基盤モデル搭載身体化エージェントのセキュリティ：攻撃面、攻撃、防御、評価

本論文は、基盤モデル（Foundation Model）を搭載した具現化エージェント（Embodied Agent）のセキュリティに関するサーベイである。従来の脅威分類（jailbreak, prompt injection, backdoor, poisoning, adversarial examplesなど）ではなく、攻撃者が最初に侵害する信頼境界（trust boundary）に着目し、システムを5つのレイヤーと12の攻撃面（attack surface）に整理する。58件の攻撃事例と61件の防御事例（2026年8月15日時点）を分析し、攻撃・防御の分布、クロスレイヤー伝播、評価手法を考察する。

既存のサーベイは攻撃メカニズム（jailbreak, prompt injectionなど）で脅威を分類するが、攻撃者が制御ループに最初に侵入する場所（信頼境界）を明確に特定しない。本論文は「first-compromised-trust-boundary principle」を導入し、攻撃面と攻撃メカニズムを分離することで、攻撃の入口を体系的に特定できる点が新しい。また、定量的な分析（58件の攻撃、61件の防御）に基づき、研究の偏り（例：multimodal perceptionとaction interfacesに集中）を明らかにしている。

手法の肝は、システムを5つのレイヤー（model supply chain, user instructions, context and memory, physical semantic environments, multimodal perception, world state, internal reasoning, task planning, action interfaces, middleware, multi-agent communication, execution control）に分割し、各レイヤーに攻撃面を対応させること。攻撃面と攻撃メカニズムを分離し、攻撃者が最初に侵害する信頼境界に基づいて分類する。さらに、収集した攻撃・防御事例をコード化し、定量的に分析する。

有効性の検証は、2026年8月15日までに収集した58件の攻撃記録と61件の防御記録を用いた定量的分析による。攻撃研究がmultimodal perceptionとaction interfacesに集中し、防御がaction-levelとruntime protectionに集中することを示し、context and long-term memory, middleware and networking, world-state integrity, multi-agent trustが未開拓であることを明らかにした。また、クロスレイヤー伝播や防御配置、評価手法の分析も行っている。

議論として、state provenance（状態の出所）、compositional defenses（構成防御）、long-horizon attack propagation（長期的攻撃伝播）、physical realizability（物理的実現可能性）、Byzantine multi-robot behavior（ビザンチン型マルチロボット挙動）、unified closed-loop evaluation（統一的閉ループ評価）などの未解決課題を挙げている。また、攻撃と防御の研究の不均衡（攻撃はperceptionとactionに集中、防御はruntimeに集中）が指摘され、context memoryやmiddlewareなどの領域が未開拓であると述べている。

要旨で参照されている既存のサーベイ（jailbreaks, prompt injection, backdoors, poisoning, adversarial examplesに関するもの）や、関連する攻撃・防御手法の論文が挙げられる。具体的には、基盤モデルのセキュリティに関する一般的なサーベイや、具現化エージェントのセキュリティに特化した研究が該当する。ただし、要旨に明示的な論文タイトルはないため、同分野の定番として「Foundation Model Security Survey」や「Embodied Agent Security」に関する論文を読むことが推奨される。