論文の概要: Cross-Session Threats in AI Agents: Benchmark, Evaluation, and Algorithms

• arxiv url: http://arxiv.org/abs/2604.21131v1
• Date: Wed, 22 Apr 2026 22:40:31 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-04-24 14:40:06.203763
• Title: Cross-Session Threats in AI Agents: Benchmark, Evaluation, and Algorithms
• Title（参考訳）: AIエージェントにおけるクロスセッションの脅威:ベンチマーク、評価、アルゴリズム
• Abstract要約: CSTM-Benchは、キルチェーンステージとクロスセッション操作によって分類された26の実行可能な攻撃である。 Hugging FaceでIntrinsec-ai/cstm-benchとしてリリースされた。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: AI-agent guardrails are memoryless: each message is judged in isolation, so an adversary who spreads a single attack across dozens of sessions slips past every session-bound detector because only the aggregate carries the payload. We make three contributions to cross-session threat detection. (1) Dataset. CSTM-Bench is 26 executable attack taxonomies classified by kill-chain stage and cross-session operation (accumulate, compose, launder, inject_on_reader), each bound to one of seven identity anchors that ground-truth "violation" as a policy predicate, plus matched Benign-pristine and Benign-hard confounders. Released on Hugging Face as intrinsec-ai/cstm-bench with two 54-scenario splits: dilution (compositional) and cross_session (12 isolation-invisible scenarios produced by a closed-loop rewriter that softens surface phrasing while preserving cross-session artefacts). (2) Measurement. Framing cross-session detection as an information bottleneck to a downstream correlator LLM, we find that a session-bound judge and a Full-Log Correlator concatenating every prompt into one long-context call both lose roughly half their attack recall moving from dilution to cross_session, well inside any frontier context window. Scope: 54 scenarios per shard, one correlator family (Anthropic Claude), no prompt optimisation; we release it to motivate larger, multi-provider datasets. (3) Algorithm and metric. A bounded-memory Coreset Memory Reader retaining highest-signal fragments at $K=50$ is the only reader whose recall survives both shards. Because ranker reshuffles break KV-cache prefix reuse, we promote $\mathrm{CSR\_prefix}$ (ordered prefix stability, LLM-free) to a first-class metric and fuse it with detection into $\mathrm{CSTM} = 0.7 F_1(\mathrm{CSDA@action}, \mathrm{precision}) + 0.3 \mathrm{CSR\_prefix}$, benchmarking rankers on a single Pareto of recall versus serving stability.
