論文の概要: PIPES: Securing Agent Perception with Provenance and Priors
- arxiv url: http://arxiv.org/abs/2608.12789v1
- Date: Thu, 13 Aug 2026 03:49:00 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-14 18:29:38.392523
- Title: PIPES: Securing Agent Perception with Provenance and Priors
- Title（参考訳）: PIPES:provenance and Priors による安全なエージェントの認識
- Abstract要約: PIPES (Provenance-Informed, Prior-Enforced Screening) を導入し, セマンティック・プリエンスとソース・プロファイランスを用いて応答単位をスクリーニングする。
デプロイメントは、検出された違反を取り除いたり、警告したり、ブロックしたり、エスカレートしたりすることができる。
3つのVitaBenchと3つのエージェントDynがGemma 4 31B ITを標的エージェントとして分割し、PIPESは平均攻撃成功率を84.7%から2.3%に減らし、平均良性ユーティリティ(92.5%、PIPESは90.6%)を維持する。
- 参考スコア（独自算出の注目度）: 14.946462395720767
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Tool-using agents consume external data from sources with different levels of trust, yet tool responses rarely identify who produced each component or what it should convey. We show that this gap enables state-corruption attacks, in which attacker-controlled content makes environmental claims beyond the informational authority of its response component and corrupts the agent's perceived environment, making the resulting action appear justified to existing guardrails. We introduce PIPES (Provenance-Informed, Prior-Enforced Screening), which screens response units using semantic priors and source provenance. PIPES uses static field contracts when schemas provide stable expectations, and conditions screening of open-ended content on the pre-response trajectory and trusted provenance metadata. It marks units that violate their semantic prior or the provenance hierarchy; deployments may remove, warn, block, or escalate detected violations. We instantiate atomic removal and evaluate PIPES against adaptive PAIR-style attacks. Across the three VitaBench and three AgentDyn splits with Gemma 4 31B IT as the target agent, PIPES reduces average attack success from 84.7% to 2.3%, while preserving average benign utility (92.5% with PIPES versus 90.6% without defense).
- Abstract（参考訳）: ツール使用エージェントは、異なるレベルの信頼を持つソースから外部データを消費するが、ツール応答は、各コンポーネントの作成者や、それが伝達すべきものを特定することは滅多にない。
このギャップは、攻撃者が制御するコンテンツが、応答成分の情報的権限を超えた環境要求を行い、エージェントの認識する環境を損なうような状態破壊攻撃を可能にし、その結果が既存のガードレールに正当化されることを示す。
PIPES (Provenance-Informed, Prior-Enforced Screening) を導入し, セマンティック・プリエンスとソース・プロファイランスを用いて応答単位をスクリーニングする。
PIPESは、スキーマが安定した期待を提供するとき、静的フィールドコントラクトを使用し、応答前の軌道と信頼された前処理メタデータ上のオープンエンドコンテンツのスクリーニングを行う。
デプロイメントは、検出された違反を取り除いたり、警告したり、ブロックしたり、エスカレートしたりすることができる。
我々は、原子除去をインスタンス化し、適応的なPAIRスタイルの攻撃に対してPIPESを評価する。
3つのVitaBenchと3つのエージェントDynがGemma 4 31B ITを標的エージェントとして分割し、PIPESは平均攻撃成功率を84.7%から2.3%に引き下げた。
関連論文リスト
- ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection [61.4148196085256]
本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
