論文の概要: COMA: A Compositional Misleading Attack Class on Security-RAG, and a Causal Counterfactual Defense

• arxiv url: http://arxiv.org/abs/2608.17960v1
• Date: Tue, 18 Aug 2026 16:14:30 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-08-19 21:40:53.399524
• Title: COMA: A Compositional Misleading Attack Class on Security-RAG, and a Causal Counterfactual Defense
• Title（参考訳）: COMA:Security-RAGにおける構成ミスリーディング攻撃クラスと因果防御
• Abstract要約: セキュリティ・オペレーション・センターにおいて,アナリストが支援するRAG(Recovery-augmented Generation)の障害について検討した。 我々は,攻撃のクラスであるemphcompmis(COMA)を同定し,すべての敵文書が事実的正当性,命令なし,非矛盾性,分散的良性であることを示す。 一つの原則が両方を統括する: 攻撃は、不滅の事実がエンフレッドよりもむしろインフィニフェールされなければならないときに成功する。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by-nc-sa/4.0/
• Abstract: Every document a security copilot retrieves can be true, instruction-free, and non-contradictory --- and the copilot can still be driven to assess a critical, exploitable vulnerability correctly and then recommend a remediation that leaves it open. We study this failure in retrieval-augmented generation (RAG) backing analyst-facing copilots in Security Operations Centers, and identify a class of attacks, \emph{\compmis{}} (COMA), in which every adversarial document is factually correct, instruction-free, non-contradictory, and distributionally benign --- yet the answer is misled by their \emph{composition}. We realize \compmis{} through \emph{action-corruption}, which steers a correctly-diagnosed vulnerability toward an inferior remediation, and \emph{verdict-flip}, which destabilizes the exploitability verdict via an undecidable reachability chain. Action-corruption bites all five tested models --- including frontier reasoning models --- on every run, on two synthetic domains and a real CVE (CVE-2021-33813); verdict-flip bites stochastically, decreasing with model capability but never vanishing. A single principle governs both: the attack succeeds when the disambiguating fact must be \emph{inferred} rather than \emph{read}. We propose \ccd{} (Causal Counterfactual Defense), an audit that measures the leave-one-out causal influence of each retrieved document and flags answers whose influence concentrates on low-trust documents. \ccd{} localizes the attack to attacker-controlled documents with no false positives on four benign multi-document controls; an adaptive influence-spreading adversary is caught by an \emph{aggregate} variant. We release attack seeds and a \ccd{} reference implementation.
• Abstract（参考訳）: セキュリティ担当者が取得するすべてのドキュメントは、真実で、命令不要で、非コントラクタリーでもあります -- そして、コパイロットは、重要な、悪用可能な脆弱性を正しく評価するために駆動され、それを開いておくための修正が推奨されます。 セキュリティ・オペレーション・センターでアナリストと対面する協力者を支援するRAG(Recovery-augmented Generation)におけるこの障害について検討し、攻撃のクラスである \emph{\compmis{}} (COMA) を特定する。 我々は, 悪用可能性判定を決定不能な到達性連鎖を介して不安定化する, 劣悪な修復に向けて, 正しく診断された脆弱性を操る \emph{action-corruption} と, 悪用可能性判定を不安定化する \emph{verdict-flip} を実現できる。 アクション崩壊(Action-corruption)は、2つの合成ドメインと本物のCVE(CVE-2021-33813)で、テストされた5つのモデル(フロンティア推論モデルを含む)すべてに噛み付く。 攻撃は、曖昧な事実が \emph{read} ではなく \emph{inferred} でなければならない場合に成功する。 我々は,検索した各文書の因果影響を計測し,低信頼の文書に影響を及ぼす回答をフラグする監査であるccd{}(Causal Counterfactual Defense)を提案する。 ccd{}は攻撃を攻撃対象のドキュメントにローカライズするが、4つの良性なマルチドキュメントコントロールに偽陽性はない。 attack seed と \ccd{} 参照実装をリリースします。

