Fugu-MT 論文翻訳(概要): Isolated but Exposed: Persistence-Based Memory Extraction Attack on LLM Agents

論文の概要: Isolated but Exposed: Persistence-Based Memory Extraction Attack on LLM Agents

arxiv url: http://arxiv.org/abs/2607.23444v1
Date: Sun, 26 Jul 2026 03:51:20 GMT
ステータス: 翻訳完了
システム内更新日: 2026-07-28 22:34:15.103354
Title: Isolated but Exposed: Persistence-Based Memory Extraction Attack on LLM Agents
Title（参考訳）: LLMエージェントの永続性に基づくメモリ抽出攻撃
Abstract要約: LLMベースのエージェントは、セッション間でプライバシーに敏感なユーザデータを永続化する長期記憶(LTM)を備えた大きな言語モデルを拡張する。プロダクションシステムは、メモリアイソレーションを通じて抽出リスクを軽減し、各ユーザのLTMをユニークな識別子に結合する。我々は、この脅威モデルのために設計された最初の抽出攻撃であるSPOREを提案する。
参考スコア（独自算出の注目度）: 21.944459747448974
License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
Abstract: LLM-based agents extend large language models with long-term memory (LTM) that persists privacy-sensitive user data across sessions. Production systems mitigate extraction risks through memory isolation, binding each user's LTM to a unique identifier. This defense has blocked known attacks on shared storage, fostering the assumption that isolated LTM is secure. We identify the tool interface as an overlooked attack surface. Agents routinely embed LTM-retrieved data in tool invocation parameters, enabling a malicious tool to exfiltrate private memory without violating user-level isolation. Naive adaptations of user-side extraction techniques fail because the adversarial command's semantics interfere with retrieval precision, and platform-imposed tool-call limits constrain the extraction budget per trigger. We present SPORE, the first extraction attack designed for this threat model. SPORE decouples the adversarial command from retrieval anchors by persisting the command in short-term memory and emitting semantically pure anchors in tool responses. The restored retrieval precision enables a geometric coverage optimization over the embedding space that systematically steers anchors toward unexplored memory regions. To sustain extraction beyond tool-call limits, SPORE persists reactivation payloads in memory that automatically resume the attack within and across sessions without additional user triggers. SPORE achieves an 80.0% record extraction rate with unlimited triggers and 47.0% with only 20 triggers. In multi-user deployments, attackers can link extracted records to user identities, enabling targeted surveillance. These results demonstrate that memory isolation alone is insufficient and call for reexamining tool-side trust boundaries in agent architectures.
Abstract（参考訳）: LLMベースのエージェントは、セッション間でプライバシーに敏感なユーザデータを永続化する長期記憶(LTM)を備えた大きな言語モデルを拡張する。プロダクションシステムは、メモリアイソレーションを通じて抽出リスクを軽減し、各ユーザのLTMをユニークな識別子に結合する。この防御は、共有ストレージに対する既知の攻撃をブロックし、分離されたLTMがセキュアであるという仮定を育んでいる。ツールインターフェースは見過ごされたアタックサーフェスとして認識する。エージェントは、LTMで取得したデータをツールの呼び出しパラメータに定期的に埋め込むため、悪意のあるツールがユーザレベルのアイソレーションに違反することなくプライベートメモリを流出させることができる。ユーザ側抽出手法のナイーブ適応は、敵コマンドのセマンティクスが検索精度を阻害し、プラットフォームに付与されたツールコール制限がトリガー毎の抽出予算を制限しているため失敗する。我々は、この脅威モデルのために設計された最初の抽出攻撃であるSPOREを提案する。 SPOREは、短期記憶でコマンドを永続化し、ツール応答で意味的に純粋なアンカーを出力することで、検索アンカーから敵のコマンドを分離する。復元された検索精度は、体系的に探索されていないメモリ領域に向けてアンカーをアンカーする埋め込み空間上の幾何学的カバレッジ最適化を可能にする。ツールコール制限を超えて抽出を維持するため、SPOREはリアクションペイロードをメモリに保持し、追加のユーザトリガなしでセッション内およびセッション間で自動的に攻撃を再開する。 SPOREは、無制限トリガーで80.0%、わずか20トリガーで47.0%となる。マルチユーザデプロイメントでは、攻撃者は抽出したレコードをユーザIDにリンクし、ターゲットとする監視を可能にする。これらの結果は、メモリアイソレーションだけでは不十分であることを示し、エージェントアーキテクチャにおけるツール側信頼境界の再検討を要求する。

