論文の概要: Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens

• arxiv url: http://arxiv.org/abs/2606.30755v1
• Date: Mon, 29 Jun 2026 18:00:45 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-07-01 18:27:18.961535
• Title: Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens
• Title（参考訳）: コンピュータシステムレンズによる爪状エージェントセキュリティの理解と評価
• Abstract要約: クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
• 参考スコア（独自算出の注目度）: 65.53494487819053
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Claw-like AI agents (e.g., OpenClaw) are always-on processes with persistent access to credentials, files, tools, and external services. They take on system-level responsibilities -- installing packages, maintaining state, scheduling subtasks, and mediating I/O -- making security failures far more severe than in other agents. Yet existing benchmarks focus on model responses and tool calls, leaving cross-component failure modes largely unmeasured. We adopt a computer-system analogy: treating a Claw-like agent as an agentic computer system whose gateway runtime plays an OS-like mediation role, whose Skills resemble user-installed applications, and whose Plugins resemble loadable extensions with runtime privileges. Each component has a classical counterpart whose protection mechanisms -- refined over decades of cybersecurity research -- are absent on the agent side. From this perspective, we develop SafeClawArena, a benchmark of 406 adversarial tasks across four attack surfaces (Skill Supply-Chain Integrity, Persistent State Exploitation, Cross-Boundary Data Flow, and Indirect Prompt Injection), executed in containerized replicas of real agent platforms with canary-marked credentials and evaluated via automated taint tracking across nine output channels. We evaluate three platforms (OpenClaw, NemoClaw, SeClaw) and five frontier LLMs. The highest attack success rate reaches 70%; malicious Plugins succeed in 100% of cases regardless of the LLM. SeClaw cuts GPT-5.4's attack success rate from 70% to 22%, partly through utility-security tradeoffs rather than active defenses, while Claude-Opus-4.6 already sits near a 22% floor on every platform. These results expose the inadequacy of current defenses and suggest directions for future hardening. Code and data: https://github.com/sunblaze-ucb/SafeClawArena.
• Abstract（参考訳）: クローのようなAIエージェント(例:OpenClaw)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを持つ、常にオンのプロセスである。 彼らは、パッケージのインストール、状態の維持、サブタスクのスケジューリング、I/Oの仲介といったシステムレベルの責任を負い、セキュリティ上の障害を他のエージェントよりもはるかに深刻にしている。 しかし、既存のベンチマークではモデル応答とツールコールに重点を置いており、クロスコンポーネントの障害モードはほとんど測定されていない。 我々は、Clawライクなエージェントをエージェントコンピュータシステムとして扱い、ゲートウェイランタイムがOSライクな仲介の役割を担い、Skillsはユーザインストールされたアプリケーションに似ており、Plinsは実行時特権を持つロード可能な拡張に似ている。 各コンポーネントには、何十年にもわたるサイバーセキュリティ研究で洗練されている保護メカニズムが、エージェント側で欠落している古典的なコンポーネントがある。 この観点から、私たちは、4つの攻撃面(スキルサプライチェーンの整合性、永続状態の爆発性、境界データフロー、間接プロンプトインジェクション)にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発し、カナリアマーク付き認証を持つ実エージェントプラットフォームのコンテナ化されたレプリカで実行し、9つの出力チャネルで自動ステイントラッキングによって評価する。 我々は,OpenClaw,NemoClaw,SeClawの3つのプラットフォームと5つのフロンティアLSMを評価した。 最も高い攻撃成功率は70%に達し、悪意のあるプラグインは LLM に関係なく100%のケースで成功する。 SeClaw は GPT-5.4 の攻撃成功率を70% から 22% に削減し、一部はアクティブディフェンスではなくユーティリティ・セキュリティのトレードオフによるものであるが、Claude-Opus-4.6 は全プラットフォームで既に 22% 近くにある。 これらの結果は、現在の防御の不十分さを露呈し、将来の硬化の方向を示唆している。 コードとデータ:https://github.com/sunblaze-ucb/SafeClawArena。

