論文の概要: Not an A11y: How Android Accessibility Exposes Mobile AI Agents to Indirect Prompt Injection
- arxiv url: http://arxiv.org/abs/2608.08939v1
- Date: Sun, 09 Aug 2026 22:13:55 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-11 19:16:36.999073
- Title: Not an A11y: How Android Accessibility Exposes Mobile AI Agents to Indirect Prompt Injection
- Title（参考訳）: A11yではない: AndroidアクセシビリティがモバイルAIエージェントを間接的にプロンプトインジェクションする方法
- Abstract要約: 敵のプロンプトは、自律エージェントが元の目的を放棄し、コンテキスト境界に違反し、不正なデバイスアクションを実行させる可能性があることを示す。
本稿では,これらの攻撃を分類し,ゼロトラスト入力検証,専用セキュリティエージェント,モバイルエージェントアーキテクチャにおける厳密なコンテキスト分離の必要性について論じる。
- 参考スコア（独自算出の注目度）: 12.408125305560269
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: The rise of autonomous AI agents represents a major paradigm shift in how users interact with mobile devices. Frameworks such as MobileRun and Mobile-Use can autonomously navigate Android applications and execute complex multi-step tasks. To interpret user interfaces, these frameworks rely primarily on Android accessibility (A11y) trees and secondarily on visual screenshots. In this paper, we demonstrate that this architectural dependence on unsanitized accessibility metadata, together with visual input, introduces a systemic vulnerability to indirect prompt injection. We show that adversarial prompts can cause autonomous agents to abandon their original objectives, violate context boundaries, and perform unauthorized device actions. Our empirical evaluation demonstrates goal hijacking, context drift, and unauthorized actions across visually hidden and fully exposed attack scenarios. In aggregate, MobileRun reaches an attack success rate of 0.822 with Gemma4:31B, while Mobile-Use with Qwen3.6:35B reduces this to 0.150 but does not eliminate context drift or unauthorized actions. These findings reveal that current mobile agent frameworks fail to enforce semantic context boundaries, treating passive environmental text as trusted instructions. Finally, we present a taxonomy of these attacks and discuss the need for zero-trust input validation, dedicated security agents, and strict context isolation within mobile agent architectures.
- Abstract（参考訳）: 自律型AIエージェントの台頭は、ユーザがモバイルデバイスと対話する方法における大きなパラダイムシフトを表している。
MobileRunやMobile-Useのようなフレームワークは、Androidアプリケーションを自律的にナビゲートし、複雑なマルチステップタスクを実行することができる。
ユーザーインターフェイスを解釈するために、これらのフレームワークは主にAndroidアクセシビリティ(A11y)ツリーに依存し、第二にビジュアルスクリーンショットに依存している。
本稿では,この不衛生なアクセシビリティメタデータへのアーキテクチャ的依存が視覚入力とともに,間接的インジェクションのためのシステム的脆弱性を導入することを実証する。
敵のプロンプトは、自律エージェントが元の目的を放棄し、コンテキスト境界に違反し、不正なデバイスアクションを実行させる可能性があることを示す。
私たちの経験的評価は、視覚的に隠され、完全に露出した攻撃シナリオにわたって、ゴールハイジャック、コンテキストドリフト、および不正なアクションを実証します。
総じて、MobileRunはGemma4:31Bの攻撃成功率0.822に達し、Qwen3.6:35BのMobile-Useでは0.150に削減されるが、コンテキストドリフトや不正な動作は排除されない。
これらの結果から,現在のモバイルエージェントフレームワークはセマンティックコンテキスト境界を強制できず,受動的環境テキストを信頼された指示として扱うことがわかった。
最後に、これらの攻撃の分類を示し、ゼロトラスト入力検証、専用セキュリティエージェント、モバイルエージェントアーキテクチャにおける厳密なコンテキスト分離の必要性について議論する。
関連論文リスト
- When Agents See Differently: Exposing UI Desynchronization Threats in Mobile Agents [31.736012043129495]
我々は,ユーザとエージェントが同一インタフェースから一貫した情報を観測していることを示す。
同じUI状態は、ユーザとエージェントに実質的に異なる情報を提示することができる。
我々は,ユーザ実行時命令非依存のUIデ同期攻撃を構築し,デプロイ可能なAPKで実現する自動フレームワークを開発する。