関連論文リスト

ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文参考訳（メタデータ） (2026-08-27T01:22:14Z)
MIND: Lightweight and Effective Memory Injection Defense for LLM Agents via Intent-Aware Information Bottleneck [18.358560015688447]
メモリ拡張エージェントは、メモリインジェクション攻撃に対して脆弱である。本稿では,メモリインジェクション攻撃のための軽量防御フレームワークであるMINDを提案する。
論文参考訳（メタデータ） (2026-07-30T12:11:49Z)
When Claws Remember but Do Not Tell: Stealthy Memory Injection in Persistent Personal Agents [55.87577638514179]
我々は、リモートのブラックボックスが1つのメールペイロードを送信し、エージェントに有毒なメモリを誘導しなければならない、ステルスメモリインジェクションとして脅威を調査する。我々は,ワンショットペイロード生成フレームワークであるMemGhostを提案する。 56のテストケースで、MemGhostはGPT-5.4でOpenClawで87.5%、Sonnet 4.6でClaude Code SDKで71.4%を達成している。
論文参考訳（メタデータ） (2026-07-06T15:08:58Z)
Deployment-Time Memorization in Foundation-Model Agents [18.40535884093806]
個人化リコール(PR)と適応抽出レート(AER)によるプライバシユーティリティフロンティアとしてのエージェントメモリの検討キーファクト要約は、ほとんどすべてのパーソナライズリコールを維持しながら、Gemma 3 12Bで76%、GPT-4o-miniで64%のカナリア抽出を減少させる。 LongMemEvalでは、キーファクトの要約はGemma 3 12Bで76%、GPT-4o-miniで64%のカナリア抽出を減らし、ほぼすべてのパーソナライズリコールを保存する。
論文参考訳（メタデータ） (2026-06-08T18:38:41Z)
Beyond Similarity: Trustworthy Memory Search for Personal AI Agents [25.265839311088516]
個人AIエージェントにおける信頼境界としてのメモリ探索について検討する。 MemGateは、信頼性の高いメモリ検索のための軽量でデプロイ可能なメモリプラグインである。
論文参考訳（メタデータ） (2026-06-04T11:54:29Z)
Memory-Induced Tool-Drift in LLM Agents [16.757958713462894]
メモリに格納されたパーソナリティ駆動バイアスは、適用できないコンテキストにおけるツールコールに静かに影響する。機械的に、バイアスドメモリは暗黙のステアリングベクトルとして働き、明示的な行動指示と同じ潜在方向に沿ってアクティベーションをプッシュする。エージェントがユーザの代理として連続的なアクションを取るようになると、メモリ誘発ツールドリフトは体系的な脆弱性を表す。
論文参考訳（メタデータ） (2026-05-24T08:41:39Z)
RecMem: Recurrence-based Memory Consolidation for Efficient and Effective Long-Running LLM Agents [16.625864201773343]
RecMemは、受信するインタラクションをサブ意識のメモリ層に格納し、軽量な埋め込みモデルを使用してエンコードする。実験により、RecMemは3つのSOTAメモリシステムのメモリ構築トークンコストを最大87%削減し、精度を上回ります。
論文参考訳（メタデータ） (2026-05-15T15:17:36Z)
Memory-Augmented LLM-based Multi-Agent System for Automated Feature Generation on Tabular Data [52.80567461420316]
メモリ拡張LPMに基づくマルチエージェントシステム(textbfMALMAS)を提案する。 MALMASは生成プロセスを独立した責任を持つエージェントに分解し、ルータエージェントはイテレーション毎にエージェントの適切なサブセットを起動する。さらに、手続きメモリ、フィードバックメモリ、概念記憶を含むメモリモジュールを統合し、その後の特徴生成を適応的に導く反復的改善を可能にする。
論文参考訳（メタデータ） (2026-04-22T07:09:30Z)
Zombie Agents: Persistent Control of Self-Evolving LLM Agents via Self-Reinforcing Injections [57.64370755825839]
セルフ進化エージェントはセッション間で内部状態を更新する。我々はこのリスクを調査し、Zombie Agentと呼ばれる永続的な攻撃を形式化する。我々は,攻撃者が制御するWebコンテンツを通じて間接的露光のみを使用するブラックボックス攻撃フレームワークを提案する。
論文参考訳（メタデータ） (2026-02-17T15:28:24Z)
AgentSys: Secure and Dynamic LLM Agents Through Explicit Hierarchical Memory Management [47.49917373646469]
既存の防御は肥大した記憶を与えられたまま扱い、回復力を維持することに集中する。我々は、明示的なメモリ管理を通じて間接的なインジェクションを防御するフレームワークであるAgentSysを紹介する。
論文参考訳（メタデータ） (2026-02-07T06:28:51Z)
DRIFT: Dynamic Rule-Based Defense with Injection Isolation for Securing LLM Agents [52.92354372596197]
大規模言語モデル(LLM)は、強力な推論と計画能力のため、エージェントシステムの中心となってきています。この相互作用は、外部ソースからの悪意のある入力がエージェントの振る舞いを誤解させる可能性がある、インジェクション攻撃のリスクも引き起こす。本稿では,信頼に値するエージェントシステムのための動的ルールベースの分離フレームワークを提案する。
論文参考訳（メタデータ） (2025-06-13T05:01:09Z)
Memory Injection Attacks on LLM Agents via Query-Only Interaction [49.14715983268449]
我々は,攻撃者がエージェントのメモリバンクを直接変更できると仮定することなく,新たなメモリインジェクション攻撃(MINJA)を提案する。攻撃者は、クエリと出力観察を通してエージェントとのみ対話することで、悪意のあるレコードをメモリバンクに注入する。 MINJAは、任意のユーザがエージェントメモリに影響を与え、リスクを強調します。
論文参考訳（メタデータ） (2025-03-05T17:53:24Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。