論文の概要: LoopTrap: Termination Poisoning Attacks on LLM Agents
- arxiv url: http://arxiv.org/abs/2605.05846v1
- Date: Thu, 07 May 2026 08:21:51 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-05-08 22:27:11.622864
- Title: LoopTrap: Termination Poisoning Attacks on LLM Agents
- Title（参考訳）: LoopTrap: LLMエージェントに対する攻撃停止
- Authors: Huiyu Xu, Zhibo Wang, Wenhui Zhang, Ziqi Zhu, Yaopeng Wang, Kui Ren, Chun Chen,
- Abstract要約: 本研究では,悪質なプロンプトをエージェントの文脈に注入することで,エージェントの終了判断を歪めることができることを示す。
エージェントの行動傾向を利用して、ターゲット固有の悪意のあるプロンプトを合成する自動赤チームフレームワークであるLoopTrapを紹介する。
- 参考スコア（独自算出の注目度）: 22.325071451367265
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Modern LLM agents solve complex tasks by operating in iterative execution loops, where they repeatedly reason, act, and self-evaluate progress to determine when a task is complete. In this work, we show that while this self-directed loop facilitates autonomy, it also introduces a critical risk: by injecting malicious prompts into the agent's context, an adversary can distort the agent's termination judgment, making it believe the task remains incomplete and leading to unbounded computation.To understand this threat, we define and systematically characterize it as Termination Poisoning and design 10 representative attack strategies. Through a empirical study spanning 8 LLM agents and 60 tasks, we demonstrate that different LLM agents exhibit distinct behavioral signatures that determine which strategies succeed. These transferable patterns can serve as principled guidance for crafting effective attacks against previously unseen agents and tasks, enabling scalable red-teaming beyond manually designed templates. Building on these insights, we introduce LoopTrap, an automated red-teaming framework that synthesizes target-specific malicious prompts by exploiting agent behavioral tendencies. LoopTrap first constructs a behavioral profile of the target agent along four vulnerability dimensions via lightweight probing. It then performs adaptive trap synthesis, routing to the most effective strategy and selecting optimal injections via a self-scoring mechanism. Finally, successful traps are abstracted into a reusable skill library, while failed attempts are refined through self-reflection, ensuring continuous improvement. Extensive evaluation shows that LoopTrap achieves an average of 3.57$\times$ step amplification across 8 mainstream agents, with a peak of 25$\times$.
- Abstract（参考訳）: 現代のLLMエージェントは、反復実行ループで操作することで複雑なタスクを解決し、タスクがいつ完了するかを判断するために、繰り返し、行動し、自己評価する。
本研究は、この自己指示ループが自律性を促進する一方で、エージェントの文脈に悪意あるプロンプトを注入することにより、相手がエージェントの終了判断を歪め、タスクが不完全であり、非有界な計算に繋がると考えることができることを示し、この脅威を理解するために、その脅威を決定的かつ体系的に定義し、その攻撃戦略を10の代表的な攻撃戦略として設計する。
8個のLSMエージェントと60個のタスクにまたがる実験的な研究を通して、異なるLSMエージェントがどの戦略が成功するかを決定する異なる行動シグネチャを示すことを示した。
これらの転送可能なパターンは、以前は目に見えないエージェントやタスクに対して効果的な攻撃を行うための原則化されたガイダンスとして機能し、手動で設計されたテンプレートを超えてスケーラブルなレッドチームを可能にする。
