論文の概要: RIPA: Sensory-Vector Prompt Injection Attacks on LLM-Controlled ROS 2 Robots
- arxiv url: http://arxiv.org/abs/2606.28649v1
- Date: Fri, 26 Jun 2026 23:31:59 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-06-30 18:07:15.63045
- Title: RIPA: Sensory-Vector Prompt Injection Attacks on LLM-Controlled ROS 2 Robots
- Title（参考訳）: RIPA:LLM制御ROS2ロボットへの感覚ベクトルプロンプト注入攻撃
- Abstract要約: 本稿では,ROS 2 ベースのロボットシステムにおいて,センサパイプラインを経由したインジェクション攻撃のシステマティック・マルチチャネル実験を行った。
単調なスケーリングトレンドに従わないモデル固有の脆弱性プロファイルを特定する。
偽陽性のない既知の注入パターンに対して0%のASRを達成するハイブリッドセマンティックファイアウォールを提案する。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: We present RIPA, the first systematic multi-channel empirical study of prompt injection attacks delivered through the sensory pipeline of a ROS 2-based LLM-controlled robotic system. Across 100 independent runs per injection variant on five LLMs spanning four model families and parameter scales from approximately 4B to approximately 284B (DeepSeek-V4-Flash, Llama-3-8B-Instruct-Lite, Llama-3.3-70B-Instruct-Turbo, Qwen 2.5-7B-Instruct-Turbo, Gemma-3n-E4B), we identify model-specific vulnerability profiles that do not follow a monotonic scaling trend: Llama-3.3-70B-Instruct-Turbo exhibits 100% attack success rate (ASR) across all injection variants, while Llama-3-8B-Instruct-Lite and Qwen 2.5-7B-Instruct-Turbo resist direct-override injection (0% ASR), and the smallest model evaluated (Gemma-3n-E4B, approximately 4B) matches the 70B model's vulnerability profile, indicating that robustness is model-specific rather than scale-dependent. We propose a hybrid semantic firewall that achieves 0% ASR against known injection patterns with no false positives on a preliminary benign set (0/20 commands) but exhibits a 10.2% trial-weighted bypass rate (58/570 trials; N equals 30 per payload across 19 obfuscation payloads) against adversarially obfuscated attacks, exposing a critical gap between rule-based and semantic defense layers. We further introduce three sensory injection channels: visual (Channel 1, via OCR), audio (Channel 2, via Whisper STT), and LiDAR sensor context poisoning (Channel 3). We show that Channel 3, which injects fabricated obstacle data into the robot environment-state representation at the LLM system-prompt level, achieves 100% ASR across all variants on DeepSeek-V4-Flash. We also contribute a firewall bypass taxonomy spanning 19 obfuscation payloads across five categories. All code, data, and results are publicly available.
- Abstract（参考訳）: 本稿では,ROS2をベースとしたLLM制御ロボットシステムにおいて,インパルスインジェクション攻撃によるインジェクション攻撃のシステマティック・マルチチャネル実験を行った。
約4Bから約284B(DeepSeek-V4-Flash, Llama-3-8B-Instruct-Lite, Llama-3.3-70B-Instruct-Turbo, Qwen 2.5-7B-Instruct-Turbo, Gemma-3n-E4B)までの4つのモデルファミリおよびパラメータスケールにまたがる100個の独立したインジェクション毎のインジェクション変動: Llama-3.3-70B-Instruct-Turboはすべてのインジェクションバリアント間で100%のアタック成功率(ASR)を示し、Llama-3-8B-Instruct-LiteとQwen 2.5-7B-Instruct-Turbo(ASR0%)を直接インジェマ-3n-E4Bは、モデル固有の脆弱性プロファイルを識別する。
予備的良性集合(0/20コマンド)に偽陽性のない既知の注入パターンに対して0%のASRを達成できるハイブリッドセマンティックファイアウォールを提案するが、10.2%の試験重み付きバイパス率(58/570トライアル、Nは19個の難読ペイロードに対して30パーセントのペイロードに等しい)を示し、ルールベースとセマンティックディフェンス層の間に致命的なギャップを露呈する。
さらに、視覚(チャンネル1、OCR経由)、オーディオ(チャンネル2、Whisper STT経由)、LiDARセンサーコンテキスト中毒(チャンネル3)の3つの感覚注入チャンネルを紹介した。
本稿では,LLMシステム・プロンプトレベルにおけるロボット環境状態表現に,製造した障害物データを注入したChannel 3が,DeepSeek-V4-Flash上のすべての変種に対して100%のASRを実現していることを示す。
また、5つのカテゴリにまたがる19個の難燃ペイロードにまたがるファイアウォールバイパス分類に貢献する。
コード、データ、結果はすべて公開されています。
関連論文リスト
- SingGuard-NSFA: Extensible Guardrails for Agentic AI via Generative Reasoning and Real-Time Classification [0.0]