• Abstract（参考訳）: AIエージェントガードレールはメモリレスで、各メッセージは独立して判断されるため、数十のセッションに1回の攻撃を分散する敵は、アグリゲートだけがペイロードを運ぶため、各セッションバウンド検出器を通り過ぎます。 我々は、クロスセッション脅威検出に3つの貢献をしている。 (1)データセット。 CSTM-Benchは、キルチェーンステージとクロスセッション操作(累積、構成、洗浄、インジェクション_on_reader)によって分類された26の攻撃分類であり、それぞれ、政策述語として「違反」を根本とする7つのアイデンティティアンカーのうちの1つと、ベニグ・プリスティンとベニグ・ハードの共同創設者が一致する。 Hugging Face に intrinsec-ai/cstm-bench としてリリースされ、54-scenario の2つの分割がある。 (2)測定。 セッションバウンド・ジャッジとFull-Log Correlatorは,各プロンプトを1つの長文呼び出しに結合することで,解像からクロス_sessionへの攻撃リコールの約半分を失う。 スコープ: シャード毎に54のシナリオ、ひとつの相関子ファミリー(Anthropic Claude)、迅速な最適化は行いません。 (3)アルゴリズムと計量。 最高符号のフラグメントを$K=50$で保持する境界メモリのCoreset Memory Readerは、両方のシャードをリコールする唯一のリーダである。 ローダーリシャッフルがKV-cacheプレフィックスの再利用を損なうので、$\mathrm{CSR\_prefix}$(順序付きプレフィックス安定性、LLMフリー)を1級計量に昇格させ、それを$\mathrm{CSTM} = 0.7 F_1(\mathrm{CSDA@action}, \mathrm{precision}) + 0.3 \mathrm{CSR\_prefix}$に融合させ、リコールとサービス安定性の単一のPareto上でローダーをベンチマークする。

関連論文リスト

• Omni2LoRA: Coherence-Preserving Parametric Memory for Efficient Omni Language Models [65.49950267695267]
  我々はコヒーレンス保存コンテクスト蒸留によるパラメトリックメモリの効率的な圧縮フレームワークであるOmni2LoRAを紹介する。 本手法は,マルチモーダルメモリを固定予算で再利用可能なパラメータ状態に変換することにより,応答時間のマルチモーダルトーケン負荷をゼロにする。
  論文  参考訳（メタデータ） (2026-08-10T07:49:10Z)
• Cross-Agent Campaign Attribution: Linking Asynchronous Attacks Across LLM Agents [8.011258884089948]
  我々は,非同期キャンペーンの属性を形式化し,実行時状態の共有を伴わずに,同じ潜在敵キャンペーンのセッションをリンクする。 非同期フィンガープリントベクトル(英: Asynchronous Fingerprint Vectors)(A2FV$)は、一対のキャンペーン類似性を評価するためのプロキシ側参照プロトコルである。 SCD-v1 では、$A2FV$ はキャンペーンリンクに 0.82 対 AUC を達成し、一方、セッションごとの検知器とチャンク付き LLM の判定器のスコアのみの適応は近い確率で残っている。
  論文  参考訳（メタデータ） (2026-07-21T08:01:51Z)
• Concurrent Image Understanding and Generation: Self-Correcting Coupled Markov Jump Processes [70.61868608402723]
  我々は$textbfSelf-Correcting Coupled Markov Jump Processes (SC-CMJP)を紹介する。 SC-CMJPと組み合わせて、共同マルチモーダルジェネレーションのための新しいトレーニングフリーシングルパスサンプリングであるtextttCO_texttt2textttJump$を紹介する。 トレーニングと評価のために,我々は3つの大規模ジョイントマルチモーダル生成コーパスを作成し,リリースする。
  論文  参考訳（メタデータ） (2026-07-14T18:39:29Z)
• AgenticSTS: A Bounded-Memory Testbed for Long-Horizon LLM Agents [34.450981549319266]
  長期 LLM エージェントの記憶は、将来の決定が何を見るかに関する契約である。 すべての決定は、型付き検索によって組み立てられた新鮮なユーザメッセージからなされます。 Slay the Spire 2はクローズドルールのデッキビルディングゲームだ。
  論文  参考訳（メタデータ） (2026-07-02T14:44:32Z)
• Scaling Self-Evolving Agents via Parametric Memory [69.96398842169002]
  既存のメモリ拡張LDMエージェントは、過去の経験をプロンプト空間にのみ保存する。 自己進化型パラメトリックメモリフレームワークである textttTMEM を導入する。 textttTMEMは、様々なモデルスケールで要約ベースのベースラインと検索ベースのベースラインを一貫して上回る。
  論文  参考訳（メタデータ） (2026-06-03T07:18:31Z)
