論文の概要: Behavioral Skill Reconstruction: Reconstructing Hidden Functionality from LLM Agent Skills
- arxiv url: http://arxiv.org/abs/2608.04192v1
- Date: Tue, 04 Aug 2026 19:51:15 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-06 14:48:43.606488
- Title: Behavioral Skill Reconstruction: Reconstructing Hidden Functionality from LLM Agent Skills
- Title（参考訳）: 行動スキル再構築 : LLMエージェントスキルの隠れ機能再構築
- Abstract要約: 本研究では,攻撃者が有効なタスク要求と観察された応答を用いて隠れたスキルの関数的クローンを構築する行動スキル再構築(BSR)について検討する。
SkillCloneは、その公開広告からインターフェース仮説を形成し、構造化された良性プローブを発行し、実行可能レプリカを作成し、被害者のスキルに対する差分検証によって繰り返し修復することで、ターゲットスキルをクローンするブラックボックスアタックである。
- 参考スコア（独自算出の注目度）: 8.044145840544271
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Closed source agent skills may encode proprietary instructions, scripts, constants, and data. Providers may offer their capabilities as services while keeping the underlying packages hidden. Prior work focuses on prompt injection attacks that directly disclose these artifacts, and existing defenses accordingly aim to prevent such leakage. However, preventing file disclosure does not prevent users from recovering the functionality those files implement. This raises a fundamental question: can a user reconstruct a skill's functionality through ordinary use while its files remain hidden? We study behavioral skill reconstruction (BSR), in which an attacker uses valid task requests and observed responses to build a functional clone of a hidden skill. We introduce SkillClone, a black-box attack that clones a target skill by forming an interface hypothesis from its public advertisement, issuing structured benign probes, synthesizing an executable replica, and iteratively repairing it through differential validation against the victim skill. Across 30 skills spanning rules, tables, procedures, and algorithms, SkillClone achieves exact or partial recovery on held-out inputs for several targets. Iterative requerying closes gaps missed by single-round reconstruction. Because SkillClone uses only legitimate interactions, disclosure-focused defenses provide limited coverage, and less detailed skill descriptions offer limited protection. These results show that file secrecy alone does not ensure functional secrecy. Defenses must also limit cumulative information leakage from ordinary use.
- Abstract（参考訳）: クローズドソースエージェントスキルは、プロプライエタリな命令、スクリプト、定数、データをエンコードすることができる。
プロバイダは、基盤となるパッケージを隠蔽しながら、その機能をサービスとして提供することができる。
以前の作業では、これらのアーティファクトを直接開示するインジェクション攻撃に重点を置いており、既存の防御は、そのような漏洩を防ぐことを目的としている。
しかし、ファイル開示の防止は、ユーザーがそれらのファイルが実装した機能を回復するのを防ぐものではない。
ユーザは、ファイルが隠されている間、通常の使用を通じてスキルの機能を再構築できますか?
本研究では,攻撃者が有効なタスク要求と観察された応答を用いて隠れたスキルの関数的クローンを構築する行動スキル再構築(BSR)について検討する。
SkillCloneは、その公開広告からインターフェース仮説を形成し、構造化された良性プローブを発行し、実行可能なレプリカを合成し、被害者のスキルに対する差分検証を通じて繰り返し修復することで、ターゲットスキルをクローンするブラックボックスアタックである。
ルール、テーブル、プロシージャ、アルゴリズムにまたがる30のスキルに対して、SkillCloneはいくつかのターゲットに対するホールドアウトインプットの正確なあるいは部分的なリカバリを実現している。
反復的な再クエリは、単一ラウンドの再構築で失われるギャップを埋める。
