論文の概要: Self-State Attacks on Self-Hosted AI Agents: How Far Can OS Defenses Go?
- arxiv url: http://arxiv.org/abs/2607.17986v1
- Date: Mon, 20 Jul 2026 14:16:55 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-21 18:48:37.657444
- Title: Self-State Attacks on Self-Hosted AI Agents: How Far Can OS Defenses Go?
- Title（参考訳）: 自家用AIエージェントに対するセルフステート攻撃:OS防衛はどこまで進むのか?
- Abstract要約: 自己ホスト型AIエージェントは、自身の国家の腐敗によって妥協される可能性がある。
本稿では,この種の攻撃に対するOSの弾力性について検討する。
- 参考スコア（独自算出の注目度）: 28.618490710365887
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Self-hosted AI agents read and write their own memory and configuration files to function. An agent may get compromised via corruption of its own state -- a compromise realized via legitimate OS system call invocation. We refer to this class of threats as self-state attacks. In this paper, we investigate the OS resilience to this class of attacks. Formally, we characterize a four-axis attack space (Target, Mechanism, Granularity, Temporal); investigate the structural limits of prevention, detection, and recovery; and introduce a workload-conditioned view of detectability. To instantiate the framework, we collect live activity traces from a representative self-hosted agent running across distinct workload profiles, and realize the attack space as a 23-cell matrix, 43 concrete operations on real self-state files, and injected into those traces. We then evaluate both canonical and workload-conditioned defense strategies. The empirical results show that a layered defense stack (access-control prevention on the instruction and configuration layers, workload-conditioned detection on the memory layer, and periodic backup for recovery) is effective on most attack cells while a small residual attack surface remains structurally indistinguishable at the OS level. These findings suggest that against the newly established class of self-state attacks, OS-level defense needs to be reconsidered, potentially opening new research directions in the field.
- Abstract（参考訳）: セルフホストのAIエージェントは、自身のメモリと設定ファイルを読み書きして機能させる。
エージェントは、自身の状態の汚職によって妥協される可能性がある -- 正当なOSシステム呼び出しによって実現された妥協。
我々はこの種の脅威を自己国家攻撃と呼ぶ。
本稿では,この種の攻撃に対するOSの弾力性について検討する。
形式的には, 4軸攻撃空間(ターゲット, メカニズム, グラニュラリティ, テンポラル)を特徴付け, 予防, 検出, 回復の構造的限界を調査し, 作業負荷条件による検出可能性の視点を導入する。
フレームワークをインスタンス化するために、異なるワークロードプロファイル上で動作する代表的セルフホストエージェントからライブアクティビティトレースを収集し、23セルマトリックスとして攻撃空間を実現し、実際のセルフステートファイル上で43の具体的な操作を行い、それらのトレースに注入する。
次に、標準およびワークロード条件の防衛戦略の評価を行う。
実験の結果,OSレベルでは小さな残留攻撃面が構造的に区別不能でありながら,層状防御スタック(命令層と構成層のアクセス制御防止,メモリ層上のワークロード条件検出,回復のための周期的バックアップ)がほとんどの攻撃セルに有効であることが示された。
これらの結果から,新たに確立された自己状態攻撃に対して,OSレベルの防衛は再検討され,新たな研究の方向性が開ける可能性が示唆された。
関連論文リスト
- From Shield to Target: Denial-of-Service Attacks on LLM-Based Agent Guardrails [9.514819678986488]
LLMベースのガードレールは、自律エージェントの即時注入と脱獄攻撃に対する非常に効果的な防御として出現している。
攻撃者は、製造されたデータを注入して、長期の推論ループでガードレールをトラップし、系統的なサービス拒否攻撃を実施できることを示す。