• Stateful Guardrails for Multi-Turn LLM Systems: A Conversational Risk Accumulation Framework [0.19116784879310023]
  我々は,この会話型リスク蓄積(CRA:Conversational Risk Accumulation)と呼ぶ。段階的な意図の漂流,禁止命令の断片化,繰り返しの開示からの感度向上である。 本稿では,セッションアンカーからのセマンティックドリフト,抽出されたエンティティに対する感度重み付け情報蓄積グラフ,従順性を高めたコンプライアンス・グラディエント信号の3つのトラジェクティブ信号を追跡するセッション層CRAフレームワークを提案する。 i)帰属・消滅のための教師なし凸融合,(ii)家族対人目的で訓練されたコンパクト学習軌道モデルCRA-Net DAを提供する。
  論文  参考訳（メタデータ） (2026-06-03T02:55:17Z)
• DMF: A Deterministic Memory Framework for Conversational AI Agents [0.0]
  我々は、生成メモリ圧縮を完全な決定論的パイプラインに置き換えるCPUファーストアプローチである決定論的メモリフレームワーク(DMF)を提案する。 DMFは、決定論的コンテンツ信号、会話の手がかり、構造化された前兆から計算されたSurvival Scoreを、ロジスティック・プロジェクションで組み合わせて割り当てる。 LoCoMoとLongMemEvalのデータセットを使用して、目的を組み込んだベンチマークで実験を行う。
  論文  参考訳（メタデータ） (2026-06-02T10:41:28Z)
• Which Defense Closes Which Threat? Attributing OWASP-LLM-Top-10 Coverage and Its Brittleness Under Paraphrasing [51.56484100374058]
  プロダクションLLMアプリケーションは、いくつかの防衛ファミリを積み重ねる -- 拒絶フレーズフィルタ、トークンバッジコントロール、モデル許容度リスト、レート制限、ツール登録認証 -- が、BASベンチマークでは、単一の集計カバレッジ番号を報告している。 21エージェントベースラインスキャナに4つのLLM-Top-10対応エージェントを追加し、4つの合成LDMエンドポイントの格子をターゲットとした。
  論文  参考訳（メタデータ） (2026-06-01T19:39:25Z)
• Towards Human-Like Interactive Speech Recognition With Agentic Correction and Semantic Evaluation [53.844308305341166]
  単一パスのASRフロントエンドと意味的訂正,意図のルーティング,推論に基づく編集を組み合わせた閉ループフレームワークである textbfAgentic ASR を提案する。 複数言語、名前付き集中型、コードスイッチングベンチマークの実験は、反復的相互作用が意味的誤りを一貫して減少させることを示している。
  論文  参考訳（メタデータ） (2026-05-28T06:23:31Z)
• FragBench: Cross-Session Attacks Hidden in Benign-Looking Fragments [1.4675552538526009]
  攻撃者は悪意のある目標をサブプロンプトに分割し、それぞれが独自に良心的に見えるようにし、組み合わせることで有害になる。 FragBenchは、24の現実世界のサイバーインシデントキャンペーンから得られたベンチマークです。 FragBenchは、このコースを2つの対のタスクに分割している。
  論文  参考訳（メタデータ） (2026-05-10T21:06:48Z)
• AEL: Agent Evolving Learning for Open-Ended Environments [43.56685432981852]
  本稿では,この障害に対処する2段階のフレームワークであるemphAgent Evolving Learning (ael)を紹介する。 ael はシャープ比 2.13$pm$0.47 を達成し、5つの自己改善法を上回ります。 これは、エージェントの自己改善におけるボトルネックが、アーキテクチャの複雑さを追加するのではなく、経験の使い方を自覚していることを示している。
  論文  参考訳（メタデータ） (2026-04-23T14:29:25Z)
• VeriX-Anon: A Multi-Layered Framework for Mathematically Verifiable Outsourced Target-Driven Data Anonymization [0.0]
  VeriX-Anonは、オープンソースのターゲット駆動k匿名化のための多層検証フレームワークである。 認証決定木のメルクル式ハッシュによる決定論的検証、ランダムフォレスト決定境界付近の境界センチネルによる確率的検証、および暗号識別子による正確な重複性ツインズの組み合わせである。 12のシナリオのうち11の偏差を正しく検出した。
  論文  参考訳（メタデータ） (2026-04-14T08:22:18Z)
• Label-Free Cross-Task LoRA Merging with Null-Space Compression [50.63908869296697]
