論文の概要: Confused ChatGPT: Cross-App Context Poisoning via First-Party APIs
- arxiv url: http://arxiv.org/abs/2606.00485v1
- Date: Sat, 30 May 2026 02:37:18 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-06-09 15:17:19.334461
- Title: Confused ChatGPT: Cross-App Context Poisoning via First-Party APIs
- Title（参考訳）: Confused ChatGPT: ファーストパーティAPIによるアプリケーション間コンテキストポリシ
- Abstract要約: ChatGPT Appsは、サードパーティアプリケーションがユーザと他のすべての接続されたアプリと単一のチャットコンテキストを共有する、アプリ内パラダイムを導入している。
3つの特性で区別された間接的プロンプトインジェクションの変種であるクロスアプリコンテキスト中毒を同定した。
sendFollowUpMessageは最も直接的で強力なチャネルです。
- 参考スコア（独自算出の注目度）: 26.753401884059773
- License: http://creativecommons.org/licenses/by-sa/4.0/
- Abstract: ChatGPT Apps, launched by OpenAI on Oct. 6, 2025, introduce an app-in-app paradigm in which third-party applications share a single chat context with the user and with every other connected app. The ecosystem grew from 122 apps in Dec. 2025 to 888 by May 2026, yet its security has remained uninvestigated. We identify cross-app context poisoning, a variant of indirect prompt injection distinguished by three properties: 1) the injection persists in the shared chat context across turns; 2) the effect surfaces through a different co-resident app the user later invokes; and 3) the delivery vectors are first-party APIs exposed to every connected app. We find multiple APIs capable of writing app-controlled content into the shared context, with sendFollowUpMessage as the most direct and potent channel. Two undocumented parameters that the runtime silently accepts, systemPrompt and isVisible, amplify this channel to silent, system-priority writes. Leveraging this channel, we realize a confused-deputy attack in which a malicious app poisons the context so that the LLM, consulting that context, enables manipulation against benign co-resident apps. We demonstrate two payload styles (conditional and imperative) and evaluate them across six current ChatGPT models. The root cause is architectural: the LLM's context is a persistent, flat, untagged data store shared by user and apps, with no isolation. Every mature multi-tenant platform, from Multics virtual memory to Android UIDs and iOS sandbox profiles, paid the isolation cost before admitting third parties; ChatGPT Apps did not. Fixing this requires an architectural change, not a patch. We disclosed our findings to OpenAI; the undocumented parameters remain accessible at the time of writing, and the architectural gap is by design: the shared context that enables cross-app composition is the same flat namespace that enables cross-app poisoning.
- Abstract（参考訳）: 2025年10月6日にOpenAIによってローンチされたChatGPT Appsは、アプリケーション・イン・アプリ・パラダイムを導入している。
エコシステムは、2025年12月から2026年5月までに122のアプリから888に成長したが、セキュリティはまだ検討されていない。
間接的インジェクションの変種であるクロスアプリコンテキスト中毒を3つの特性で識別する。
1) インジェクションはターン間で共有チャットコンテキストに持続する。
2) 効果は,ユーザが後で呼び出す別の共居アプリを通して表面化し,
3) 配信ベクタは,接続されたすべてのアプリに公開されているサードパーティのAPIである。
sendFollowUpMessageは最も直接的で強力なチャネルです。
ランタイムが静かに受け入れる2つの未文書パラメータ、systemPromptとisVisibleは、このチャネルをサイレントなシステムプライオリティ書き込みに増幅する。
このチャネルを活用することで、悪意のあるアプリがコンテキストを害し、LLMがそのコンテキストに照らし合わせることで、良質な共住アプリに対する操作を可能にする、混乱した主張的攻撃を実現することができる。
本稿では,2つのペイロードスタイル(条件付きおよび命令型)を実証し,現行のChatGPTモデルで評価する。
LLMのコンテキストは、ユーザとアプリが共有する永続的でフラットで、タグ付けされていないデータストアであり、分離されていない。
Multics仮想メモリからAndroid UID、iOSサンドボックスプロファイルに至るまで、成熟したマルチテナントプラットフォームはすべて、サードパーティを認める前に分離コストを支払った。
