著者らは、LLM（大規模言語モデル）を補助に用いる鑑識ワークフローでは、モデルの「推論層」が従来のデータやツールに加わる新たな反鑑識（anti‑forensic）ターゲットになると報告しています。決定的なツール、人間の鑑識官、モデルが同じ証拠を異なって認識する「認識ギャップ」が存在し、そのため鑑識官の目には見えないままモデルに注入（injection）が届く可能性があると述べています（F1）。

論文は、攻撃者の選択を整理するためのファセット型の分類法（タクソノミー）を提示します。攻撃は目的（動機に沿った細分化）、技法、ペイロードの置き場所、隠蔽手法という四つの選択で記述されます。また、技法は五つに整理されており、T1：破壊（Destruction）、T2：隠蔽（Hiding）、T3：妨害（Obstruction）、T4：改変（Modification。捏造や誤導的文脈化を含む）、T5：注入（Injection。証拠の内容が読者に作用するもの、例：プロンプト注入）として定義されています（F2–F4）。

モデルの役割も整理されており、自然言語フロントエンドから自律エージェントまで四段階（R1–R4）の役割と、展開に関する前提（作業用コピーで運用されること、有人介入が任意であること、書き込み・ネットワークなどの権限が設定依存であること、モデルの由来やクロスケース記憶が影響すること）を挙げ、これらが攻撃の到達範囲を制約するとしています（F5）。

実証実験は、合成したディスクイメージに平文の注記を植え付ける手法で行われました。パイプラインはAutopsy（MCPブリッジによる読み取り用ツール群）、LM Studioでローカルモデルを動かす構成で、報告された実行では gemma‑4‑12b を用いています。必要に応じて追加のMCPサーバ（ファイルシステム書き込みやfetchの提供）を接続する設定も用いました（F6）。

論文は、証拠に植えた平文だけで動作する三つの概念実証攻撃を示します。（1）説得（persuasion）：報告される結論を変更する、（2）ローカル書き込み（local disk write）：分析者の作業環境に攻撃者指定のファイルを書き込ませる、（3）ネットワークコール（network callback）：外向けの通信を発生させて被疑者に分析中を示唆したり通知する、の三例です（F7）。

報告された実行では、三件とも gemma‑4‑12b と gemma‑4‑26b で成功しました。説得は ministral‑3‑8B でも成功し、ローカル書き込みとネットワークコールは qwen3.8‑27b と gpt‑oss‑20b でも成功を確認したとしています。ただしこれらの成功には重い但し書きが付されます。注記が発見されること、モデルの能力や思考モード、検査端末に承認された権限など一連の条件に依存し、イメージの規模や構成によって結果が変わる旨を報告しています（F8, F11, F12）。

緩和策として、先行研究のSpotlightに触れています。Spotlightは非信頼データを明示してモデルが開発者指示と区別できるようにする手法で、報告では攻撃成功率を50％超から2％未満に下げたという評価が紹介される一方、固定化したマーキングは攻撃者に知られれば回避され得る点に注意を促しています（F9）。本研究はさらに実験で観察した対策案を挙げています。具体的には、書き込みをケース用サブフォルダやサイズ制限付きに絞る狭域の書き込みツール、画像ピクセルをモデルに渡すget_image相当の手段（実験の一ケースで攻撃を覆したと報告）、事前の注入試験による脆弱性検査、非信頼データのクライアント側でのラップ／マーキング、ネットワーク分離などです（F10）。

意義と限界として、著者らはLLMが「何を推論するか」「証拠を読んで何を実行するか」という新たな攻撃面を導入する点を強調します。一方で今回の実験は概念実証にとどまり、報告では量的ベンチマークやタクソノミーの大規模検証は行われていません。実行は報告された例ではローカルの量子化モデルを含む限られたモデル群で行われ、植え付けたのは目に見える平文であったこと、攻撃の成功は発見可能性やモデル設定、承認された能力など運用条件の連鎖に依存することを著者ら自身が明記しています（F11, F12）。また、自動化への過度の信頼（automation bias）と認識ギャップにより人間のレビューが常に防御にならない可能性を指摘し、鑑識官の挙動を測る検証は行っていないと明示しています（F13）。