視覚言語エージェントは、メモリへの書き込み、メッセージ送信、外部ツールの呼び出しの前に、スクリーンショットや文書、ユーザーインターフェースをますます消費するようになっている。しかし、新たなベンチマーク研究「VisualLeakBench」が明らかにしたのは、アクション境界伝播と呼ばれる具体的な失敗モードである。これは、画像内の機密または不安全な可視テキストが下流のツール引数にコピーされる現象を指し、データ漏洩や悪意のある操作につながる可能性がある。
Youting Wangらによるこの論文（arXiv:2606.07595）では、UI、チャット、文書、フォーム、ダッシュボードのシーンをカバーする500枚の多様な画像を含むベンチマークを構築。そのうち100枚を層化抽出したエージェント評価サブセットとし、4つの実運用視覚言語モデル（VLM）システムを、ノート取得と外部ハンドオフの2つのワークフローで評価した。
ベースライン条件下では、ターゲット文字列がツール引数に伝播する割合は、個人識別情報（PII）のケースで78.8%、レンダリングされた不安全テキストのケースで85.5%に達した。これは、エージェントが画像内の機密コンテンツをツール呼び出しに直接コピーするケースが大多数であることを意味し、重大なセキュリティリスクとなる。
防御的なシステムプロンプトを適用すると状況は改善するが、完全には解決しない。不安全テキストの伝播は依然として52.6%と高く、防御プロンプトの効果が限定的であることを示す。一方、PIIの伝播は2.0%にまで大幅に低下するが、研究者らはこれがセキュリティフィルタリングではなく、主にツール使用を抑制した結果であると指摘する。つまり、エージェントは本来のタスクを拒否するように消極的になる可能性がある。
さらに、伝播率はツールの種類に大きく依存することがわかった。検索のようなツールはPIIの伝播を効果的に抑制するが、不安全テキストは依然としてツール境界を越える。研究は、視覚入力からツール呼び出しへの伝播を測定しており、下流の命令実行ではないことを強調している。また、ラベル付きターゲットのオラクル上限診断を提供し、ほとんどの失敗がツール境界で発生することを特定する一方、応答側の漏洩は依然として残余リスクであるとしている。
この研究は、視覚言語エージェントのアクション境界におけるセキュリティ課題を浮き彫りにし、導入時にツール引数のフィルタリングやコンテキスト認識型の防御策に一層の注意を払う必要があると提言している。