# CONTINUITYが権限文脈を遷移間で検証

> CONTINUITYが示す権限文脈の引き継ぎと、間接プロンプトインジェクションを探索問題として測る新手法を整理します。評価ハーネスの差、監査ログ、実行許可、商用基盤へ組み込む際の性能負荷と運用コストの未確認点まで押さえます。進める前の確認項目を具体化します。

Canonical URL: https://labs.eastbraver.com/digest/ai-digest-20260908
Published: 2026-09-08T06:30:00+09:00
Category: ai-digest

## 3分で読む AIダイジェスト 20260908

本日の実装論点は、AIエージェントの各部品が安全でも、部品間の遷移で権限、対象、来歴が失われれば全体の安全性を保証できないことです。契約による文脈継承、攻撃側の探索予算を考慮した試験、複数ハーネスでの再評価を一続きの運用課題として捉える必要があります。

| 読者 | まず見ること |
| --- | --- |
| 管理者 | エージェント導入ではモデル性能に加え、承認情報が実行結果まで追跡できるかを調達・監査要件に含める判断材料が増えました。 |
| AX担当 | ベンダーや開発担当者に、権限文脈の受け渡し方法、曖昧な処理の有人対応、評価環境と本番環境の差を確認してください。 |
| エンジニア | ツール遷移ごとの認可証跡、来歴、再束縛、失効、外部への副作用を記録し、異なるハーネスでも失敗を再現できるか検証したいところです。 |

> [!CAUTION] 未確認事項
>
> CONTINUITYを商用エージェント基盤へ組み込んだ場合の遅延と運用コストはどの程度か
>
> 探索予算を増やした間接プロンプトインジェクション試験は実運用タスクへどこまで一般化するか
>
> 評価ハーネスの違いを吸収できる共通の合格条件をどう定義するか

> [!IMPORTANT] 今朝の要点
>
> [CONTINUITY、遷移間の権限文脈を契約で検証](https://arxiv.org/abs/2609.05269)
>
> [間接プロンプト注入を攻撃側のテスト時探索として評価](https://arxiv.org/abs/2609.04495)
>
> [Harbor Adaptersが80超の評価基準を統一](https://arxiv.org/abs/2609.04298)
>
> [評価ハーネス差でコード解決率が2.14～9.27%に変動](https://arxiv.org/abs/2609.04518)
>
> [生物医学AI論文、モデル失効まで中央値538日](https://arxiv.org/abs/2609.04699)

> [!NOTE] 今日の流れ
>
> 複数の制御やツールをつないだとき、権限と来歴をどこまで保ったまま実行できるかが本日の中心です。CONTINUITYの契約型制御、間接プロンプトインジェクションの探索評価、ハーネス差の研究を通じ、単体性能だけでなく遷移、評価条件、監査記録を確認しておきたい一日です。

## CONTINUITY: Security-Context Contracts for Composable LLM Agent Controls

今日のAI実装動向を読むうえで、最初に確認したい論点です。

- 情報源: arXiv (2026-09-07 13:00 JST)
- 出典種別: 原著論文（プレプリント）
- URL: [https://arxiv.org/abs/2609.05269](https://arxiv.org/abs/2609.05269)
- 分類: Research
- 関係する読者: 管理者 / AX担当 / エンジニア

**何が変わったか:** 個別の防御機能ではなく、エージェントの遷移全体で認可根拠を検証する設計と評価結果が示されました。

CONTINUITYは、エージェントの部品間で権限や来歴が欠落、拡大、再解釈される「セキュリティ文脈の不連続」を対象とする合成フレームワークです。各部品を仮定・保証契約で表し、署名付き権限や来歴、役割に結び付いた遷移記録、実行結果に結び付いた許可を引き継ぎます。著者らは2,560件の攻撃評価で有害な外部への副作用を発生させず、700件の良性タスクを完了し、曖昧な200件をすべてエスカレーションしたと報告しています。

**実装・運用観点:** ツール、サンドボックス、承認処理を組み合わせる際は、[IdentityとAuthorization](/guides/ai-identity-authorization)の情報が次の部品で欠落、拡大、再解釈されないかを確認したいところです。APIやワークフローを移行する前に、実行許可の失効、来歴の保存先、曖昧な処理の有人対応への引き継ぎを設計判断に含める必要があります。

