論文の概要: EVOMAL: Self-Poisoning in Self-Evolving Coding Agents
- arxiv url: http://arxiv.org/abs/2608.25776v1
- Date: Wed, 26 Aug 2026 13:19:12 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-27 14:15:15.841724
- Title: EVOMAL: Self-Poisoning in Self-Evolving Coding Agents
- Title（参考訳）: EVOMAL:自己進化型コーディングエージェントの自己組織化
- Abstract要約: 自己進化型コーディングエージェントは、共有スキルライブラリから取得したスキルを模倣して、独自のツールを記述する。
エージェントの作者は、悪意のあるスキルを保存し、実行します。
EvoMalは、バナーに交換可能なペイロードをラップすることで、自己攻撃を増幅する攻撃です。
- 参考スコア（独自算出の注目度）: 21.932129032072893
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Self-evolving LLM coding agents write their own tools by imitating retrieved skills from shared skill libraries. We identify a vulnerability in this loop: during authoring, a retrieved malicious skill can become the template for a new skill that preserves the payload. We call this self-poisoning: the agent authors, stores, and runs the resulting malicious skill. We exploit it through EvoMal, an attack that amplifies self-poisoning by wrapping an interchangeable payload in a banner, a set of benign-looking structural elements that induces an imitating agent to reproduce the enclosed code. The attacker plants malicious skills in the library without invoking them. The agent then authors and executes new skills carrying the harmful code. Each authored copy can re-enter the library and be imitated again, forming a self-propagating worm that persists after the planted skills are removed. We define the agent self-poisoning rate (ASPR) as the fraction of tasks that add a newly authored malicious skill to the library. Across six models on 153 tool-relevant SWE-bench Verified tasks, ASPR ranges from 20.3% to 41.8%, and the poisoned libraries hold 4.9 to 9.0 times as many malicious skills as were planted. The vulnerability also appears without a banner: DeepSeek-V4-Pro reaches 11.1% ASPR with the payload alone. Tailoring the planted skill descriptions to one task family raises ASPR to 86.7%. After the planted skills are removed, Qwen3 retains a round-5 ASPR of 68% because agent-authored copies remain. These copies evade existing defenses, which focus on attacker-submitted names, code, and signatures. We propose counter-prompt, a defense that discourages banner-style copying and reduces EvoMal's ASPR to at most 6.7% with no significant task-completion loss.
- Abstract（参考訳）: 自己進化型LLMコーディングエージェントは、共有スキルライブラリから取得したスキルを模倣して独自のツールを記述する。
オーサリングの間、回収された悪意のあるスキルが、ペイロードを保存する新しいスキルのテンプレートになる可能性がある。
エージェントの作者は、悪意のあるスキルを保存し、実行します。
EvoMalは、バナーに交換可能なペイロードをラップすることで、自己攻撃を増幅する攻撃であり、これは、模倣エージェントを誘導して囲んだコードを再生する良質な構造要素のセットである。
攻撃者は、ライブラリーに悪意あるスキルを呼び出しずに植える。
エージェントは、有害なコードを運ぶ新しいスキルを作成、実行します。
各著者のコピーは、ライブラリーに再入り、再び模倣され、植えられたスキルが取り除かれた後に持続する自己増殖性ワームを形成する。
筆者らは, エージェント自己毒殺率 (ASPR) を, 新たに認証された悪意あるスキルをライブラリに追加するタスクのごく一部として定義する。
153のツール関連SWE-bench検証タスクの6つのモデルのうち、ASPRは20.3%から41.8%の範囲で、有毒なライブラリは、植えられた回数の4.9から9.0倍の悪意のあるスキルを持っている。
DeepSeek-V4-Proはペイロードだけで11.1%のASPRに達する。
1つのタスクファミリーに植えられたスキル記述を合わせると、ASPRは86.7%に上昇する。
植えられた技術が取り除かれた後、Qwen3は、エージェント認可コピーが残っているため、ラウンド5ASPRを68%保持する。
これらのコピーは、攻撃者が提出した名前、コード、シグネチャにフォーカスする既存の防御を回避する。
本稿では,バナースタイルのコピーを回避し,EvoMalのASPRを6.7%以上削減する反プロンプトを提案する。
関連論文リスト
- Proof-of-Execution Memory: Defending LLM Agents Against Forged-Reasoning Attacks by Verifying What Actually Happened [2.45357121165634]
