何が起きたか
arXivの研究では、12のアプリケーションファミリーにわたる44の文書化されたWeb脆弱性の実行可能ベンチマークであるVelaを紹介し、直接Webアクセス、直接エージェント向けインターフェース呼び出し、3つの商用LLMエージェントを通じた実行を同じ脆弱なバックエンドと比較しています。結果は、エージェントが参照構成で直接インターフェース呼び出しが実現するすべての攻撃を実現し、参照設計の下で脆弱性の91%が悪用可能なままであり、エージェントの拒否や入力正規化によるケースレベルの損失がないことを示しています。1つのケースでは、エージェントが攻撃者が省略した呼び出しを提供することで攻撃を完了しました。テストされた構成全体で、インターフェース設計がエージェント選択よりも悪用可能性に大きな影響を与え（保持率が39%から95%に変化）、制限的なインターフェースは正当なワークフローも無効にしました。
なぜ重要か
サービス（例：コマースプロトコル）がエージェント向けインターフェースを公開するにつれて、セキュリティ上の疑問は、既存のバックエンド脆弱性がエージェントを通じて悪用可能なままかどうかに移ります。この研究は、エージェントを介したアクセスが本質的に悪用可能性を低下させないという実証的証拠を提供します—参照設計では脆弱性の91%が持続します—したがって、エージェント型アクセス層の運用者は、インターフェース設計と入力/操作の制限を主要な制御として扱い、エージェントの安全策が攻撃表面を単にシフトさせていないことを確認すべきです。これは、エージェント向けサービスをどう構築するかについての実際の防御者の決定を裏付けます。
攻撃経路
悪意のあるユーザーがエージェント向けインターフェースを通じて既存のWebアプリのバックエンド脆弱性を駆動します：エージェントは悪意のある目標に従い、不足しているステップを提供し、呼び出しを組み合わせ、インターフェース制限（エージェントの安全性ではなく）がエクスプロイトが完了するかどうかの支配的な要因です。
影響を受けるシステム
エージェントを介したWebアクセスアーキテクチャとエージェント向けインターフェース全般（12のWebアプリファミリーと3つの商用エージェントにわたる44のWeb脆弱性のベンチマーク）
緩和策
エージェント向けインターフェースでは、エージェントの安全性トレーニングに頼るのではなく、必要な操作と入力を制限し、インターフェースレベルのベンチマークで攻撃表面を検証してください。制限的なインターフェースを設計する際には悪用可能性の保持率（39%–95%）を監視し、露出を減らすことなく正当なワークフローを無効にする設計を拒否してください。