論文の概要: Agent Data Injection Attacks are Realistic Threats to AI Agents
- arxiv url: http://arxiv.org/abs/2607.05120v1
- Date: Mon, 06 Jul 2026 14:07:49 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-07 22:26:30.185883
- Title: Agent Data Injection Attacks are Realistic Threats to AI Agents
- Title（参考訳）: AIエージェントに対するエージェントデータ注入攻撃の現実的脅威
- Abstract要約: エージェント・データ・インジェクション・アタック(ADI)という新しいカテゴリーを導入する。
ADIは、セキュリティクリティカルなメタデータやエージェントコンテキストデータなど、信頼できるデータとして偽装された悪意のあるデータを注入する。
ADIはインストラクションインジェクション攻撃と同様の攻撃効果を持つ。
- 参考スコア（独自算出の注目度）: 15.288128487641464
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: AI agents act on behalf of user prompts, consuming external data and taking actions based on the agent context. Prior research on AI agent security has primarily focused on indirect prompt injection (IPI). Its most well-studied category is instruction injection, where attacker-controlled untrusted data is interpreted as an instruction. In response, many mitigations have been proposed to prevent instruction injection attacks. In this paper, we introduce a new category of IPI, agent data injection attacks (ADI). ADI injects malicious data disguised as trusted data, such as security-critical metadata (e.g., resource identifiers or data origins) or agent context data (e.g., tool call and response formats). As a result, agents unknowingly execute unintended actions based on attacker-controlled data. ADI has similar attack impacts as instruction injection attacks, because it causes agents to misbehave and execute unintended actions. Despite the similar impact, ADI remains underexplored and easily bypasses existing IPI defenses. We found several critical vulnerabilities in real-world agents that allow an attacker to launch various attacks: arbitrary click attacks on web agents (Claude in Chrome, Antigravity, and Nanobrowser), and remote code execution and supply-chain attacks on coding agents (Claude Code, Codex, and Gemini CLI). We evaluate ADI vulnerabilities across off-the-shelf models and AI agents, and find that ADI is effective in both standalone LLMs and AI agent settings. ADI exposes a critical gap in agent security, signifying that current AI agents do not employ a fundamental security principle: current agents do not isolate trusted data from untrusted data.
- Abstract（参考訳）: AIエージェントは、ユーザのプロンプトを代行し、外部データを消費し、エージェントコンテキストに基づいたアクションを取る。
AIエージェントセキュリティに関する以前の研究は、主に間接的プロンプトインジェクション(IPI)に焦点を当てていた。
最もよく研究されているカテゴリは命令インジェクションであり、攻撃者が制御する信頼できないデータは命令として解釈される。
これに対し、インジェクション攻撃を防止するため、多くの緩和策が提案されている。
本稿では,エージェント・データ・インジェクション・アタック(ADI)の新たなカテゴリについて紹介する。
ADIは、セキュリティクリティカルなメタデータ(例えば、リソース識別子やデータ起源)やエージェントコンテキストデータ(例えば、ツール呼び出しやレスポンスフォーマット)といった、信頼できるデータに偽装された悪意のあるデータを注入する。
その結果、エージェントは攻撃者が制御したデータに基づいて意図しないアクションを無意識に実行する。
ADIはインストラクションインジェクション攻撃と同様の攻撃効果を持つ。
同様の影響にもかかわらず、ADIは探索が過小評価され、既存のIPI防御を回避している。
Webエージェントに対する任意のクリック攻撃(ChromeのClaude、Antigravity、Nanobrowser)や、コーディングエージェントに対するリモートコードの実行とサプライチェーン攻撃(Claude Code、Codex、Gemini CLI)です。
