論文の概要: From Monoliths to Swarms: A Study of Attack Surface Evolution in the Transition to Multi-Agent Web Systems
- arxiv url: http://arxiv.org/abs/2608.00202v1
- Date: Fri, 31 Jul 2026 18:27:12 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-06 15:25:26.081825
- Title: From Monoliths to Swarms: A Study of Attack Surface Evolution in the Transition to Multi-Agent Web Systems
- Title（参考訳）: モノリスから群れへ:マルチエージェントWebシステムへの移行におけるアタックサーフェス進化の研究
- Abstract要約: 大規模言語モデル(LLM)ベースのWebエージェントは、単一エージェントシステム(SAS)からマルチエージェントシステム(MAS)へと進化している。
複数のエージェントの関与によって引き起こされた脆弱性を考慮し、WebベースのMASに特有の攻撃ベクトルを分類する分類法を提案する。
我々は、Webエージェントのセキュリティを、完全に外部のWeb専用敵に対して分析するためのテストベッドWebMASLabを提案する。
- 参考スコア（独自算出の注目度）: 2.3116744534533282
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Large Language Model (LLM)-based web agents are increasingly evolving from single-agent systems (SAS) to multi-agent systems (MAS). While MAS can lead to improved task performance by decomposing complex tasks across specialized sub-agents, such role decomposition introduces new structural attack surfaces that are absent in SAS. This expanded attack surface remains poorly understood and inadequately categorized. To address this, we propose a taxonomy to categorize attack vectors specific to web-based MAS, accounting for vulnerabilities introduced or amplified by the involvement of multiple agents. We further present a test-bed WebMASLab to analyze web agent security against a fully external, web-only adversary. To isolate the effect of architecture, we keep the user task, tool surface, and browser substrate fixed, and compare single- and multi-agent setups. We evaluate three adversarial scenarios, across three conditions (baseline, prompt-hardened, and reasoning-enabled), including a novel MAS-specific Telephone Loop attack that exploits cross-agent delegation to create cyclical task loops. The attack is inert against SAS but compromises MAS when powered by three of the four frontier models evaluated (Claude Sonnet 4.5, GPT-5.2, GPT-5.4), averaging 80% across them at baseline. Only the fourth model, Claude Sonnet 4.6, resists the attack with a 92% detection rate. For the rest, the detection is 0% at baseline, reaching 33% with prompt-hardening for one model. We also show that obvious defenses do not generalize; prompt-hardening collapses one model's ASR from 100% to 8% while providing only modest reduction to the others. Our findings demonstrate that the transition from single- to multi-agent web systems changes the security landscape. Role specialization may not only lead to performance optimization but also introduce new architectural risks that require further study and defenses.
- Abstract（参考訳）: 大規模言語モデル(LLM)ベースのWebエージェントは、単一エージェントシステム(SAS)からマルチエージェントシステム(MAS)へと進化しつつある。
MASは特定のサブエージェント間で複雑なタスクを分解することでタスク性能を向上させることができるが、そのような役割分解はSASにはない新しい構造的攻撃面を導入する。
この拡張された攻撃面はよく理解されておらず、不適切に分類されている。
そこで本研究では,複数エージェントの関与によって引き起こされた脆弱性を考慮し,WebベースのMASに特有の攻撃ベクトルを分類する分類法を提案する。
さらに、Webエージェントのセキュリティを、完全に外部のWeb専用敵に対して分析するためのテストベッドWebMASLabを提示する。
アーキテクチャの効果を分離するために、ユーザタスク、ツールサーフェス、ブラウザ基板を固定し、シングルエージェントとマルチエージェントのセットアップを比較します。
我々は,3つの条件(ベースライン,プロンプト硬化,推論可能)にまたがる3つの対立シナリオを評価する。
この攻撃はSASに対して不活性であるが、4つのフロンティアモデル(Claude Sonnet 4.5, GPT-5.2, GPT-5.4)で評価された3つのモデル(Claude Sonnet 4.5, GPT-5.2, GPT-5.4)がベースラインで平均80%の精度で攻撃を妨害する。
4番目のモデルであるクロード・ソネット4.6のみが92%の検知率で攻撃に抵抗する。
残りの部分では、検出はベースラインで0%であり、1つのモデルで即時硬化で33%に達する。
また, 防御効果は一般化せず, 即時硬化は, モデルASRを100%から8%に崩壊させるが, その他のモデルには緩やかな低下しか生じないことを示す。