**確認論点:**
- 部品間で引き継ぐ権限、来歴、役割の正規スキーマを確認する
- 許可の失効後に外部への副作用を止められるか検証する
- 曖昧な要求のエスカレーション先と監査記録を確認する

**未確認事項:**
- 商用エージェント基盤へ統合した場合の遅延と計算負荷は未確認
- 鍵管理や権限失効を含む長期運用コストは論文要旨に示されていない

## あわせて見る動き

主要論点の背景、比較材料、運用上の影響を補う更新です。

- 掲載件数: 5件
- 対象分野: Research（3件） / Infra（1件） / OpenSource（1件）
- 関係する読者: AX担当 / エンジニア / 管理者

### Rethinking Indirect Prompt Injection as a Test-Time Search Problem

- 情報源: arXiv (2026-09-07 13:00 JST)
- 出典種別: 原著論文（プレプリント）
- URL: [https://arxiv.org/abs/2609.04495](https://arxiv.org/abs/2609.04495)
- 分類: Research
- 関係する読者: AX担当 / エンジニア

**何が変わったか:** 固定した攻撃文だけでなく、環境調査と適応的な試行を含む探索予算がエージェントの安全性評価対象になりました。

著者らは[間接プロンプトインジェクション](/guides/prompt-injection)を、環境、利用者タスク、注入タスクが形成する攻撃対象領域上のテスト時探索として定式化しました。異種タスクでは攻撃側の計算予算を増やすほど脆弱性の発見と悪用が向上したと報告しています。大きな探索予算では、試行の重複を避ける明示的な戦略管理が性能維持に重要でした。

**実装・運用観点:** CONTINUITYのような実行時制御を評価する場合も、少数の既知攻撃だけでは防御強度を過大評価する可能性があります。外部文書、検索結果、ツール応答を対象に、攻撃側の試行回数と戦略の多様性を変えて確認したいところです。

**確認論点:**
- 外部コンテンツを経由する全経路を攻撃対象として列挙する
- 攻撃側の試行予算と重複排除方法を評価条件に記録する
- 被害側エージェントの応答を使う適応的攻撃を試験する

**未確認事項:**
- 実運用環境への一般化範囲とタスク別の効果量は要旨だけでは不明

### Harbor Adapters and Harbor-Index: Infrastructure and a Curated Meta-Dataset for Large-Scale Agentic Evaluation

- 情報源: arXiv (2026-09-07 13:00 JST)
- 出典種別: 原著論文（プレプリント）
- URL: [https://arxiv.org/abs/2609.04298](https://arxiv.org/abs/2609.04298)
- 分類: Infra
- 関係する読者: AX担当 / エンジニア

**何が変わったか:** 異なる評価基盤を共通アダプターへ載せ、難しいタスク集合で横断比較する経路が提示されました。

Harbor Adaptersは80超のベンチマークを任意のエージェント評価へ移植する統一基盤です。Harbor-Indexは29ベンチマークから選別・監査した高難度82タスクで構成されます。8モデルを54ベンチマークで測った結果、Harbor-Indexでは最高構成でも合格率28.0%だったと報告しています。

**実装・運用観点:** 契約型制御や防御策の効果を比較するには、評価基盤の違いによる結果のぶれを切り分ける必要があります。自社の[AI Agent評価](/guides/ai-agent-evaluation)へ取り込む場合は、元の判定ロジックとの同等性と実行コストを確認したいところです。

**確認論点:**
- アダプター導入前後で合否判定が一致するか確認する
- タスクごとの環境、依存関係、再試行条件を固定する
- 評価ログと費用をベンチマーク単位で保存する

**未確認事項:**
- 各アダプターの個別の同等性結果と実行コストは要旨だけでは不明

### What Does Multi-Harness RL Learn? Credit Assignment and Portability in Coding Agents

- 情報源: arXiv (2026-09-07 13:00 JST)
- 出典種別: 原著論文（プレプリント）
- URL: [https://arxiv.org/abs/2609.04518](https://arxiv.org/abs/2609.04518)
- 分類: Research
- 関係する読者: AX担当 / エンジニア