論文 参考訳（メタデータ） (2026-08-27T01:22:14Z) - Trustworthy RAG: An Evaluation Agent for Detecting Misinformation and Knowledge Poisoning in Generative AI Systems [1.7327102304628392]
Retrieval-Augmented Generation (RAG) は、Large Language Model (LLM) を外部知識で出力する。
本稿では,自然言語推論(NLI)の事実検証,関連性重み付けによる5信号毒素検出,信頼指数T = 0.4 F + 0.35 C + 0.25 (1 - P) を組み合わせた評価エージェントを提案する。
Llama 3.3 70BのTrathfulQAでは、エージェントは91%の精度と100%の精度に達し、インストラクションインジェクションで100%リコールされる。
論文 参考訳（メタデータ） (2026-08-21T13:42:41Z) - AgentSnare: Learning to Delay, Divert, and Defuse Autonomous Penetration Agents [29.81912218748482]
大型言語モデル(LLM)エージェントは、観察-動作ループを介して浸透試験を自動化する。
現在の防御は、攻撃前に環境に植えられた静的で孤立したアーティファクトに大きく依存している。
AgentSnareはデコイ環境を動的に展開し、侵入エージェントを実際のターゲットから遠ざけていく。
論文 参考訳（メタデータ） (2026-07-29T14:56:31Z) - Agentic Permissions Policy Algebra for Taint Confinement in LLM Agents [0.0]
従来のテナント追跡は、未確認データを読み取る際にエージェントのコンテキストを永久に汚染する。
本稿では,エンジン管理型コンテキスト分岐によるユーザビリティボトルネックを解決するためのIFCフレームワークであるAPPAを提案する。
我々は4つのモデルにまたがるマルチターンツールチェインベンチマークでAPPAを評価した。
論文 参考訳（メタデータ） (2026-07-27T16:19:45Z) - Plant, Persist, Trigger: Sleeper Attack on Large Language Model Agents [64.80318459073526]
敵のコンテンツは、同一のエージェントによって提供される相互作用にまたがって持続できることを示し、そのような脅威を検知し緩和することを困難にしている。
具体的には、敵対的コンテンツはエージェント状態に留まり、相互作用をまたいだ休眠状態に留まり、その後、良心的なユーザクエリによって活性化される。
我々は、このタイプの安全脅威をスリーパー攻撃として形式化し、評価するために、現実世界の有害な結果6つ、攻撃戦略3つ、エージェント状態の目標3つをカバーする1,896件のベンチマークを構築した。
論文 参考訳（メタデータ） (2026-05-27T09:25:37Z) - On-Policy Self-Evolution via Failure Trajectories for Agentic Safety Alignment [54.30690671490447]
既存の安全アライメント信号は、主に応答レベルまたは政治外である。
FATEは、検証済みの失敗を専門家のデモンストレーションなしで修復管理に変換する。
FATEは攻撃成功率を33.5%、有害なコンプライアンスを82.6%削減し、外的軌道安全診断を6.5%改善する。
論文 参考訳（メタデータ） (2026-05-12T09:56:28Z) - Causality Laundering: Denial-Feedback Leakage in Tool-Calling LLM Agents [0.0]
LLMエージェントは、プライベートデータを読み、外部サービスを呼び出し、現実世界のアクションをトリガーし、ツール実行時にセキュリティ問題を引き起こすことができる。
Agentic Reference Monitor(ARM)は、ツール呼び出し、返却データ、フィールドレベルの証明、拒否されたアクションに関する前処理グラフを参照することによって、すべてのツール呼び出しを仲介するランタイム実行層である。
論文 参考訳（メタデータ） (2026-04-05T09:28:51Z) - CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution [49.689452243966315]
ツールコール機能を備えたAIエージェントは、IPI(Indirect Prompt Injection)攻撃の影響を受けやすい。
本稿では,選択防衛フレームワークCausalArmorを提案する。
AgentDojoとDoomArenaの実験は、CausalArmorが攻撃的な防御のセキュリティと一致することを示した。
論文 参考訳（メタデータ） (2026-02-08T11:34:08Z) - Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。
敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
論文 参考訳（メタデータ） (2025-10-03T12:47:21Z) - Malicious Agent Detection for Robust Multi-Agent Collaborative Perception [52.261231738242266]
多エージェント協調(MAC)知覚は、単エージェント認識よりも敵攻撃に対して脆弱である。
MAC知覚に特異的な反応防御であるMADE(Malicious Agent Detection)を提案する。
我々は、ベンチマーク3DデータセットV2X-simとリアルタイムデータセットDAIR-V2Xで包括的な評価を行う。
論文 参考訳（メタデータ） (2023-10-18T11:36:42Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。