本稿では,言語モデルに対して,最初の試みでSENTINELを回避しようとする自動攻撃者について述べる。
メモリを全く検査しないPEM(Proof-of-Execution Memory)を提案する。
論文 参考訳（メタデータ） (2026-08-17T02:54:04Z) - SkillJack: Persistent Skill Backdoors in Self-Evolving Agents [5.713807329849712]
textbfSkillJackは、自己進化エージェントの体験からスキルへのパイプラインを利用する最初の攻撃である。
ランタイムコンテキストを直接操作する代わりに、SkillJackはエージェント自身の学習プロセスをハイジャックして、悪意のある振る舞いを再利用可能なスキルレパートリーに埋め込む。
以上の結果から,新たな攻撃面としてのスキル進化と,スキルライフサイクル保護のモチベーションが示された。
論文 参考訳（メタデータ） (2026-08-04T11:51:23Z) - POISE: Position-Aware Undetectable Skill Injection on LLM Agents [23.2593923733415]
我々は、位置認識型攻撃であるPOISEを導入し、トリガーを1つの良質なボディインストラクションに圧縮する。
codex+gpt-5.2のスキルインジェクションでは、POISEは89.3%のASR、28.0ポイントはランダム配置のボディーベースライン、そして2.6ポイントはYAMLのみのベースラインである。
論文 参考訳（メタデータ） (2026-06-06T02:10:03Z) - MalSkillBench: A Runtime-Verified Benchmark of Malicious Agent Skills [24.371534406647978]
MalSkillBenchは、悪質なエージェントスキルの最初のランタイム検証ベンチマークである。
コードインジェクションは94.5%に達するが、迅速なインジェクションは75.8%に過ぎない。
データセット、パイプライン、ベースライン、結果をリリースしています。
論文 参考訳（メタデータ） (2026-06-05T10:43:19Z) - SkillHarm: Lifecycle-Aware Skill-Based Attacks via Automated Construction [89.03272793385054]
エージェントスキルはエージェントワークフローにおける特権的な位置を占め、サードパーティスキルを脆弱な攻撃面にする。
我々はスキルベースアタックのベンチマークであるSkillHarmを紹介した。
攻撃成功率はFPPが86.3%、SMPが69.3%である。
論文 参考訳（メタデータ） (2026-06-01T17:45:39Z) - Under the Hood of SKILL.md: Semantic Supply-chain Attacks on AI Agent Skill Registry [49.83108591873481]
SKILL.md - エージェントスキルライフサイクルの3つのステージを対象とするアタックのみを調査する。
SKILL.mdは受動的ドキュメントではなく、サードパーティのエージェントが発見し、信頼し、使用する機能を形成する運用テキストであることを示す。
論文 参考訳（メタデータ） (2026-05-12T02:11:54Z) - BadSkill: Backdoor Attacks on Agent Skills via Model-in-Skill Poisoning [34.60596020541521]
我々はBadSkillを紹介します。BadSkillは、モデル・イン・スキル脅威サーフェスをターゲットとするバックドア攻撃の定式化です。
BadSkillでは、敵が隠れペイロードをアクティベートするために、組み込まれたモデルがバックドアで調整された、一見良心的なスキルを公開している。
ベンチマークは8つのトリガータスクと5つの非トリガー制御スキルを含む13のスキルにまたがっており、主な評価セットは571の負のクラスクエリと396のトリガー整列クエリである。
BadSkillは8つのトリガースキルの平均攻撃成功率(ASR)を99.5%まで達成し、負のクラスのクエリに対して強い良識的な精度を維持している。
論文 参考訳（メタデータ） (2026-04-10T14:48:29Z) - Zombie Agents: Persistent Control of Self-Evolving LLM Agents via Self-Reinforcing Injections [57.64370755825839]
セルフ進化エージェントはセッション間で内部状態を更新する。
我々はこのリスクを調査し、Zombie Agentと呼ばれる永続的な攻撃を形式化する。
我々は,攻撃者が制御するWebコンテンツを通じて間接的露光のみを使用するブラックボックス攻撃フレームワークを提案する。
論文 参考訳（メタデータ） (2026-02-17T15:28:24Z) - SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。
フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。
本手法は,現実的な環境下で高い攻撃成功率を達成する。
論文 参考訳（メタデータ） (2026-02-15T16:09:48Z) - Malicious Agent Skills in the Wild: A Large-Scale Security Empirical Study [47.60135753021306]
サードパーティのエージェントスキルは、LLMベースのエージェントを拡張して、命令ファイルとユーザのマシン上で動作する実行可能なコードを生成する。
結果として生じる脅威を特徴づけるために、地中真実のデータセットは存在しない。
我々は,98,380のスキルを行動検証することで,悪質なエージェントスキルのラベル付きデータセットを構築した。
論文 参考訳（メタデータ） (2026-02-06T09:52:27Z) - AI Security Beyond Core Domains: Resume Screening as a Case Study of Adversarial Vulnerabilities in Specialized LLM Applications [71.27518152526686]
大きな言語モデル(LLM)はテキストの理解と生成に優れており、コードレビューやコンテンツモデレーションといった自動タスクに最適である。
LLMは履歴書やコードなどの入力データに隠された「逆命令」で操作でき、意図したタスクから逸脱する。
本稿では,特定の攻撃タイプに対して80%以上の攻撃成功率を示すとともに,この脆弱性を再開スクリーニングで評価するためのベンチマークを提案する。
論文 参考訳（メタデータ） (2025-12-23T08:42:09Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。