関連論文リスト

• SIR: Self-improving Red-teaming for Compute Use Agents [71.71987044117371]
  コンピュータ・ユース・エージェント(CUA、Computer use agent)は、マウス、キーボード、端末を通じて画面を認識し、実際のオペレーティングシステムに作用する視覚言語モデルである。 操作中に信頼できないコンテンツに晒されるため、間接的プロンプトインジェクション(IPI)に弱い。 SIRは,平易な言語で記述された再利用原則の小さなライブラリからステルスインジェクションを構成するブラックボックスIPIアタックである。
  論文  参考訳（メタデータ） (2026-08-31T03:39:43Z)
• ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? [92.21756459993695]
  低レベルのプログラム推論を必要とするため、爆発は難しい作業です。 その重要性と診断価値にもかかわらず、搾取は未評価のままである。 ExploitGymは、AIエージェントのエクスプロイト能力に関する大規模で多様な、現実的なベンチマークである。
  論文  参考訳（メタデータ） (2026-05-11T18:00:14Z)
• When Agents Handle Secrets: A Survey of Confidential Computing for Agentic AI [6.1511441479993225]
  ツールを計画し、実行し、永続的なメモリを保持し、タスクをピアエージェントに委譲するエージェントAIシステムは、スタンドアロンのモデル推論と実質的に異なる脅威表面を導入する。 Trusted Execution Environments (TEEs)は、エージェントコードとデータを特権システムソフトウェアから分離する。 本調査は, 設計空間を, (i) 展開の役割と業績のトレードオフをカバーする6つのTEEプラットフォームの統合分類, (ii) 認知,計画,記憶,行動,調整層を対象とするエージェント中心の脅威モデル, (iii) CCの比較調査の4つの部分で要約する。
  論文  参考訳（メタデータ） (2026-05-04T23:09:16Z)
• Your Agent, Their Asset: A Real-World Safety Analysis of OpenClaw [87.97230960702274]
  本稿では,OpenClawの安全性評価について紹介する。 エージェントの永続状態を3次元に統一するCIK分類法を導入する。 評価では、ライブOpenClawインスタンス上の12のアタックシナリオをカバーしています。
  論文  参考訳（メタデータ） (2026-04-06T15:27:05Z)
• ClawSafety: "Safe" LLMs, Unsafe Agents [25.729388843970014]
  OpenClawのようなパーソナルAIエージェントは、ユーザのローカルマシンで高機能で動作する。 ClawSAFETYは、3次元(ハームドメイン、アタックベクター、有害アクションタイプ)に沿って編成された120の逆テストシナリオのベンチマークである。 各テストケースは、通常の作業中にエージェントが遭遇する3つのチャネルのうちの1つに、相手のコンテンツを埋め込む。
  論文  参考訳（メタデータ） (2026-04-01T22:24:24Z)
• Blind Gods and Broken Screens: Architecting a Secure, Intent-Centric Mobile Agent Operating System [30.443894673057816]
  我々は,Doubao Mobile Assistantを用いて,最先端のモバイルエージェントのシステムセキュリティ分析を行う。 我々は脅威の風景をエージェントアイデンティティ、外部インタフェース、内部推論、アクション実行の4つの次元に分解する。 クリーンスレート安全なエージェントOSであるAuraを提案する。
  論文  参考訳（メタデータ） (2026-02-11T14:52:27Z)
• The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
  大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。 CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
  論文  参考訳（メタデータ） (2025-12-01T07:05:23Z)
• Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
  自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。 敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
  論文  参考訳（メタデータ） (2025-10-03T12:47:21Z)
• Breaking the Code: Security Assessment of AI Code Agents Through Systematic Jailbreaking Attacks [11.371490212283383]
  コード対応の大規模言語モデル(LLM)エージェントはソフトウェア工学に組み込まれ、コードを読み、書き、実行することができる。 JAWS-BENCHは、3つのエスカレーションワークスペースにまたがるベンチマークであり、攻撃能力を反映している。 JAWS-0のプロンプトのみの条件下では、コードエージェントは平均して61%の攻撃を受けており、58%が有害、52%がパース、27%がエンドツーエンドで実行される。
  論文  参考訳（メタデータ） (2025-10-01T18:38:20Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。