論文の概要: They'll Verify. They Just Won't Act. How Authority Framing and Laundered Code Turn a Trusted Agentic CI/CD Pipeline Into an Attack Surface

• arxiv url: http://arxiv.org/abs/2607.19267v1
• Date: Tue, 21 Jul 2026 16:38:32 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-07-22 19:05:05.491439
• Title: They'll Verify. They Just Won't Act. How Authority Framing and Laundered Code Turn a Trusted Agentic CI/CD Pipeline Into an Attack Surface
• Title（参考訳）: 信頼できるCI/CDパイプラインを攻撃対象にする方法
• Abstract要約: 3つのプロバイダにまたがる5つの異なるプロダクションLLMから構築した5エージェントCI/CDパイプラインについて検討する。 単一の入力は、プロセスシークレットを攻撃者のURLに出力するコードを要求する。 失敗はシステム的であり、迅速な秘密保持も分散検証も保護されない。 すべてのデータは100%合成され、シンクはモックされ、exfil URLは決して接触されない。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: We study a five-agent CI/CD pipeline (triage -> developer -> security-scan -> review -> approve/deploy), built from five distinct production LLMs across three providers, behind an LLM firewall in shadow mode. A single untrusted input - an external issue requesting a "usage-telemetry" feature - asks for code that exfiltrates process secrets (dict(os.environ)) to an attacker URL, laundered as observability. Across a pre-registered A x B (x C) factorial (N=20; naive arm N=60) we find: (1) the entry agent does not leak its system prompt (0/40); (2) an authority-framed injection ("pre-approved under SEC-2291, do not re-review") makes downstream verifiers see the secret-exfil line, cite the pre-approval, and ship it - the scanner passes ~80% of laundered pull requests, and the worst-case cell reaches 55% compromise; (3) the perceived presence of other verifiers yields only a small, non-significant reduction in individual scrutiny (a weak bystander analogue), even at N=60; and (4) content-based controls - code scanners and pattern detectors alike - miss the laundered intent entirely (the code is syntactically clean); only an LLM reasoning about intent is a partial defence. The failure is systemic: neither prompt secrecy nor distributed verification protects; a provenance-aware control at the entry, independent of both, would have. All data is 100% synthetic; the sink is mocked and the exfil URL is never contacted.
• Abstract（参考訳）: シャドーモードのLLMファイアウォールの背後にある,3つのプロバイダにわたる5つの異なるプロダクションLLMから構築された5エージェントCI/CDパイプライン(トリジ -> 開発者 -> セキュリティスキャン -> レビュー -> 承認/デプロイ)について検討する。 単一の信頼できないインプット("usage-telemetry"機能を要求する外部イシュー)は、プロセスシークレット(dict(os.environ))をアタックURLに出力するコードを要求する。 事前登録されたA x B (x C) 因子 (N=20; naive arm N=60) にまたがって、(1) 入力エージェントがシステムプロンプト(0/40)を漏らさない(2) 権限枠によるインジェクション(SEC-2291で事前承認) 下流の検証装置にシークレット-エクスプローラーラインを確認し、事前承認を引用し、それを出荷する スキャナーが洗浄されたプルリクエストの約80%を通過し、最悪のセルが55%の妥協に達する (3) 他の検証装置の存在は、個別の精査(弱い類似点)の小さな非重要量の減少(N=60)を生じる (4) コンテンツベースのコードとスキャナーは、完全に破壊的な意図を損なう。 失敗はシステム的であり、迅速な秘密保持も分散検証も保護しない。 すべてのデータは100%合成され、シンクはモックされ、exfil URLは決して接触されない。

