論文の概要: DualView: Preventing Indirect Prompt Injection in Personal AI Agents

• arxiv url: http://arxiv.org/abs/2607.03821v1
• Date: Sat, 04 Jul 2026 11:12:36 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-07-07 22:26:29.731343
• Title: DualView: Preventing Indirect Prompt Injection in Personal AI Agents
• Title（参考訳）: DualView: パーソナルAIエージェントの間接的プロンプト注入防止
• Authors: Juhee Kim, Woohyuk Choi, Taehyun Kang, Youngmin Kim, Byoungyoung Lee,
• Abstract要約: エージェントのコンテキストからユーザ環境への信頼できないデータ追跡を拡張するDualViewを提案する。 In the evaluation on a IPI benchmark and PinchBench, DualView cannot all IPI attack, including stored IPI, while maintain utility close to the un protectioned baseline。
• 参考スコア（独自算出の注目度）: 14.051616131113436
• License: http://creativecommons.org/licenses/by-nc-sa/4.0/
• Abstract: Personal AI agents that run on the user's local machine, such as OpenClaw, automate daily tasks including web search, email, and file management. Their access to computer resources, including the network, file system, and shell, exposes them to indirect prompt injection (IPI) attacks. Prior Dual LLM defenses block IPI by replacing untrusted data with symbols that the agent can reference but not read. However, they track untrusted data only inside the agent's context, so when the agent saves and later rereads untrusted data, that data, possibly an attacker's prompt, can return as trusted data rather than as a symbol, which we call stored IPI. Operating on the user's real environment, which humans and programs share, is what makes agents like OpenClaw practical, and is exactly why a defense that ignores it is incomplete. Preserving symbols in such an environment is hard, because humans and programs need original data. We present DualView, which extends untrusted data tracking from the agent's context to the user's environment, including the file system, shell, network, and other agents, by giving each channel two views. In AgentView, the agent sees untrusted data as symbols even after writing it out and reading it back, blocking stored IPI, while HumanView preserves original data for humans and tools. DualView routes each tool call to the right view and synchronizes data across the two views. DualView deploys as an OpenClaw plugin using only tool hooks, without changing the agent's tool-call logic or tool implementations. Since DualView isolates untrusted data by design, its protection is not limited to known attack templates. In our evaluation on an IPI benchmark and PinchBench, DualView blocked every IPI attack, including stored IPI, while keeping utility close to the unprotected baseline.
• Abstract（参考訳）: OpenClawのようなユーザーのローカルマシンで動作するパーソナルAIエージェントは、Web検索、Eメール、ファイル管理を含む日々のタスクを自動化する。 ネットワーク、ファイルシステム、シェルなどのコンピュータリソースへのアクセスは、間接的インジェクション(IPI)攻撃に対してそれらを公開する。 以前のデュアルLLMディフェンスは、信頼できないデータをエージェントが参照できるが読めないシンボルに置き換えることで、IPIをブロックする。 しかし、エージェントはエージェントのコンテキスト内でのみ信頼できないデータを追跡するため、エージェントが信頼できないデータを保存して後で読み戻すと、攻撃者のプロンプトであるそのデータは、私たちがストアドIPIと呼ぶシンボルとしてではなく、信頼されたデータとして返すことができる。 人間やプログラムが共有するユーザの実際の環境での運用は、OpenClawのようなエージェントを現実的なものにします。 このような環境におけるシンボルの保存は、人間やプログラムが独自のデータを必要とするため、難しい。 提案するDualViewは,エージェントのコンテキストからファイルシステム,シェル,ネットワーク,その他のエージェントを含むユーザの環境まで,各チャネルに2つのビューを与えて,信頼できないデータ追跡を行う。 AgentViewでは、エージェントは信頼できないデータを、それを書いて読み返した後でもシンボルとして認識し、格納されたIPIをブロックし、HumanViewは人間やツールのオリジナルのデータを保存している。 DualViewは、各ツールコールを適切なビューにルーティングし、2つのビューにわたってデータを同期する。 DualViewは、エージェントのツールコールロジックやツール実装を変更することなく、ツールフックのみを使用してOpenClawプラグインとしてデプロイされる。 DualViewは信頼できないデータを設計によって分離するので、その保護は既知のアタックテンプレートに限らない。 In the evaluation on a IPI benchmark and PinchBench, DualView cannot all IPI attack, including stored IPI, while maintain utility close to the un protectioned baseline。