論文 参考訳（メタデータ） (2026-09-15T07:02:10Z) - (A)I Sees What You Don't: Exploiting New Attack Surfaces in Third-Party Mobile Agents [6.848663048236236]
VLM(Vision-Language Models)を利用したサードパーティのモバイルエージェントが,スマートフォンインタラクションを自動化する上で有望なパラダイムとして登場した。
本稿では,環境とのインタラクションにおいて,サードパーティのモバイルエージェントアプリと一般アプリの主な違いを要約し,エージェントのセキュリティ姿勢を分析し,2つのユニークな攻撃面を特定する。
我々は,サブリミナルテキストインジェクションや見えないピクセルゾーンエクスプロイト,スクリーンショット改ざん,ホストPCコマンドインジェクションなど,7つの具体的な攻撃を設計,実装する。
論文 参考訳（メタデータ） (2026-07-01T02:17:19Z) - Who Pays the Price? Stakeholder-Centric Prompt Injection Benchmarking for Real-world Web Agents [93.19140872946842]
大規模言語モデル(LLM)によって駆動されるWebエージェントは、現実の環境にますますデプロイされる。
これにより、一見良質なコンテンツがエージェントの振る舞いを操作する敵の命令を埋め込む、プロンプト・インジェクション・アタックに対して脆弱になる。
実世界のWebエージェントシステムにおいて,損害を体系的に分類し,属性付けするベンチマークである textbfsysname を導入する。
論文 参考訳（メタデータ） (2026-06-11T14:12:43Z) - MIRAGE: Mobile Agents with Implicit Reasoning and Generative World Models [53.09772037247959]
可視テキスト推論トレースから連続潜時推論表現を学習するフレームワークであるMIRAGEを紹介する。
AndroidWorldでは、MIRAGEは4Bアブレーションで監督された微調整を3～5倍の低い復号化予算と一致している。
AndroidControlでは、75%以上のトークンを生成しながらアクショングラウンドを改善する。
論文 参考訳（メタデータ） (2026-06-03T09:01:24Z) - Making MLLMs Blind: Adversarial Smuggling Attacks in MLLM Content Moderation [54.38271718421492]
敵の密輸攻撃は人間とAIの能力ギャップを悪用する。
有害なコンテンツを人間の読みやすい視覚形式にエンコードする。
我々は緩和戦略の予備的な調査を行う。
論文 参考訳（メタデータ） (2026-04-08T11:13:16Z) - AgentRAE: Remote Action Execution through Notification-based Visual Backdoors against Screenshots-based Mobile GUI Agents [18.82273534480229]
モバイルグラフィカルユーザインタフェース(GUI)エージェントは、アプリケーションとオペレーティングシステム(OS)を自律的に制御する
本稿では,視覚的に自然なトリガを用いたモバイルGUIエージェントにおけるリモートアクション実行を誘導する新しいバックドアアタックであるAgentRAEを提案する。
評価の結果,提案したバックドアは10個のモバイル操作に対して90%以上の攻撃成功率でクリーンな性能を保っていることが明らかとなった。
論文 参考訳（メタデータ） (2026-03-24T09:51:43Z) - Blind Gods and Broken Screens: Architecting a Secure, Intent-Centric Mobile Agent Operating System [30.443894673057816]
我々は,Doubao Mobile Assistantを用いて,最先端のモバイルエージェントのシステムセキュリティ分析を行う。
我々は脅威の風景をエージェントアイデンティティ、外部インタフェース、内部推論、アクション実行の4つの次元に分解する。
クリーンスレート安全なエージェントOSであるAuraを提案する。
論文 参考訳（メタデータ） (2026-02-11T14:52:27Z) - Cuckoo Attack: Stealthy and Persistent Attacks Against AI-IDE [64.47951172662745]
Cuckoo Attackは、悪意のあるペイロードを構成ファイルに埋め込むことで、ステルス性と永続的なコマンド実行を実現する新しい攻撃である。
攻撃パラダイムを初期感染と持続性という2つの段階に分類する。
当社は、ベンダーが製品のセキュリティを評価するために、実行可能な7つのチェックポイントを提供しています。
論文 参考訳（メタデータ） (2025-09-19T04:10:52Z) - Hijacking JARVIS: Benchmarking Mobile GUI Agents against Unprivileged Third Parties [19.430061128447022]
本稿では,モバイルGUIエージェントの脆弱性に関する最初の系統的研究について述べる。
本稿では,スケーラブルな攻撃シミュレーションフレームワークであるAgentHazardを紹介した。
動的タスク実行環境と攻撃シナリオの静的データセットの両方からなるベンチマークスイートを開発する。
以上の結果から, 調査対象となったエージェントは, 誤解を招く第三者コンテンツに大きく影響していることが判明した。
論文 参考訳（メタデータ） (2025-07-06T03:31:36Z) - Poison Once, Control Anywhere: Clean-Text Visual Backdoors in VLM-based Mobile Agents [54.35629963816521]
この研究は、VLMベースのモバイルエージェントをターゲットにした最初のクリーンテキストバックドアアタックであるVIBMAを紹介する。
この攻撃は、視覚的な入力だけを変更することによって、悪意ある振る舞いをモデルに注入する。
クリーンタスクの動作を保ちながら高い成功率を達成できることを示す。
論文 参考訳（メタデータ） (2025-06-16T08:09:32Z) - Dissecting Adversarial Robustness of Multimodal LM Agents [70.2077308846307]
我々は、VisualWebArena上に現実的な脅威モデルを用いて、200の敵タスクと評価スクリプトを手動で作成する。
我々は,クロボックスフロンティアLMを用いた最新のエージェントを,リフレクションやツリーサーチを行うエージェントを含む,壊すことに成功している。
AREを使用して、新しいコンポーネントの追加に伴うロバスト性の変化を厳格に評価しています。
論文 参考訳（メタデータ） (2024-06-18T17:32:48Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。