関連論文リスト

• Benchmarking Factual Robustness of LLMs via Multi-conversation Persuasion [0.0]
  レッドチームフレームワークは、ターゲットモデルが会話履歴を保持するマルチターン対話におけるモデルを評価する。 textbfSAST-IR (Stateful Attacker, Stateless Target - Iterative Refinement)フレームワークを紹介します。 我々は,textbfmulti-turn (stateless) イテレーションを用いて,最悪の逆数設定をシミュレートする。 単純で多様な攻撃戦略は、スタグングな textbf96% の成功率を達成し、メモリレス防御において深刻な脆さを露呈した。
  論文  参考訳（メタデータ） (2026-09-15T07:46:01Z)
• Cross-Session Decomposition Attacks: Scaling Risk and Intent-Aligned Retrieval Defense [49.05879299987137]
  言語モデリングの損失の低減は、より有用なモデルを生み出します。 本研究は,このメカニズムの安全性について,独立した相互作用を通じて,良質なサブクエリが要求され,後に禁忌の対象へと再帰される,エンフクロス・セッション分解攻撃(enmphcross-session decomposition attack)における研究である。 我々は、この設定をEmphcompositional safety riskとして定式化し、条件付きリスク-転送境界を証明する。
  論文  参考訳（メタデータ） (2026-08-28T05:39:29Z)
• DenialRAG: Single-Document RAG Poisoning via Embedded Parametric Denial [7.434105792757549]
  EmphDenialRAGは,正しい回答を明示し,それを否定し,攻撃者による説明を提示する単一文書中毒攻撃である。 DenialRAGは、コンフリクトを直接ジェネレータが見るコンテキストに埋め込む。 我々はDenialRAGを3つのオープンドメイン質問回答データセットにまたがる4つの単一文書中毒攻撃に対して評価した。
  論文  参考訳（メタデータ） (2026-08-02T20:33:05Z)
• Beyond Attack-Success Rate: Action-Graded Severity Scale for Tool-Using AI Agents [0.0]
  エージェントのレッドチームベンチマークは、インジェクトされたエージェントが単一ビットとして侵入されたかどうかを報告している。 このバイナリ・アタック・サクセス・レートは、ディフェンダーが最も必要とする情報、すなわち、結果として生じるアクションがどれほど有害であるかを破棄する。 本研究では,7段階の順序尺度(L0〜L6)でエージェントのツールコール軌跡をスコアし,実行された動作が可逆性であったか,他者への到達範囲を超えたか,特権を拡大したかに応じて,アクショングレード調和ルーリックを導入する。
  論文  参考訳（メタデータ） (2026-07-08T14:38:01Z)
• Who Pays the Price? Stakeholder-Centric Prompt Injection Benchmarking for Real-world Web Agents [93.19140872946842]
  大規模言語モデル(LLM)によって駆動されるWebエージェントは、現実の環境にますますデプロイされる。 これにより、一見良質なコンテンツがエージェントの振る舞いを操作する敵の命令を埋め込む、プロンプト・インジェクション・アタックに対して脆弱になる。 実世界のWebエージェントシステムにおいて,損害を体系的に分類し,属性付けするベンチマークである textbfsysname を導入する。
  論文  参考訳（メタデータ） (2026-06-11T14:12:43Z)
• The Misattribution Gap: When Memory Poisoning Looks Like Model Failure in Agentic AI Systems [1.0262304700896199]
  EmphSemantic Norm Drift (SND) をエージェント不正行為の第3の経路として定式化する。 SNDでは、ポリシーフォーマットの文書が通常のアップロードを通じて共有ベクターストアに入り、その後、信頼されたシステムコンテキストとして再現れる。 偽合成検査は87.5%の精度と偽陽性のゼロの因果関係を識別する。
  論文  参考訳（メタデータ） (2026-05-12T20:21:47Z)
• Skills as Verifiable Artifacts: A Trust Schema and a Biconditional Correctness Criterion for Human-in-the-Loop Agent Runtimes [0.0]
  私たちは、スキルが検証されるまで、信頼されたコードであると主張する。 スキル検証がなければ、ループ内の人間ゲートは、あらゆる不可逆呼び出しに発射されなければならない。 すべてのスキルマニフェストに明確な検証レベルを含む信頼スキーマを提供します。
  論文  参考訳（メタデータ） (2026-05-01T05:53:05Z)
• Making MLLMs Blind: Adversarial Smuggling Attacks in MLLM Content Moderation [54.38271718421492]
  敵の密輸攻撃は人間とAIの能力ギャップを悪用する。 有害なコンテンツを人間の読みやすい視覚形式にエンコードする。 我々は緩和戦略の予備的な調査を行う。
  論文  参考訳（メタデータ） (2026-04-08T11:13:16Z)
• A Coin Flip for Safety: LLM Judges Fail to Reliably Measure Adversarial Robustness [57.510025257780306]
  既存の検証プロトコルは、レッドチーム固有の分散シフトを考慮できないことを示す。 我々は、より一貫して判断可能な振る舞いのベンチマークであるReliableBenchと、判断失敗を公開するために設計されたデータセットであるJiceStressTestを提案する。
  論文  参考訳（メタデータ） (2026-02-04T15:13:35Z)
• Illusory Attacks: Information-Theoretic Detectability Matters in Adversarial Attacks [76.35478518372692]
  エプシロン・イリューソリー(epsilon-illusory)は、シーケンシャルな意思決定者に対する敵対的攻撃の新たな形態である。 既存の攻撃と比較して,エプシロン・イリューソリーの自動検出は極めて困難である。 以上の結果から, より優れた異常検知器, 効果的なハードウェアおよびシステムレベルの防御の必要性が示唆された。
  論文  参考訳（メタデータ） (2022-07-20T19:49:09Z)
• ADC: Adversarial attacks against object Detection that evade Context consistency checks [55.8459119462263]
  文脈整合性チェックさえも、適切に構築された敵の例に対して脆弱であることを示す。 このような防御を覆す実例を生成するための適応型フレームワークを提案する。 我々の結果は、コンテキストを堅牢にモデル化し、一貫性をチェックする方法はまだ未解決の問題であることを示している。
  論文  参考訳（メタデータ） (2021-10-24T00:25:09Z)
• A Self-supervised Approach for Adversarial Robustness [105.88250594033053]
  敵対的な例は、ディープニューラルネットワーク(DNN)ベースの視覚システムにおいて破滅的な誤りを引き起こす可能性がある。 本稿では,入力空間における自己教師型対向学習機構を提案する。 これは、反逆攻撃に対する強力な堅牢性を提供する。
  論文  参考訳（メタデータ） (2020-06-08T20:42:39Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。