**何が変わったか:** コードエージェントの成績では、強化学習方式より評価ハーネスの選択が大きな変動要因になり得ることが定量化されました。

著者らはAider、OpenHands、Qwen Code、SWE-agentの固定記録を使い、GRPOの報酬を割り当てる方式について、単一ハーネス内で割り当てる方式とハーネス横断で割り当てる方式を比較しました。24,000件の評価では、平均解決率が評価ハーネスによって2.14%から9.27%まで変化し、学習方式の差より大きかったと報告しています。学習に使わなかったハーネスでは方式間の信頼区間がゼロをまたぎ、追加の可搬能力は確認されませんでした。

**実装・運用観点:** 同じモデルでも実行ラッパーやツール仕様が変われば結果が大きく動くため、単一環境のスコアを本番能力として扱いにくくなります。複数ハーネスでの回帰試験と、報酬計算の単位を記録しておきたいところです。

**確認論点:**
- 本番と評価でツール仕様、プロンプト、タイムアウトを比較する
- 複数ハーネスで同じタスク集合を再評価する
- 報酬を割り当てるタスクと実行単位を記録する

**未確認事項:**
- 他のモデル規模、タスク集合、強化学習方式への一般化は未確認

### RefactorPlatform: An Open-Source Harness for Controlled Evaluation of Repository-Scale Refactoring Agents

- 情報源: arXiv (2026-09-07 13:00 JST)
- 出典種別: 原著論文（プレプリント）
- URL: [https://arxiv.org/abs/2609.04898](https://arxiv.org/abs/2609.04898)
- 分類: OpenSource
- 関係する読者: AX担当 / エンジニア

**何が変わったか:** 大規模リファクタリングを隔離環境で再現し、差分と構文検証まで監査できるオープンな評価経路が示されました。

RefactorPlatformは、隔離ワークスペース、トークン・差分・会話ログ、ASTに基づく検証、監査用テレメトリーを備えたリポジトリ規模の評価基盤です。100件のRefactorBenchタスクでは、AST認識型チャンク分割が単純なトークン単位の分割を25～30%上回ったと報告しています。一致条件下では検索拡張単一エージェントが86%、評価対象のサブエージェント構成が66%でした。

**実装・運用観点:** エージェント数や検索機能を増やすだけでは品質向上を保証できず、コード構造を保つ分割と検証方式が判断材料になります。導入前に、自社リポジトリの言語構成とAST検証の対応範囲を確認したいところです。

**確認論点:**
- 対象言語とAST検証器の対応範囲を確認する
- 隔離環境から外部へ書き込める権限を制限する
- トークン、差分、会話ログの保存期間を決める

**未確認事項:**
- 性能差が全モデル・プロンプト条件で統計的に有意かは要旨から不明

### Model Retirement Creates Reproducibility Risk in Biomedical AI Publications

- 情報源: arXiv (2026-09-07 13:00 JST)
- 出典種別: 原著論文（プレプリント）
- URL: [https://arxiv.org/abs/2609.04699](https://arxiv.org/abs/2609.04699)
- 分類: Research
- 関係する読者: 管理者 / AX担当 / エンジニア

**何が変わったか:** 外部提供モデルの失効が、研究成果や評価結果を再実行できなくする依存関係リスクとして定量化されました。

著者らは2022年から2026年3月までの生物医学研究を調べ、5,242本の論文で頻出上位50モデルへの8,931件の言及を特定しました。その77.7%は商用のクローズドウェイトモデルで、42%は正式出版時点ですでに失効済み、または出版後2年以内に失効予定だったと報告しています。出版からモデル失効までの中央値は538日でした。

**実装・運用観点:** 評価の再現性は、モデル名だけでなく版、提供日、プロンプト、出力、代替モデルまで保存できるかに左右されます。規制領域や長期監査では、API失効時の再評価手順を契約と運用に含める判断材料になります。

**確認論点:**
- モデルの版、実行日、設定、入出力を再現可能な形で保存する
- 提供終了の通知期間と代替モデルを契約で確認する
- モデル変更時に再実行する評価集合と承認者を決める

**未確認事項:**
- 失効予定日の変更可能性とモデル別の内訳は要旨から不明
- 実際に再実行して再現不能を確認した割合は示されていない

## 短く追う更新

優先度は少し下がりますが、流れを押さえるために確認しておきたい更新です。

- 掲載件数: 9件
- 対象分野: Research（6件） / OpenSource（3件）
- 関係する読者: AX担当 / エンジニア / 管理者

### [Harness-agnostic detection and immunization of reward hacking in self-evolving language models](https://arxiv.org/abs/2609.04665)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: Research
- 関係する読者: AX担当 / エンジニア