関連論文リスト

• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• Aligning Provenance with Authorization: A Dual-Graph Defense for LLM Agents [11.867868278947524]
  LLMベースのエージェントは、Eメール管理、金融トランザクション、コード実行など、ハイテイクなシナリオにますますデプロイされている。 2つの相補グラフを構成するデュアルグラフアライメント・ディフェンス・フレームワークであるAuthGraphを提案する。 AgentDojoでは、AuthGraphが攻撃成功率を40%から1%に削減し、GPT-4oでは76%のタスク完了率を維持している。
  論文  参考訳（メタデータ） (2026-05-26T03:20:23Z)
• Visual Confused Deputy: Exploiting and Defending Perception Failures in Computer-Using Agents [9.457255218406333]
  コンピュータ利用エージェント(CUA)はグラフィカルユーザインタフェースに直接作用するが、画面に対する認識は信頼できないことが多い。 我々は、エージェントが誤認識された画面状態に基づいてアクションを認可する障害モードである視覚的混乱副産物を形式化する。 この脅威を軽減するため,エージェントの知覚ループ外で動作する最初のガードレールを提案する。
  論文  参考訳（メタデータ） (2026-03-16T01:31:32Z)
• AgentSys: Secure and Dynamic LLM Agents Through Explicit Hierarchical Memory Management [47.49917373646469]
  既存の防御は肥大した記憶を与えられたまま扱い、回復力を維持することに集中する。 我々は、明示的なメモリ管理を通じて間接的なインジェクションを防御するフレームワークであるAgentSysを紹介する。
  論文  参考訳（メタデータ） (2026-02-07T06:28:51Z)
• Cuckoo Attack: Stealthy and Persistent Attacks Against AI-IDE [64.47951172662745]
  Cuckoo Attackは、悪意のあるペイロードを構成ファイルに埋め込むことで、ステルス性と永続的なコマンド実行を実現する新しい攻撃である。 攻撃パラダイムを初期感染と持続性という2つの段階に分類する。 当社は、ベンダーが製品のセキュリティを評価するために、実行可能な7つのチェックポイントを提供しています。
  論文  参考訳（メタデータ） (2025-09-19T04:10:52Z)
• VisualTrap: A Stealthy Backdoor Attack on GUI Agents via Visual Grounding Manipulation [73.92237451442752]
  この研究は、GUI要素に対するGUIエージェントをマッピングするテキストプランの視覚的基盤が脆弱性をもたらすことを明らかにしている。 視覚的接地を目的としたバックドア攻撃では、適切なタスク解決計画が与えられた場合でもエージェントの行動が損なわれる可能性がある。 そこで我々は,エージェントが意図したターゲットではなく,意図した位置をトリガーするテキストプランを見つけることをミスリードすることで,グラウンドディングをハイジャックできるVisualTrapを提案する。
  論文  参考訳（メタデータ） (2025-07-09T14:36:00Z)
• OS-Harm: A Benchmark for Measuring Safety of Computer Use Agents [60.78202583483591]
  コンピュータ使用エージェントの安全性を計測する新しいベンチマークであるOS-Harmを紹介する。 OS-HarmはOSWorld環境上に構築されており、故意のユーザ誤用、インジェクション攻撃、モデル誤動作の3つのカテゴリでモデルをテストすることを目指している。 我々は、フロンティアモデルに基づいてコンピュータ利用エージェントを評価し、その安全性に関する洞察を提供する。
  論文  参考訳（メタデータ） (2025-06-17T17:59:31Z)
• VPI-Bench: Visual Prompt Injection Attacks for Computer-Use Agents [74.6761188527948]
  完全なシステムアクセスを持つコンピュータ利用エージェント(CUA)は、セキュリティとプライバシの重大なリスクを負う。 我々は、悪意のある命令がレンダリングされたユーザーインターフェイスに視覚的に埋め込まれた視覚的プロンプトインジェクション(VPI)攻撃について検討する。 実験により,現在のCUAとBUAは,それぞれのプラットフォーム上で最大51%,100%の速度で騙すことができることがわかった。
  論文  参考訳（メタデータ） (2025-06-03T05:21:50Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。