これを修正するには、パッチではなく、アーキテクチャの変更が必要です。
クロスアプリ構成を可能にする共有コンテキストは、クロスアプリ中毒を可能にするフラットな名前空間である。
関連論文リスト
- Send and Pretend: Exploiting Transcript Consistency Issues in End-to-End Encrypted Group Chats [1.8831329126144525]
Threema、WhatsApp、Signal、iMessageは最近、グループ内の合意プロセスを支援する投票を導入した。
これは暗黙的に、すべての参加者が同じ結果を見て、したがって会話の同じ見方を持つという期待を定めている。
この研究で、今日の主要なE2EEメッセンジャーは、グループチャットの書き起こし一貫性をいかなる形でも保証していないことを実証する。
論文 参考訳（メタデータ） (2026-07-29T22:54:21Z) - What's on Your Mind? Exploring Privacy of Mental Health Apps [19.866264316153547]
われわれはAndroidのメンタルヘルスおよびライフコーチングアプリ25の総合分析を行った。
どのアプリにも、プライバシーポリシーにはない少なくとも1つのトラッカーSDKが組み込まれている。
68%のアプリがAPKで検出されたトラッカーの少なくとも半数を公開していない。
論文 参考訳（メタデータ） (2026-05-03T18:42:08Z) - Large-scale online deanonymization with LLMs [58.46277616551135]
大規模なデ匿名化を実現するために,大規模言語モデルを用いることができることを示す。
当社のエージェントは、完全なインターネットアクセスによって、Hacker NewsユーザーとHistropic Interviewer参加者を高精度に識別することができる。
論文 参考訳（メタデータ） (2026-02-18T19:02:50Z) - Hey there! You are using WhatsApp: Enumerating Three Billion Accounts for Security and Privacy [1.4190701053683015]
WhatsAppはいまだに大規模な列挙に対して非常に脆弱であることを示す。
私たちはブロックや有効レート制限に遭遇することなく、1時間に1億以上の電話番号を調査しました。
また、2021年のFacebookデータリークで公表された電話番号の半分近くが、WhatsAppでまだアクティブであることも示しています。
論文 参考訳（メタデータ） (2025-11-25T12:27:05Z) - BinCtx: Multi-Modal Representation Learning for Robust Android App Behavior Detection [14.968903026957603]
我々は,グローバルバイトコード・アズ・イメージ・ビューからアプリのマルチモーダル表現を構築する学習手法であるBINCTXを提案する。
現実世界のマルウェアや良性アプリでは、BINCTXは94.73%のマクロF1を獲得し、少なくとも14.92%の強いベースラインを上回っている。
論文 参考訳（メタデータ） (2025-10-16T06:29:06Z) - Stream RAG: Instant and Accurate Spoken Dialogue Systems with Streaming Tool Usage [66.67531241554546]
従来のASR-LLM-TTSパイプラインに代わる強力な対話システムとして、エンドツーエンドの音声対話システムが登場している。
本稿では,音声入力システムに直接ツールの使用を拡張するための最初のアプローチを紹介する。
提案するStreaming Retrieval-Augmented Generation (Streaming RAG) は,ユーザ音声と並行してツールクエリを予測することにより,ユーザ知覚のレイテンシを低減する新しいフレームワークである。
論文 参考訳（メタデータ） (2025-10-02T14:18:20Z) - Synopsis: Secure and private trend inference from encrypted semantic embeddings [2.7998963147546148]
本稿では,メッセージ埋め込みを用いた協調型E2EEメッセージにおけるメッセージトレンド分析のためのセキュアなアーキテクチャであるSynopsisを紹介する。
このシステムの目的は調査ジャーナリズムであるため、Synopsisは探索的分析と目標分析の両方を促進する必要がある。
ヒンディー語のWhatsAppメッセージのデータセットによる評価は、我々のアプローチの効率性と正確性を示している。
論文 参考訳（メタデータ） (2025-05-29T17:34:10Z) - Reinforcement Learning for Long-Horizon Interactive LLM Agents [56.9860859585028]
インタラクティブデジタルエージェント(IDA)は、ステートフルなデジタル環境のAPIを利用して、ユーザの要求に応じてタスクを実行する。
対象環境で直接IDAを訓練する強化学習(RL)手法を提案する。
我々は、近似ポリシー最適化のデータおよびメモリ効率の亜種である LOOP を導出する。
論文 参考訳（メタデータ） (2025-02-03T18:35:42Z) - WildChat: 1M ChatGPT Interaction Logs in the Wild [88.05964311416717]
WildChatは100万件のユーザー・チャットGPT会話のコーパスで、250万回以上のインタラクション・ターンで構成されている。
タイムスタンプによるチャットの書き起こしに加えて、州、国、ハッシュIPアドレスを含む人口統計データでデータセットを豊かにします。
論文 参考訳（メタデータ） (2024-05-02T17:00:02Z) - Emerging App Issue Identification via Online Joint Sentiment-Topic
Tracing [66.57888248681303]
本稿では,MERITという新しい問題検出手法を提案する。
AOBSTモデルに基づいて、1つのアプリバージョンに対するユーザレビューに否定的に反映されたトピックを推測する。
Google PlayやAppleのApp Storeで人気のアプリに対する実験は、MERITの有効性を実証している。
論文 参考訳（メタデータ） (2020-08-23T06:34:05Z) - Mind the GAP: Security & Privacy Risks of Contact Tracing Apps [75.7995398006171]
GoogleとAppleは共同で,Bluetooth Low Energyを使用した分散型コントラクトトレースアプリを実装するための公開通知APIを提供している。
実世界のシナリオでは、GAP設計は(i)プロファイリングに脆弱で、(ii)偽の連絡先を生成できるリレーベースのワームホール攻撃に弱いことを実証する。
論文 参考訳（メタデータ） (2020-06-10T16:05:05Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。