HackProbeは、重みや活性値を参照せず、2つのブラックボックス用接続点から自己進化ループを監視する報酬ハッキング検出方式です。固定した秘密比較コアと更新層を併用し、オンライン変化点検出など4種類の検定を統合します。制御実験ではAUROC 0.763、最良ベースライン0.663と報告しています。

**変化:** 自己改善処理を特定の学習ハーネスに依存せず監視するブラックボックス方式が評価されました。
**確認:** 秘密比較データが学習側へ漏れない分離方法を確認する

### [$\tau^\tau$-Bench: An Environment for End-To-End, Realistic Agent Construction](https://arxiv.org/abs/2609.04611)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: Research
- 関係する読者: 管理者 / AX担当 / エンジニア

τ^τ-benchは、企業記録、顧客要件、本番API、既存コード、提供コストを使い、顧客サービスエージェントの構築から配備までを評価します。4領域53タスクで、Claude Code上のClaude Opus 5は評価用に取り分けた模擬利用者に対して23.9%、専門家作成の参照実装は82.2%の合格率だったと報告しています。失敗には記録の浅い調査や顧客との意思疎通不足が含まれました。

**変化:** コード生成単体ではなく、顧客要件の把握から本番APIを使う完成エージェントの配備までが評価対象になりました。
**確認:** 顧客要件と実装判断の対応を追跡できるよう記録する

### [Qwen Code v0.23.1-preview.2](https://github.com/QwenLM/qwen-code/releases/tag/v0.23.1-preview.2)

- 情報源: QwenLM/qwen-code
- 出典種別: 公式リリース
- 分類: OpenSource
- 関係する読者: AX担当 / エンジニア

Qwen Codeは9月7日14:50 JSTにv0.23.1-preview.2をプレリリースとして公開しました。Web Shellで動的ワークフロー実行を可視化・管理し、実行中サブエージェントの状態を会話履歴に表示する機能や、セッションのリソース一覧を追加しています。IPCでは拒否されたメッセージを送信側へ通知し、保留中メッセージを期限切れにする変更も含まれます。

**変化:** プレビュー段階ながら、長時間動くエージェント処理の状態、利用リソース、保留メッセージの有効期限を把握・制御する機能が加わりました。
**確認:** 安定版へ入る前提で試用し、既存のセッション管理とIPCの互換性を確認する

### [NousResearch/hermes-agent](https://github.com/NousResearch/hermes-agent)

- 情報源: nousresearch/hermes-agent
- 出典種別: コミュニティ情報
- 分類: OpenSource
- 関係する読者: AX担当 / エンジニア

Nous ResearchのHermes Agentは、経験からのスキル更新、会話履歴検索、セッションをまたぐ[Memory](/guides/memory)を備えるオープンソースのエージェントランタイムです。単一のメッセージングゲートウェイからSlackなどへ接続し、定期実行と隔離サブエージェントへの委譲を提供すると説明しています。ローカル、Docker、SSH、複数の[Sandbox](/guides/sandbox)基盤に対応します。

**変化:** 記憶、定期実行、複数チャネル接続、隔離実行を一つのオープンなランタイムで構成できる選択肢が注目を集めました。

**確認:** チャネルごとの認証情報と送信権限を分離する

### [Train What You Deploy:Token-Faithful Post-Training of a Production Coding](https://arxiv.org/abs/2609.04678)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: Research
- 関係する読者: エンジニア

著者らは、簡略化した学習環境と本番コードエージェントの差が、トークンと制御の忠実度を損なうと指摘しています。提案基盤は元のプロンプトによるサンプリングを維持し、検証可能なトークン区間だけで損失を計算します。C-DPPOはBaize5BとBaize10BのTMax-100評価で標準DPPOを3.0ポイント上回ったと報告しています。

**変化:** 本番実行ログを後から近似再構成せず、本番に近い制御条件を保った事後学習方式が示されました。
**確認:** 学習環境と本番環境のプロンプト変形を比較する

### [Shadow Queries for Private Retrieval in Vector Databases](https://arxiv.org/abs/2609.04767)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: Research
- 関係する読者: AX担当 / エンジニア

