OpenART：オープンエンドな環境進化によるエージェントレッドチーミングのスケーリング

要旨

AIエージェントは、初期の状態変化が遠い将来の意思決定に影響を及ぼし得る持続的環境において動作する。従来の言語モデルとの対話とは異なり、エージェントの行動は、長期にわたるワークフローの中で繰り返し変更・再利用される共有状態を通じて媒介される。既存の安全性ベンチマークは、短く静的なタスクに焦点を当てているため、こうした累積的リスクを捉えられないことが多い。この限界に対処するため、我々は環境進化を通じたスケーラブルなエージェントレッドチーミングを実現するオープンエンド型アリーナ、OpenARTを提案する。OpenARTは、50万以上のツールとスキルのプールから抽出した、50ドメインにわたる1万以上の検証済みステートフルシナリオを提供する。これらのタスクは中央値で97回のツール呼び出しを必要とし、75種類の異なるエージェント・モデル構成にわたる統一的評価を可能にする。このような進化する攻撃面を体系的に探索するため、我々は進化的マルコフハイパーグラフ攻撃（EMHA）を提案する。EMHAは、パラメータ更新を必要とせずに、許可された状態遷移を調整してフィードバック駆動型の環境進化を実行するブラックボックス方策である。評価全体を通じて、タスクの目的は固定されたままであり、環境状態のみが変化する。全構成にわたり、EMHAは集計された攻撃成功率（ASR）85.0%を達成する。命令のみによる進化に対する優位性は、単純な環境では約2%であるのに対し、最も複雑な環境では17%を超え、タスクの複雑性が増すにつれて環境進化が安全性の欠陥をより顕著に露呈することを示している。さらに、我々の分析は、エージェントの具体的な実行時実装が、基盤となるモデルの能力を超えて、安全性の変動の重要な部分を説明することを示している。これらの結果は、複雑で進化する環境におけるエージェント安全性の研究のためのスケーラブルな基盤としてOpenARTを確立するものである。

English

AI agents operate in persistent environments where early state changes can influence decisions far into the future. Unlike conventional language-model interactions, agent behavior is mediated through a shared state that is repeatedly modified and reused across long-horizon workflows. Current safety benchmarks often fail to capture these cumulative risks because they focus on short, static tasks. To address these limitations, we introduce OpenART, an open-ended arena for scalable agent red teaming through environment evolution. OpenART provides over 10,000 validated stateful scenarios across 50 domains, drawing from a pool of more than 500,000 tools and skills. These tasks require a median of 97 tool calls and enable unified evaluation across 75 different agent-model configurations. To systematically explore these evolving attack surfaces, we propose the Evolutionary Markov Hypergraph Attack (EMHA). EMHA is a black-box policy that performs feedback-driven environment evolution by coordinating authorized state transitions without requiring parameter updates. Throughout the evaluation, task objectives remain fixed while only the environment state changes. Across all configurations, EMHA achieves a pooled Attack Success Rate (ASR) of 85.0%. Its advantage over instruction-only evolution increases from approximately 2% on simple environments to over 17% on the most complex ones, demonstrating that environment evolution increasingly exposes safety failures as task complexity grows. Furthermore, our analysis shows that the specific runtime implementation of an agent explains a significant portion of safety variation beyond the underlying model's capabilities. These results establish OpenART as a scalable foundation for studying agent safety in complex, evolving environments.