nsfaguardは、エージェントAIシステムを運用上の脅威から保護するためのガードレールフレームワークである。
まず,185種のリスク変異をCIA-Triad-grounded 階層に分類するNSFA分類について紹介する。
凍結したバックボーン上の識別的分類ヘッドと解釈可能なオフライン監査のためのSFTに基づく生成推論を組み合わせたデュアルモードアプローチを開発した。
論文 参考訳（メタデータ） (2026-07-13T07:28:45Z) - Now You (Still) See Me: Detecting Evasive Steganographic Payloads in LLMs [52.149036302760386]
大規模な言語モデルは、プロンプトによって引き起こされるシークレットを、流動的で良心的な出力にエンコードするように微調整することができる。
近年の研究では、内部の活性化から秘密を回収する線形プローブによる検出を提案する。
この防御は体系的に回避できるが,対象とするデータレベルの介入によって検出性が回復可能であることを示す。
論文 参考訳（メタデータ） (2026-06-08T12:27:11Z) - Depth-Dependent Indirect Prompt Injection in Tool-Calling ReAct Agents: Injection Depth, Payload Framing, and Turn-Budget Sensitivity [0.0]
GPT-4o-miniとClaude Haikuに対して,0.36 USD以下のAPIコストで460のトライアルを実施した。
実験1では, GPT-4o-miniに対するASRは深さ1%から5。
研究2は、保守的なツール呼び出しと真の命令抵抗を組み合わせることで、すべての深さで0%のASRを達成するクロード俳句の深さ実験を再現する。
調査4では,ASRがターンキャップ3,5,7で安定であることを確認し,ターン予算がリスク要因ではないことを示した。
論文 参考訳（メタデータ） (2026-05-29T00:28:42Z) - Latent Adversarial Detection: Adaptive Probing of LLM Activations for Multi-Turn Attack Detection [0.0]
マルチターンプロンプトインジェクションは既知の攻撃経路に従う。
この攻撃経路はモデルの残差ストリームにアクティベーションレベルシグネチャを残していることを示す。
論文 参考訳（メタデータ） (2026-04-30T17:16:33Z) - PlanFlip: Attacking Multi-Agent LLM Systems via Planning-Phase Prompt Injection [19.162716475205308]
マルチエージェントLLMシステムは、目標をサブタスクシーケンスに分解するプランナーにますます依存している。
Plannerのコンテキストへの単一のインジェクションはカスケード増幅を実現し、すべての下流サブタスクを同時に破壊する。
4つの計画段階のインジェクション攻撃からなるフレームワークであるPlanFlipを紹介する。
論文 参考訳（メタデータ） (2026-04-30T07:22:06Z) - Perturbation Probing: A Two-Pass-per-Prompt Diagnostic for FFN Behavioral Circuits in Aligned LLMs [9.127363793428119]
摂動探索は、大規模言語モデルにおけるFFNニューロンに対するタスク特異的因果仮説を生成する。
8つの動作回路、13のモデル、および4つのアーキテクチャファミリにまたがって、LLMの動作を整理する2つの回路構造を同定する。
論文 参考訳（メタデータ） (2026-04-30T04:13:33Z) - Instance-level Visual Active Tracking with Occlusion-Aware Planning [61.982298426203165]
Visual Active Tracking (VAT)は、カメラを3D空間でターゲットに追従することを目的としている。
VATは、視覚的に類似したイントラクタからの混乱と、閉塞下での深刻な障害という、現実世界のデプロイメントにおいて2つの重要なボトルネックに直面している。
3つの相補的なモジュールを持つ統一パイプラインであるOA-VATを提案する。
論文 参考訳（メタデータ） (2026-04-23T09:11:50Z) - Claw-Eval: Toward Trustworthy Evaluation of Autonomous Agents [66.97968363332465]
エージェントベンチマークの3つのギャップに対処するエンドツーエンド評価スイートであるClaw-Evalを紹介した。
Claw-Evalは3つのグループにまたがる9つのカテゴリにまたがる300の人間検証タスクで構成されている。
すべてのエージェントアクションは、3つの独立したエビデンスチャネルを通じて記録される。
論文 参考訳（メタデータ） (2026-04-07T17:43:18Z) - Kill-Chain Canaries: Stage-Level Tracking of Prompt Injection Across Attack Surfaces and Model Safety Tiers [0.0]
そこで本研究では,5種類のLDM剤に対する即時注射攻撃のステージ分解分析を行った。
暗号カナリアトークン(SECRET-[A-F0-9]8)を4つのキルチェーンステージで追跡する。
我々の中心的な発見は、モデル安全性は、敵のコンテンツが見えるかどうかではなく、パイプラインのステージにまたがって伝播されるかどうかによって決定されるということである。
論文 参考訳（メタデータ） (2026-03-30T04:07:18Z) - DiffuGuard: How Intrinsic Safety is Lost and Found in Diffusion Large Language Models [50.21378052667732]
我々は、ステップ内およびステップ間ダイナミクスという2つの異なる次元にわたるジェイルブレイク攻撃に対して、dLLM脆弱性の詳細な分析を行う。
デュアルステージアプローチによる脆弱性に対処する,トレーニング不要な防御フレームワークであるDiffuGuardを提案する。
論文 参考訳（メタデータ） (2025-09-29T05:17:10Z) - LLM Robustness Against Misinformation in Biomedical Question Answering [50.98256373698759]
探索拡張生成(RAG)アプローチは,質問応答のための大規模言語モデル(LLM)の折り畳みを低減するために用いられる。
バイオメディカル質問に対する誤報に対する4つのLDMの有効性とロバスト性を評価した。
論文 参考訳（メタデータ） (2024-10-27T16:23:26Z) - Lazy Layers to Make Fine-Tuned Diffusion Models More Traceable [70.77600345240867]
新たな任意の任意配置(AIAO)戦略は、微調整による除去に耐性を持たせる。
拡散モデルの入力/出力空間のバックドアを設計する既存の手法とは異なり,本手法では,サンプルサブパスの特徴空間にバックドアを埋め込む方法を提案する。
MS-COCO,AFHQ,LSUN,CUB-200,DreamBoothの各データセットに関する実証研究により,AIAOの堅牢性が確認された。
論文 参考訳（メタデータ） (2024-05-01T12:03:39Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。