これらの知見に基づいて、エージェントの行動傾向を利用してターゲット固有の悪意のあるプロンプトを合成する自動赤チームフレームワークであるLoopTrapを紹介する。
LoopTrapはまず、軽量なプローブを通じて、4つの脆弱性次元に沿ってターゲットエージェントの振る舞いプロファイルを構築する。
次に、適応的なトラップ合成を行い、最も効果的な戦略にルーティングし、自己検査機構を介して最適な注入を選択する。
最後に、成功したトラップは再利用可能なスキルライブラリに抽象化され、失敗した試みは自己修正によって洗練され、継続的な改善が保証される。
大規模な評価によると、LoopTrapは8つのメインストリームエージェントに対して平均3.57$\times$ Step増幅を達成しており、ピークは25$\times$である。
関連論文リスト
- Trojan's Whisper: Stealthy Manipulation of OpenClaw through Injected Bootstrapped Guidance [23.059379933610163]
ガイダンスインジェクション(Guidance Injection)は、ブートストラップのガイダンスファイルに敵の運用ストーリーを埋め込むステルス攻撃ベクターである。
エクスプロイト,ワークスペース破壊,特権エスカレーション,持続的バックドア設置など,13の攻撃カテゴリにまたがる26の悪意あるスキルを構築した。
我々の攻撃は16.4%から64.2%の確率で成功し、悪意のある行動の大半はユーザーの確認なしに自律的に実行される。
論文 参考訳（メタデータ） (2026-03-20T14:17:56Z) - ICON: Indirect Prompt Injection Defense for Agents based on Inference-Time Correction [24.416258744287166]
ICONは、タスクの連続性を維持しながら攻撃を中和する、調査と軽減のためのフレームワークである。
ICONは競争力のある0.4%のASRを達成し、商業グレード検出器と一致し、50%以上のタスクユーティリティーゲインを得る。
論文 参考訳（メタデータ） (2026-02-24T09:13:05Z) - SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。
フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。
本手法は,現実的な環境下で高い攻撃成功率を達成する。
論文 参考訳（メタデータ） (2026-02-15T16:09:48Z) - STAC: When Innocent Tools Form Dangerous Chains to Jailbreak LLM Agents [38.755035623707656]
本稿では,エージェントツールの利用を生かした新しいマルチターンアタックフレームワークSTACについて紹介する。
我々は,483のSTACケースを自動生成し,評価するために,1,352セットのユーザエージェント環境相互作用を特徴とするフレームワークを適用した。
GPT-4.1を含む最先端のLSMエージェントはSTACに対して極めて脆弱であり,攻撃成功率(ASR)は90%以上である。
論文 参考訳（メタデータ） (2025-09-30T00:31:44Z) - SAND: Boosting LLM Agents with Self-Taught Action Deliberation [54.48979740613828]
大規模言語モデル(LLM)エージェントは、通常、ReActスタイルの専門家軌道の教師付き微調整や、ペアのロールアウトよりも好みの最適化で調整される。
本稿では,自己学習型アクチオN審議(SAND)フレームワークを提案する。
SANDは、初期教師付き微調整よりも平均20%改善し、また最先端のエージェントチューニングアプローチより優れている。
論文 参考訳（メタデータ） (2025-07-10T05:38:15Z) - AgentVigil: Generic Black-Box Red-teaming for Indirect Prompt Injection against LLM Agents [54.29555239363013]
本稿では,間接的なインジェクション脆弱性を自動的に検出し,悪用するための汎用的なブラックボックスファジリングフレームワークであるAgentVigilを提案する。
我々はAgentVigilをAgentDojoとVWA-advの2つの公開ベンチマークで評価し、o3-miniとGPT-4oに基づくエージェントに対して71%と70%の成功率を達成した。
攻撃を現実世界の環境に適用し、悪質なサイトを含む任意のURLに誘導するエージェントをうまく誘導する。
論文 参考訳（メタデータ） (2025-05-09T07:40:17Z) - UDora: A Unified Red Teaming Framework against LLM Agents by Dynamically Hijacking Their Own Reasoning [17.448966928905733]
外部ツールを備えた大規模言語モデル(LLM)エージェントは、複雑なタスクに対してますます強力になっている。
UDoraはLDMエージェント用に設計された統一されたレッド・チーム・フレームワークで、エージェントの推論プロセスを動的にハイジャックし、悪意ある振る舞いを強制する。
論文 参考訳（メタデータ） (2025-02-28T21:30:28Z) - Breaking ReAct Agents: Foot-in-the-Door Attack Will Get You In [5.65782619470663]
本稿では,直感的かつ効果的な手法でReActエージェントをどのように活用できるかを検討する。
実験の結果,間接的プロンプトインジェクション攻撃は,後続の悪意ある行為を行うエージェントの可能性を著しく高めることができることがわかった。
この脆弱性を軽減するために,エージェントが実行中の動作の安全性を再評価する簡単なリフレクション機構の実装を提案する。
論文 参考訳（メタデータ） (2024-10-22T12:24:41Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。