SHAQは文書から異なる意味側面を表す複数のシャドークエリを作り、その埋め込みを原文の埋め込みの代わりに保存する方式です。意味の分解と原文からの切り離しによって、埋め込み反転攻撃への耐性を高めます。複数の情報検索データセットでMAP@10最大0.7967などを報告しています。

**変化:** [RAG](/guides/rag)で使うベクトルデータベースへ原文の埋め込みを直接保存しない、検索精度とプライバシーの新たな設計案が示されました。
**確認:** 想定する攻撃者の索引・モデルへのアクセス範囲を定義する

### [Why Better Models Can Create Riskier Systems: Evidence from LLM Agents in Financial Markets](https://arxiv.org/abs/2609.04373)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: Research
- 関係する読者: 管理者 / AX担当 / エンジニア

著者らは、高能力なLLMほど行動が類似し、その相関が分散できないリスクの下限を生むという枠組みを示しました。LLMトレーダーによる市場シミュレーションでは、先端モデルの行動相関が能力とともに増えたと報告しています。共通の誤情報がある条件では、同じ相関が不利益になりました。

**変化:** 個々の[LLM](/guides/llm)の性能向上が、複数エージェントで構成するシステム全体のリスク低下を保証しない実験結果が示されました。
**確認:** 各エージェントが共有するモデル、データ、プロンプトを可視化する

### [When Quantization Breaks Memory: Recurrent-State Write-Back in Low-Precision Temporal Inference](https://arxiv.org/abs/2609.04490)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: Research
- 関係する読者: エンジニア

著者らは、量子化した再帰状態を次の時刻へ保存する規則を「再帰状態書き戻し」と定義しました。固定GRUで連続状態伝播を決定論的な4ビット状態保存へ置き換えると、2つの寿命推定誤差が約70倍と約300倍に増えたと報告しています。誤差フィードバックなどは再学習なしで精度を回復しました。

**変化:** 低精度化では重みや演算だけでなく、時系列で繰り返し保存する状態の量子化方式が独立した精度劣化要因になりました。
**確認:** 量子化対象に再帰状態の保存値が含まれるか確認する

### [MaxKernel: Agentic Kernel Generation for TPUs](https://arxiv.org/abs/2609.04523)

- 情報源: arXiv
- 出典種別: 原著論文（プレプリント）
- 分類: OpenSource
- 関係する読者: AX担当 / エンジニア

MaxKernelはTPUカーネル開発に、[Human-in-the-Loop](/guides/human-in-the-loop)、自律的な指標・トレース駆動最適化、グラフ型自律探索の3方式を提供するマルチエージェントシステムです。計画、実装、自己デバッグ、テスト、ハードウェアプロファイリングを担当するサブエージェントを共有します。50件のJaxBenchと実モデル由来の処理で評価され、実装も公開されています。

**変化:** TPUカーネルの実装から計測、修正、探索までを専門エージェントへ分担する公開ワークフローが示されました。

**確認:** 生成カーネルの数値一致と境界条件を独立に試験する

## ひとこと更新

本文で詳しく扱うほどではないものの、周辺動向として確認しておきたい話題です。

- [Does the Selected Object Reach the Reader? Auditing Identity Handoffs in Grounded Language-Model Pipelines](https://arxiv.org/abs/2609.04579)：対象IDの引き継ぎ不良を検索段階で監査
- [DCFA: Dual-view Causal-inspired Attribution for Failure Reasoning in LLM-based Multi-agent Systems](https://arxiv.org/abs/2609.04749)：修正すれば障害結果を覆せる最初の誤りを依存グラフから特定
- [A Cost-Aware Agentic Architecture for NL-to-SQL over Nested Enterprise Schemas, with a New Benchmark](https://arxiv.org/abs/2609.04641)：DevRev NL2SQLの1回生成方式が正解率91.7%
- [KernelGenBench: A Multi-Source and Multi-Chip Benchmark for LLM-based Kernel Generation](https://arxiv.org/abs/2607.27231)：Triton生成を6種のハードウェアで横断評価
- [EvoCUA-1.5: Online Reinforcement Learning for Multi-turn Computer-Use Agents](https://arxiv.org/abs/2607.09773)：EvoCUA-1.5が操作エージェントをオンライン強化学習
- [openai/skills](https://github.com/openai/skills)：openai/skillsは非推奨となり、現行例の参照先はOpenAI Pluginsへ