COPEXとは？MCPを使うAIモデルへの攻撃を検証
COPEXは、MCPクライアントとして動作する言語モデルの攻撃への弱さを測るベンチマークです。9モデル、3375回の試行で得られた結果を紹介します。
👁 118閲覧数
本稿はarXivに掲載された論文をもとにしています。論文はNeurIPS 2026 Workshop on Agents in the Wildでポスター発表として採択されました。著者はNahom Birhan、Mehrdad Rostamzadeh、Sidhant Narula、Mahmoud Nazzal、Mohammad Ghasemigol、Daniel Takabiの6人です。
MCPとは？言語モデルの安全性に関する課題
Model Context Protocol（MCP）は、言語モデルが外部ツールを利用するための標準規格です。関数の呼び出しやデータの取得、サーバーとの通信などに使われます。MCPを使うシステムでは、モデルはMCPクライアントとして、ユーザーからの指示、利用可能なツールのスキーマ、ツールの実行結果、プロトコルのメッセージを受け取ります。これらの経路はいずれも、モデルの挙動を望ましくない方向へ誘導しようとする攻撃の入り口になり得ます。
著者らが指摘するのは、従来のAIエージェントの安全性評価に関する方法論上の課題です。これまでの評価では、モデル単体ではなく、実運用されるシステム全体をテストしていました。そのため、モデル自体が攻撃に弱いのか、周辺のインフラ、たとえば保護機構やオーケストレーション、汎用的なタスク処理能力が攻撃を防いだり、逆に危険にさらしたりしているのかを区別しにくくなります。COPEXはこの問題の解決を目指しています。
COPEXとは？MCPを使うモデルの評価方法
COPEX（COntext Provider EXploitation）は、MCPクライアントとして動作するモデル自体を切り分けて評価するために設計されたベンチマークです。エージェントを構成する周辺の仕組みは固定し、テスト対象のモデルだけを変更します。これにより、システム全体ではなく個々のモデルの脆弱性に関する結果を得られます。
ベンチマークでは、25種類の攻撃を125のシナリオとして実施します。攻撃は、次の4つの入力面に分類されています。
- モデルとエージェント
- クライアント
- サーバーとツール
- トランスポート
テスト対象は9モデルで、試行回数は合計3375回でした。
COPEXの結果：攻撃成功率は64.4%
攻撃の平均成功率は64.4%でした。入力面ごとの平均値は58.3%から71.4%の範囲でした。著者らは、クライアント層とトランスポート層への攻撃の一部は、モデル自身の観測や制御の外側で部分的に成功すると注意を促しています。つまり、モデルの脆弱性とシステム全体の攻撃されやすさは区別して考える必要があります。
防御の有効性も評価されました。入力とコンテキストを組み合わせてスキャンする防御では、攻撃の平均成功率が49.6%低下しました。ただし、この結果は8種類の攻撃だけを対象とし、保護策を一切使わない条件と比較したものです。論文では、防御の具体的な仕組みや、評価対象となった攻撃の内訳は示されていません。
COPEXの論文で明らかにされていないこと
アブストラクトには、評価対象となった9モデルの名称が記載されていません。そのため、どのシステムがテストされたのか、モデル間にどの程度の差があったのかは分かりません。また、25種類の攻撃それぞれの詳細や、防御策として使われたスキャンの方法も説明されていません。ベンチマークは論文に記載されたURLから公開されていますが、その内容はここで確認できる論文本文の範囲を超えています。
Google · あなたの情報源GoogleでKiramesuをもっと上位に表示-ワンクリックで設定お気に入りの情報源に追加 →COPEXの結果から分かること
防御策がない条件で攻撃成功率が64.4%だったという結果は、軽視できません。MCPクライアントとして動作するモデルが、試行の過半数で操作を受ける可能性を示しています。一方、著者らが示した重要な区別は、攻撃の一部がモデルの能力不足ではなく、モデルの制御範囲外にある要因によって成功するという点です。これは、こうしたシステムの安全性に誰が責任を持つのかを考えるうえで重要です。モデルだけを唯一の防御策とすることはできません。COPEXはモデルをより精密に比較するための手段になりますが、評価対象のモデル一覧が分からないため、実際にどの程度モデル間の差を明らかにできるかは判断しにくいところがあります。
出典：arXiv cs.AI: COPEX: Benchmarking LLM Robustness to Adversarial Context Across Model Context Protocol (MCP) Layers（2026-10-20付の文書）。本稿は他メディアの報道ではなく、文書全文をもとにまとめています。
Kiramesuの関連記事