我々は、市販のモデルとAIエージェントにわたるADI脆弱性を評価し、ADIがスタンドアロンのLLMとAIエージェント設定の両方で有効であることを確認した。
ADIはエージェントのセキュリティにおいて重要なギャップを露呈し、現在のAIエージェントが基本的なセキュリティ原則を採用していないことを示す。
関連論文リスト
- DecodingTrust-Agent Platform (DTap): A Controllable and Interactive Red-Teaming Platform for AI Agents [121.77550256034]
DecodingTrust-Agent Platform (DTap)は、AIエージェントのためのコントロール可能でインタラクティブなレッドチームプラットフォームである。
DTap-Redは、多様なインジェクションベクターを探索し、効果的な攻撃戦略を自律的に発見する、最初の自律的赤チームエージェントである。
DTapを通じて、さまざまなバックボーンモデル上に構築された一般的なAIエージェントの大規模評価を行う。
論文 参考訳（メタデータ） (2026-05-06T11:59:48Z) - ARGUS: Defending LLM Agents Against Context-Aware Prompt Injection [28.414099578635373]
AgentLureは、コンテキスト依存タスクとコンテキスト認識インジェクション攻撃をキャプチャするベンチマークである。
この制限に対処するため,我々は,LDMエージェントの事前判定監査を実施する防衛機構であるARGUSを提案する。
論文 参考訳（メタデータ） (2026-05-05T05:37:00Z) - SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。
フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。
本手法は,現実的な環境下で高い攻撃成功率を達成する。
論文 参考訳（メタデータ） (2026-02-15T16:09:48Z) - OMNI-LEAK: Orchestrator Multi-Agent Network Induced Data Leakage [59.3826294523924]
オーケストレータ設定として知られる,一般的なマルチエージェントパターンのセキュリティ脆弱性について検討する。
本報告では,フロンティアモデルの攻撃カテゴリに対する感受性を報告し,推論モデルと非推論モデルの両方が脆弱であることが確認された。
論文 参考訳（メタデータ） (2026-02-13T21:32:32Z) - Attacks by Content: Automated Fact-checking is an AI Security Issue [1.5770741892463622]
これまでの研究では、攻撃者が悪意のある指示を注入する間接的なプロンプトインジェクションが研究されてきた。
我々は、エージェントを操作するために命令の注入は必要ないと主張する。
隠れたコマンドを検出することに焦点を当てた既存の防御は、コンテンツによる攻撃に対して効果がない。
論文 参考訳（メタデータ） (2025-10-13T10:18:48Z) - Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。
敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
論文 参考訳（メタデータ） (2025-10-03T12:47:21Z) - Cuckoo Attack: Stealthy and Persistent Attacks Against AI-IDE [64.47951172662745]
Cuckoo Attackは、悪意のあるペイロードを構成ファイルに埋め込むことで、ステルス性と永続的なコマンド実行を実現する新しい攻撃である。
攻撃パラダイムを初期感染と持続性という2つの段階に分類する。
当社は、ベンダーが製品のセキュリティを評価するために、実行可能な7つのチェックポイントを提供しています。
論文 参考訳（メタデータ） (2025-09-19T04:10:52Z) - IPIGuard: A Novel Tool Dependency Graph-Based Defense Against Indirect Prompt Injection in LLM Agents [33.775221377823925]
大規模言語モデル(LLM)エージェントは現実世界のアプリケーションに広くデプロイされており、複雑なタスクのために外部データを検索し操作するためのツールを活用している。
信頼できないデータソースと対話する場合、ツールレスポンスには、エージェントの動作に秘密裏に影響を与え、悪意のある結果をもたらすインジェクションが含まれている可能性がある。
我々はIPIGuardと呼ばれる新しい防御タスク実行パラダイムを提案し、ソースにおける悪意あるツール呼び出しを防止する。
論文 参考訳（メタデータ） (2025-08-21T07:08:16Z) - MELON: Provable Defense Against Indirect Prompt Injection Attacks in AI Agents [60.30753230776882]
LLMエージェントは間接的プロンプトインジェクション(IPI)攻撃に対して脆弱であり、ツール検索情報に埋め込まれた悪意のあるタスクはエージェントをリダイレクトして不正なアクションを取ることができる。
マスク機能によって修正されたマスク付きユーザでエージェントの軌道を再実行することで攻撃を検知する新しいIPIディフェンスであるMELONを提案する。
論文 参考訳（メタデータ） (2025-02-07T18:57:49Z) - AgentDojo: A Dynamic Environment to Evaluate Prompt Injection Attacks and Defenses for LLM Agents [27.701301913159067]
我々は、信頼できないデータ上でツールを実行するエージェントの評価フレームワークであるAgentDojoを紹介した。
AgentDojoは静的テストスイートではなく、新しいエージェントタスク、ディフェンス、アダプティブアタックを設計、評価するための環境である。
AgentDojoには97の現実的なタスク、629のセキュリティテストケースと、文献からのさまざまな攻撃および防御パラダイムが組み込まれています。
論文 参考訳（メタデータ） (2024-06-19T08:55:56Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。