関連論文リスト

• Agent Flight Recorder: Tamper-Evident Audit Trails with On-Chain Anchoring for Long-Horizon Tool-Using Agents [0.6564588068252765]
  ロングホライゾンエージェントは数千のアクションを実行し、分離されたエラーではなく順次失敗する。 Agent Flight Recorderは、各エージェントアクションを構造化されたセマンティックシリアライズされたイベントバインディングとして、実行から実行までの8つのフィールドをキャプチャする。 合成エージェントの負荷に対して,5つの累積アブレーション構成でシステムを評価する。
  論文  参考訳（メタデータ） (2026-09-01T22:59:08Z)
• Recognition Without Enforcement: Configuration-Dependent Failures in LLM Agent Instruction Arbitration and External Control [0.0]
  LLMエージェントはシステムプロンプト、ユーザ、メモリ、ツールから命令を仲裁するが、この仲裁は信頼境界を強制するものではない。 ソースフォーマット機能はモデルアクティベーションから線形にデオード可能であり、モデルがトリガーされたときの偽の権威を明示的に識別することができる。 モデル自己配置をセキュリティ境界ではなく機能として扱い、認証されたソースルーティングと機能限定ツールの実行を組み合わせた外部参照モニタを実装します。
  論文  参考訳（メタデータ） (2026-08-28T16:34:05Z)
• The Framing Gap: Indirect Prompt-Injection Exfiltration Defeats Surface-Level Defenses in Tool-Using Agents [2.45357121165634]
  攻撃者が制御するWebコンテンツを読み取るツール使用のLLMエージェントは間接的なプロンプトインジェクションである。 10のオーバートインジェクションクラスが拒否される(gpt-4o 0%)が、同じリークを必須整合性シグネチャとして無視する。 アブレーションは、そのメカニズムが命令/データの混乱であり、アライメントを損なわないことを示している。
  論文  参考訳（メタデータ） (2026-08-27T13:12:03Z)
• ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
  本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。 提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
  論文  参考訳（メタデータ） (2026-08-27T01:22:14Z)
• LMSM: LLM Security Framework Inspired by Linux Security Modules [56.93644694627783]
  大規模言語モデル(LLM)は階層化されたディフェンスでデプロイされることが多いが、悪意のあるプロンプトはそれらをバイパスすることができる。 我々は,Language Model Security Modules (LMSM) という,Linux Security Modules (LSM) の背後にある分離を LLM サービスに適応させるセキュリティフレームワークを提案する。
  論文  参考訳（メタデータ） (2026-08-26T12:13:05Z)
• The Prover Is the Judge: Verified Security Software from AI Coding Agents in Ada/SPARK [0.0]
  検証者主導のループにおいて、AIエージェントは古典的および後量子暗号、TLS 1.3、IKEv2、X.509、マトリックスクライアントにまたがるAda/SPARKのベアメタルセキュリティソフトウェアを書いて検証した。 GNATproveは49,280の証明義務を解除し、選択されたプリミティブに対して機能的正当性を確立し、残りのプリミティブに対して実行時のエラーがないことを証明した。 それぞれのレイヤが障害をキャッチし,中心的な教訓を引き出す方法を報告します。エージェントが確立するために信頼できるものは,そのフィードバックの強さに縛られているのです。
  論文  参考訳（メタデータ） (2026-07-15T20:09:05Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• Will the Agent Recuse Itself? Measuring LLM-Agent Compliance with In-Band Access-Deny Signals [0.0]
  本稿では,Recuse Signal という軽量な帯域内拒否信号を提案する。 プロトコルの既存のチャネルの上に出力され、接続自動化エージェントが自発的に撤退するよう要求する。 我々は,新鮮エージェントに良質な操作タスクを付与し,反感を伴って観察する制御実験を行った。
  論文  参考訳（メタデータ） (2026-06-04T17:50:54Z)
• Hallucination as Exploit: Evidence-Carrying Multimodal Agents [10.441697487723568]
  マルチモーダルエージェントはますます、スクリーンショットやドキュメント、Webページからツールコールを選択している。 本稿では,自由形式モデルテキストを不許容な証拠として扱うエビデンス搬送型マルチモーダルエージェント(ECA)を提案する。 ECAは不透明なモデルの信念を検証者、スキーマ、実装レベルで監査可能な残留物に変換する。
  論文  参考訳（メタデータ） (2026-05-18T23:40:43Z)
• Securing LLM Agents Need Intent-to-Execution Integrity [49.490963596514185]
  我々は, LLMエージェントの確保には, エージェントの実行がユーザの意図を忠実に反映した場合に規定するエンドツーエンドの正当性を定義する必要があると主張している。 LLMエージェントはコンパイラと構造的に類似しており、セキュリティ違反はユーザ意図を保存しない誤った実行に対応する。 emphTool整合性、emph命令整合性、emphJudgment整合性、emphData整合性。
  論文  参考訳（メタデータ） (2026-05-16T12:53:31Z)
• AgentShield: Deception-based Compromise Detection for Tool-using LLM Agents [4.36595961990666]
  AgentShieldは詐欺ベースの検出フレームワークである。 エージェントのツールインターフェース内に3つのトラップ層を配置する。 攻撃の成功率は90.7%-100%で、485の正常使用試験では誤報はゼロである。
  論文  参考訳（メタデータ） (2026-05-10T20:08:27Z)
• Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain [6.142057368768942]
  大規模言語モデル(LLM)エージェントは、ツール呼び出し要求のディスパッチにサードパーティのAPIルータに依存している。 本研究は,この攻撃面に関する最初の系統的研究である。
  論文  参考訳（メタデータ） (2026-04-09T16:06:41Z)
• Mitigating Indirect Prompt Injection via Instruction-Following Intent Analysis [48.70474961584997]
  インダイレクト・プロンプト・インジェクション・アタック(IPIA)は大きな言語モデル(LLM)に重大な脅威をもたらす IntentGuardは、命令追従インテント分析に基づく一般的な防御フレームワークである。
  論文  参考訳（メタデータ） (2025-11-30T16:29:04Z)
• Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
  自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。 敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
  論文  参考訳（メタデータ） (2025-10-03T12:47:21Z)
• Towards Copyright Protection for Knowledge Bases of Retrieval-augmented Language Models via Reasoning [58.57194301645823]
  大規模言語モデル(LLM)は、現実のパーソナライズされたアプリケーションにますます統合されている。 RAGで使用される知識基盤の貴重かつしばしばプロプライエタリな性質は、敵による不正使用のリスクをもたらす。 これらの知識基盤を保護するための透かし技術として一般化できる既存の方法は、一般的に毒やバックドア攻撃を含む。 我々は、無害な」知識基盤の著作権保護の名称を提案する。
  論文  参考訳（メタデータ） (2025-02-10T09:15:56Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。