  我々は,ラベルフリーで出力に依存しない手法であるNull-Space Compression (NSC) Mergingを紹介した。 NSCは、従来のメソッドがタスクのサブセットに収まるバランスの取れたゲインを持つ20の異種視覚タスクに対して、最先端のパフォーマンスを達成する。
  論文  参考訳（メタデータ） (2026-03-27T11:34:41Z)
• Good-Enough LLM Obfuscation (GELO) [0.0]
  大きな言語モデル(LLM)は、デバイスメモリに読み取りアクセスする敵がKVキャッシュや隠された状態を観測できるような共有アクセラレーターで提供されることが多い。 本稿では、信頼できない加速器観測からの情報漏洩を制限するプライバシー保護推論プロトコルであるGELOを提案する。
  論文  参考訳（メタデータ） (2026-03-05T10:33:48Z)
• Beyond Input Guardrails: Reconstructing Cross-Agent Semantic Flows for Execution-Aware Attack Detection [32.301679396929536]
  静的な入力フィルタリングから実行対応分析へ、防御パラダイムをシフトするフレームワークであるSysNameを提案する。 SysNameは断片化された操作プリミティブを連続した行動軌跡に合成し、システムアクティビティの全体像を可能にする。 実証的な評価により、SysNameは10以上の異なる複合攻撃ベクトルを効果的に検出し、それぞれノードレベルとパスレベルのエンドツーエンド攻撃検出に対して85.3%と66.7%のF1スコアを達成した。
  論文  参考訳（メタデータ） (2026-03-04T01:59:16Z)
• AgentSys: Secure and Dynamic LLM Agents Through Explicit Hierarchical Memory Management [47.49917373646469]
  既存の防御は肥大した記憶を与えられたまま扱い、回復力を維持することに集中する。 我々は、明示的なメモリ管理を通じて間接的なインジェクションを防御するフレームワークであるAgentSysを紹介する。
  論文  参考訳（メタデータ） (2026-02-07T06:28:51Z)
• Time Is All It Takes: Spike-Retiming Attacks on Event-Driven Spiking Neural Networks [87.16809558673403]
  スパイキングニューラルネットワーク(SNN)は離散スパイクで計算し、時間構造を利用する。 イベント駆動SNNにおけるスパイク数と振幅を保存しながら、既存のスパイクを繰り返すタイミングのみの敵について検討する。
  論文  参考訳（メタデータ） (2026-02-03T09:06:53Z)
• A BERTology View of LLM Orchestrations: Token- and Layer-Selective Probes for Efficient Single-Pass Classification [2.0069888187253615]
  生産LLMシステムは、安全と他の分類の重いステップのために、しばしば別々のモデルに依存している。 代わりに、私たちはLLMによって既に支払われた計算を再利用し、隠れた状態の軽量プローブを訓練し、生成に使用する同じ前方パスでラベルを予測する。
  論文  参考訳（メタデータ） (2026-01-19T18:40:29Z)
• Quantifying Memory Use in Reinforcement Learning with Temporal Range [51.98491034847041]
  時間的範囲(Temporal Range)は、時間的影響プロファイルとして、時間的ウィンドウから入力シーケンスへの複数のベクトル出力の1次感度を扱うモデルに依存しない計量である。 また、タスクレベルメモリのプロキシ読み出しとして、タスク上で訓練されたコンパクトなLong Expressive Memory(LEM)ポリシーについて、テンポラルレンジを報告する。
  論文  参考訳（メタデータ） (2025-12-05T22:58:09Z)
• Federated Combinatorial Multi-Agent Multi-Armed Bandits [79.1700188160944]
  本稿では,Banditを用いたオンライン最適化に適したフェデレーション学習フレームワークを提案する。 この設定では、エージェントのアームサブセットは、個々のアーム情報にアクセスせずにこれらのサブセットに対するノイズの多い報酬を観察し、特定の間隔で協力して情報を共有することができる。
  論文  参考訳（メタデータ） (2024-05-09T17:40:09Z)
• Semi-DETR: Semi-Supervised Object Detection with Detection Transformers [105.45018934087076]
  半教師付き物体検出(SSOD)におけるDETRに基づくフレームワークの解析 本報告では,第1次変圧器を用いたエンド・ツー・エンド半教師対象検出器であるSemi-DETRについて述べる。 我々の手法は、最先端の手法をクリアマージンで上回る。
  論文  参考訳（メタデータ） (2023-07-16T16:32:14Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。