SkillCloneは正当なインタラクションのみを使用するため、開示に焦点を当てた防御は限定的なカバレッジを提供し、詳細でないスキル記述は限定的な保護を提供する。
これらの結果は、ファイルの機密のみが機能秘密を保証していないことを示している。
防衛は、通常の使用から累積的な情報漏洩を制限する必要がある。
関連論文リスト
- Daydreaming: Stealing Hidden Agent Skills through Black-Box Task Interaction [15.608916622332368]
私たちは、ブラックボックスのタスクインタラクションを通じてマルチファイルスキルを盗む、実行専用アタックであるDaydreamingを紹介します。
被害者は、そのスキルを明らかにしたり、再建を格付けしたりすることはない。
個々の振る舞いをテストし、アタッカーがコントロールするシャドウエージェントを使用して設計を選択し、格納された犠牲者結果とローカル実行チェックを使用して各ファイルを完成させる。
論文 参考訳（メタデータ） (2026-08-27T07:26:13Z) - TRAP: Benchmark for Task-completion and Resistance to Active Privacy-extraction [26.52125777621677]
タスク精度とプライバシリークのトレードオフを評価する。
モデルに到達する前にハッシュキーでプライベートフィールドを置換する構造的プライベートフィールド分離を提案する。
論文 参考訳（メタデータ） (2026-06-17T12:17:02Z) - SkillGuard: A Permission Framework for Agent Skills [14.787581333168859]
我々はスキル中心のパーミッションフレームワークであるSkillGuardを紹介した。
SkillGuardを実世界の315のスキルとSkillInjectで評価した。
論文 参考訳（メタデータ） (2026-06-02T02:01:53Z) - SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。
フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。
本手法は,現実的な環境下で高い攻撃成功率を達成する。
論文 参考訳（メタデータ） (2026-02-15T16:09:48Z) - BlackCATT: Black-box Collusion Aware Traitor Tracing in Federated Learning [51.251962154210474]
フェデレートラーニング: BlackCATT におけるブラックボックストレーサトレースのための一般的なコラシオン耐性埋め込み法を提案する。
実験により,異なるアーキテクチャやデータセットにまたがる提案手法の有効性が確認された。
メインタスクの更新不整合に苦しむモデルに対して,提案したBlackCATT+FRには機能正規化が組み込まれている。
論文 参考訳（メタデータ） (2026-02-12T16:26:57Z) - LOTUS: Evasive and Resilient Backdoor Attacks through Sub-Partitioning [49.174341192722615]
バックドア攻撃は、ディープラーニングアプリケーションに重大なセキュリティ脅威をもたらす。
近年の研究では、特殊な変換機能によって作られたサンプル特異的に見えないトリガーを用いた攻撃が導入されている。
我々は、回避性とレジリエンスの両方に対処するために、新しいバックドアアタックLOTUSを導入する。
論文 参考訳（メタデータ） (2024-03-25T21:01:29Z) - DrAttack: Prompt Decomposition and Reconstruction Makes Powerful LLM Jailbreakers [74.7446827091938]
我々はjailbreak textbfAttack (DrAttack) のための自動プロンプト textbfDecomposition と textbfReconstruction フレームワークを導入する。
DrAttack には3つの重要な要素が含まれている: (a) プロンプトをサブプロンプトに分解する; (b) セマンティックに類似しているが無害な再組み立てデモで暗黙的にこれらのサブプロンプトを再構築する; (c) サブプロンプトのシンノニム検索する; サブプロンプトのシノニムを見つけることを目的としたサブプロンプトのシノニムを見つけること。
論文 参考訳（メタデータ） (2024-02-25T17:43:29Z) - BadCLIP: Trigger-Aware Prompt Learning for Backdoor Attacks on CLIP [55.33331463515103]
BadCLIPは、CLIPに対するバックドア攻撃において、新しく効果的なメカニズムの上に構築されている。
画像に適用される学習可能なトリガーとトリガー対応コンテキストジェネレータで構成されており、トリガーはトリガー対応プロンプトを通じてテキスト機能を変更することができる。
論文 参考訳（メタデータ） (2023-11-26T14:24:13Z) - Counterfactual Explanations via Locally-guided Sequential Algorithmic
Recourse [13.95253855760017]
提案するLocalFACEは,現実的かつ実用的な対実的説明を構成するモデルに依存しない手法である。
提案手法は, ユーザのプライバシーを, 行動可能なアルゴリズムによる会話の構築に必要なデータのみを活用することで保護する。
論文 参考訳（メタデータ） (2023-09-08T08:47:23Z) - Open-set Adversarial Defense [93.25058425356694]
オープンセット認識システムは敵攻撃に対して脆弱であることを示す。
本研究の目的は,OSAD(Open-Set Adrial Defense, Open-Set Adrial Defense)機構の必要性である。
本稿はOSAD問題に対する解決策として,OSDN(Open-Set Defense Network)を提案する。
論文 参考訳（メタデータ） (2020-09-02T04:35:33Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。