この結果から,シングルエージェントからマルチエージェントへの移行がセキュリティの状況を変えることが示唆された。
役割の専門化は、パフォーマンスの最適化に繋がるだけでなく、さらなる研究と防衛を必要とする新たなアーキテクチャリスクももたらします。
関連論文リスト
- Protocol-Level Attacks on Agentic Commerce Platforms: A Cross-Platform Taxonomy, AIP-Bench, and Unified Defense [0.0]
我々は、エージェントと商業サービスの間のプロトコルにおいて、より連続的なリスクが1層下にあることを示す。
3つの主要なプラットフォームで、デプロイされたモデルに関係なく、それぞれが決定的に成功する、33の脆弱性を特定します。
そのうちの3つは、エンドツーエンドの支払いハイジャックにチェーンする。
論文 参考訳（メタデータ） (2026-07-23T21:21:01Z) - Safety in Self-Evolving LLM Agent Systems: Threats, Amplification, and Case Studies [62.65225104423404]
自己進化エージェントシステムは、敵の影響力が永久に符号化される、質的に新しい脅威の風景を導入します。
モジュール・ライフサイクル・アタック・サーフェス・マトリックスを中心に組織化されたセキュリティとプライバシの分析を行った。
その結果, 自己進化は, 既知のすべての攻撃カテゴリをセッションバウンドからラインパーシスタントに変換することがわかった。
論文 参考訳（メタデータ） (2026-06-22T09:23:50Z) - ClawWorm: Self-Propagating Attacks Across LLM Agent Ecosystems [18.180880919825082]
ClawWormは、プロダクションスケールのエージェントフレームワークに対する最初の自己複製ワーム攻撃である。
我々は、64.5%の総攻撃成功率、マルチホップ伝播の持続、およびモデルセキュリティ姿勢におけるスタークの相違を明らかにする。
論文 参考訳（メタデータ） (2026-03-16T17:55:43Z) - BackdoorAgent: A Unified Framework for Backdoor Attacks on LLM-based Agents [58.83028403414688]
大規模言語モデル(LLM)エージェントは、計画、メモリ、ツールの使用を組み合わせた多段階ワークフローを通じてタスクを実行する。
エージェントワークフローの特定のステージに注入されたバックドアトリガーは、複数の中間状態を通して持続し、下流出力に悪影響を及ぼす可能性がある。
LLMエージェントにおけるバックドア脅威を統一したエージェント中心のビューを提供するモジュールおよびステージアウェアフレームワークである textbfBackdoorAgent を提案する。
論文 参考訳（メタデータ） (2026-01-08T03:49:39Z) - It's a TRAP! Task-Redirecting Agent Persuasion Benchmark for Web Agents [52.81924177620322]
大規模な言語モデルを利用したWebベースのエージェントは、メール管理やプロフェッショナルネットワーキングといったタスクにますます利用されている。
動的Webコンテンツへの依存は、インジェクション攻撃の引き金に弱い: インターフェース要素に隠された敵対的命令は、エージェントが元のタスクから逸脱するように説得する。
本稿では,タスクリダイレクトエージェントの説得ベンチマーク(TRAP)について紹介する。
論文 参考訳（メタデータ） (2025-12-29T01:09:10Z) - Tipping the Dominos: Topology-Aware Multi-Hop Attacks on LLM-Based Multi-Agent Systems [14.555944084540435]
LLMベースのマルチエージェントシステム(MAS)は、デジタルランドスケープを創発的コーディネーションと問題解決能力で再構築した。
我々は,MASを対象としたトポロジ対応マルチホップ攻撃方式であるTOMAを提案する。
論文 参考訳（メタデータ） (2025-12-03T05:10:39Z) - Exposing Weak Links in Multi-Agent Systems under Adversarial Prompting [5.544819942438653]
本稿では,マルチエージェントシステムのセキュリティ評価を行うフレームワークであるSafeAgentsを提案する。
広く採用されている5つのマルチエージェントアーキテクチャについて検討する。
この結果から,一般的なデザインパターンには重大な脆弱性があることが判明した。
論文 参考訳（メタデータ） (2025-11-14T04:22:49Z) - SecureWebArena: A Holistic Security Evaluation Benchmark for LVLM-based Web Agents [28.60912756104713]
大規模視覚言語モデル(LVLM)ベースのWebエージェントは、複雑なオンラインタスクを自動化する強力なツールとして登場しつつある。
既存のベンチマークは部分的カバレッジのみを提供し、通常は狭いシナリオに限定される。
LVLMベースのWebエージェントのセキュリティを評価するための,最初の総合的なベンチマークであるツールを提案する。
論文 参考訳（メタデータ） (2025-10-11T07:18:12Z) - Poison Once, Control Anywhere: Clean-Text Visual Backdoors in VLM-based Mobile Agents [54.35629963816521]
この研究は、VLMベースのモバイルエージェントをターゲットにした最初のクリーンテキストバックドアアタックであるVIBMAを紹介する。
この攻撃は、視覚的な入力だけを変更することによって、悪意ある振る舞いをモデルに注入する。
クリーンタスクの動作を保ちながら高い成功率を達成できることを示す。
論文 参考訳（メタデータ） (2025-06-16T08:09:32Z) - AgentVigil: Generic Black-Box Red-teaming for Indirect Prompt Injection against LLM Agents [54.29555239363013]
本稿では,間接的なインジェクション脆弱性を自動的に検出し,悪用するための汎用的なブラックボックスファジリングフレームワークであるAgentVigilを提案する。
我々はAgentVigilをAgentDojoとVWA-advの2つの公開ベンチマークで評価し、o3-miniとGPT-4oに基づくエージェントに対して71%と70%の成功率を達成した。
攻撃を現実世界の環境に適用し、悪質なサイトを含む任意のURLに誘導するエージェントをうまく誘導する。
論文 参考訳（メタデータ） (2025-05-09T07:40:17Z) - DoomArena: A framework for Testing AI Agents Against Evolving Security Threats [81.73540246946015]
本稿では,AIエージェントのセキュリティ評価フレームワークであるDoomArenaを紹介する。
プラグインフレームワークであり、現実的なエージェントフレームワークと簡単に統合できる。
モジュールであり、エージェントがデプロイされる環境の詳細から攻撃の開発を分離する。
論文 参考訳（メタデータ） (2025-04-18T20:36:10Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。