1つの有毒な文書が共有ガードレールのインフラを飽和させ、効果的に共同配置されたエージェントを飢えさせ、システム全体を麻痺させることが示される。
論文 参考訳（メタデータ） (2026-06-12T14:49:00Z) - Poisoning the Pixels: Revisiting Backdoor Attacks on Semantic Segmentation [28.208102468217394]
本研究は,セマンティックセグメンテーションに適したバックドア攻撃を系統的に検討する。
本稿では、トリガ設計を最適化し、ラベル操作戦略を適用して攻撃性能を最大化する統合フレームワークBADSEGを紹介する。
我々の研究は、セマンティックセグメンテーションにおけるこれまで見過ごされていたセキュリティの脆弱性を明らかにし、セグメンテーション固有の脅威モデルに合わせたディフェンスの開発を動機付けている。
論文 参考訳（メタデータ） (2026-03-17T11:42:17Z) - Towards Agentic Honeynet Configuration [0.8873265946210988]
ハニーポット(Honeypots)は、脅威情報を集めるために脆弱なサービスをエミュレートする詐欺システムである。
実践的ネットワークと計算資源では、露出可能なハニーポットの数を制限する。
この研究は、進行中の攻撃に対して、ハニーポットの露光を自律的に管理するAI駆動のエージェントアーキテクチャを調査する。
論文 参考訳（メタデータ） (2026-03-14T21:15:49Z) - Zombie Agents: Persistent Control of Self-Evolving LLM Agents via Self-Reinforcing Injections [57.64370755825839]
セルフ進化エージェントはセッション間で内部状態を更新する。
我々はこのリスクを調査し、Zombie Agentと呼ばれる永続的な攻撃を形式化する。
我々は,攻撃者が制御するWebコンテンツを通じて間接的露光のみを使用するブラックボックス攻撃フレームワークを提案する。
論文 参考訳（メタデータ） (2026-02-17T15:28:24Z) - CaMeLs Can Use Computers Too: System-level Security for Computer Use Agents [60.98294016925157]
AIエージェントは、悪意のあるコンテンツがエージェントの行動をハイジャックして認証情報を盗んだり、金銭的損失を引き起こすような、インジェクション攻撃に弱い。
CUAのためのシングルショットプランニングでは、信頼できるプランナーが、潜在的に悪意のあるコンテンツを観察する前に、条件付きブランチで完全な実行グラフを生成する。
このアーキテクチャ分離は命令インジェクションを効果的に防止するが、ブランチステアリング攻撃を防ぐには追加の対策が必要であることを示す。
論文 参考訳（メタデータ） (2026-01-14T23:06:35Z) - BackdoorAgent: A Unified Framework for Backdoor Attacks on LLM-based Agents [58.83028403414688]
大規模言語モデル(LLM)エージェントは、計画、メモリ、ツールの使用を組み合わせた多段階ワークフローを通じてタスクを実行する。
エージェントワークフローの特定のステージに注入されたバックドアトリガーは、複数の中間状態を通して持続し、下流出力に悪影響を及ぼす可能性がある。
LLMエージェントにおけるバックドア脅威を統一したエージェント中心のビューを提供するモジュールおよびステージアウェアフレームワークである textbfBackdoorAgent を提案する。
論文 参考訳（メタデータ） (2026-01-08T03:49:39Z) - Cuckoo Attack: Stealthy and Persistent Attacks Against AI-IDE [64.47951172662745]
Cuckoo Attackは、悪意のあるペイロードを構成ファイルに埋め込むことで、ステルス性と永続的なコマンド実行を実現する新しい攻撃である。
攻撃パラダイムを初期感染と持続性という2つの段階に分類する。
当社は、ベンダーが製品のセキュリティを評価するために、実行可能な7つのチェックポイントを提供しています。
論文 参考訳（メタデータ） (2025-09-19T04:10:52Z) - Backdoor Attacks and Defenses in Computer Vision Domain: A Survey [12.384887829851834]
バックドア攻撃は、隠された制御可能な振る舞いを機械学習モデルに埋め込む。
本調査は,コンピュータビジョン領域におけるバックドア攻撃と防御に関する文献の急成長を概観するものである。
論文 参考訳（メタデータ） (2025-09-09T08:38:05Z) - BlindGuard: Safeguarding LLM-based Multi-Agent Systems under Unknown Attacks [58.959622170433725]
BlindGuardは、攻撃固有のラベルや悪意のある振る舞いに関する事前の知識を必要とせずに学習する、教師なしの防御方法である。
BlindGuardはマルチエージェントシステムにまたがる多様な攻撃タイプ(即時注入、メモリ中毒、ツール攻撃)を効果的に検出する。
論文 参考訳（メタデータ） (2025-08-11T16:04:47Z) - Poison Once, Control Anywhere: Clean-Text Visual Backdoors in VLM-based Mobile Agents [54.35629963816521]
この研究は、VLMベースのモバイルエージェントをターゲットにした最初のクリーンテキストバックドアアタックであるVIBMAを紹介する。
この攻撃は、視覚的な入力だけを変更することによって、悪意ある振る舞いをモデルに注入する。
クリーンタスクの動作を保ちながら高い成功率を達成できることを示す。
論文 参考訳（メタデータ） (2025-06-16T08:09:32Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。