価し、適切な対策を講じることが不可欠です。
今後、エージェントの行動をより詳細に監視し、不必要なリソース消費や異常な実行経路を検知するメカニズムの導入が求められます。また、スキル提供者に対する信頼性評価の基準も厳格化する必要があるでしょう。コストと信頼性の両立は、これからのLLMエージェント開発における重要な課題の一つです。
タスクが完了すればOK、という考え方は危険です。裏でリソースを食い潰される。これはAIエージェント活用の本質的な課題です。コスト最適化とセキュリティは常にセットで考えるべきです。私は常に最悪のケースを想定して設計します。
