論文の概要: SkillShield: Prompt-Space Security Skills for LLM Coding Agents
- arxiv url: http://arxiv.org/abs/2608.25817v1
- Date: Wed, 26 Aug 2026 14:00:11 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-27 14:15:15.851547
- Title: SkillShield: Prompt-Space Security Skills for LLM Coding Agents
- Title（参考訳）: SkillShield: LLMコーディングエージェントのプロンプトスペースセキュリティスキル
- Abstract要約: SkillShieldは、既知の攻撃や記録されたエージェント障害からオフラインでセキュリティスキルを合成するシステムプロンプトディフェンスである。
実行中にモデルが従うべきセキュリティポリシーを定義することで、システムを保護する。
RedCode上の6つの大きな言語モデルの中で、デフォルトのオールクラスのスキルは、マルウェア生成の重症度を3.37から0.58に減らし、43.6%の実行攻撃の成功率を達成した。
- 参考スコア（独自算出の注目度）: 20.042094810707166
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: A coding agent edits files and executes shell commands with its developer's privileges, allowing malicious requests to translate directly into harmful actions or functional malware. Existing defenses have complementary limitations: weight-level alignment is unavailable to API-only deployers, whereas input filters and execution-boundary monitors require auxiliary classification or checking components along the agent's trajectory. We therefore introduce SkillShield, a system-prompt defense that synthesizes security skills offline from known attacks or recorded agent failures. These skills are injected into the system prompt at session start and remain active throughout the tool-use loop. Unlike a reference monitor, they protect the system by defining the security policies the model should follow during execution. Due to the limited system-prompt space, we examine three fixed-budget provisioning scopes: all-classes, with one skill covering all threat classes, per-bundle, with one skill targeting a related subset, and per-class, with one skill dedicated to a single known class and used as the upper-bound reference. None requires runtime request classification or routing. Across six large language models on RedCode, the default all-classes skill reduces malware-generation severity from 3.37 to 0.58 and achieves a 43.6% execution attack success rate, comparable to Llama Guard 3's 42.7% without its separate 8B classifier. The per-bundle and class-fixed per-class settings further reduce this rate to 36.2% and 14.5%, respectively. Under two non-adaptive jailbreak families, SkillShield continues to outperform all baselines on malware generation. Across 731 benign task descriptions, SkillShield yields a mean safety-refusal rate of 0.14%. These results demonstrate the potential of prompt-space security skills to prevent harmful actions and malware generation for LLM coding agents.
- Abstract（参考訳）: コーディングエージェントはファイルを編集し、開発者の特権でシェルコマンドを実行し、悪意のある要求を直接有害なアクションや機能的マルウェアに変換する。
重量レベルのアライメントはAPIのみのデプロイでは利用できないが、入力フィルタと実行バウンダリモニタはエージェントの軌道に沿ったコンポーネントの補助的な分類やチェックを必要とする。
そこで私たちは,既知の攻撃や記録されたエージェント障害から,セキュリティスキルをオフラインで合成するシステムプロンプトディフェンスであるSkillShieldを紹介した。
これらのスキルは、セッション開始時にシステムプロンプトに注入され、ツール使用ループを通してアクティブに保たれます。
参照モニタとは異なり、実行中にモデルが従うべきセキュリティポリシーを定義することで、システムを保護する。
システム・プロンプト・スペースが限られているため,全クラス,すべての脅威クラスをカバーする1つのスキルを持つ1つのスキル,関連するサブセットを対象とする1つのスキルを持つ1つのスキルを持つ1つの既知のクラスに専用の1つのスキルを持ち,上行参照として使用される3つの固定予算・プロビジョニング範囲について検討する。
ランタイム要求の分類やルーティングは不要だ。
RedCode上の6つの大きな言語モデルの中で、デフォルトのオールクラススキルはマルウェア発生の重大度を3.37から0.58に減らし、ランマガード3の42.7%に匹敵する43.6%の実行攻撃の成功率を達成した。
バンドル単位とクラス単位の設定により、それぞれ36.2%と14.5%に減少する。
2つの非適応的ジェイルブレイクファミリーの下では、SkillShieldはマルウェア生成のベースラインをすべて上回っている。
731以上のタスク記述では、SkillShieldの平均安全性-拒絶率は0.14%である。
これらの結果から,LSM符号化エージェントの有害行為やマルウェアの発生を防止するために,早期のセキュリティスキルの可能性が示された。
関連論文リスト
- Reachability-Based Capability Confinement for LLM Agents under Indirect Prompt Injection [8.339789704552706]
SkillGuardは、汚染を汚染として扱い、結果として生じる状態をデプロイが定義した禁止状態から切り離す機能を制限するハーネスレベルの執行層である。
我々は、Gmini 2.5 FlashとLlama3.3-70Bの4つのAgentDojoスイート上で、LLMのみのNo Defenseベースラインと異なるシステム層での3つのディフェンスに対してSkillGuardを評価した。
論文 参考訳（メタデータ） (2026-08-30T20:57:47Z) - StepGuard: Learning Step-Level Guardrails with Scalable Supervision and Safety-Utility Balancing [80.39644823192113]
StepGuardは、完了したエージェントの軌跡を監査し、実行前にツールアクションをチェックするステップレベルのガードモデルである。
StepGuardは、GPT-5.4に匹敵するパフォーマンスで、オープンウェイトガードモデルの中で最高の平均精度を達成した。
AgentDojoとAgentDynのエージェントを保護するために使用される場合、StepGuardは平均攻撃成功率を77.3%削減する。
論文 参考訳（メタデータ） (2026-08-25T16:17:27Z) - Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。
我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。
我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
論文 参考訳（メタデータ） (2026-06-29T18:00:45Z) - SkillVetBench: LLM-as-Judge for Multi-Dimensional Security Risk Evaluation in Open-Source LLM Agent Skills [0.0]
我々は、LLM-as-Judgeを使ってエージェントスキルを拒否するHugging Faceのライブ公開リーダーボードであるSKILLVETBENCHを紹介する。
SSARS(スキルエージェントリスクスコア、Skill Agentic Risk Score)は、5次元のエージェントリスク計量であり、命令追従システムに対する原則付き重み付け式である。
論文 参考訳（メタデータ） (2026-06-14T16:30:33Z) - SkillMutator: Benchmarking and Defending Language-and-Code Cross-modal Attacks on LLM Agent Skills [7.465256215885481]
大きな言語モデル(LLM)エージェントは、エージェントスキルをロードすることで、実行時にその機能を拡張する。
スキルの振る舞いは自然言語命令と実行可能コードの両方に依存しているため、その安全性を評価するにはクロスモーダル推論が必要である。
我々は、Agent Skillsに対する言語とコードのクロスモーダル攻撃をインストール時に検出する最初のベンチマークであるSkillMutatorを紹介した。
論文 参考訳（メタデータ） (2026-06-12T06:27:12Z) - SkillHarm: Lifecycle-Aware Skill-Based Attacks via Automated Construction [89.03272793385054]
エージェントスキルはエージェントワークフローにおける特権的な位置を占め、サードパーティスキルを脆弱な攻撃面にする。
我々はスキルベースアタックのベンチマークであるSkillHarmを紹介した。
攻撃成功率はFPPが86.3%、SMPが69.3%である。
論文 参考訳（メタデータ） (2026-06-01T17:45:39Z) - Supply-Chain Poisoning Attacks Against LLM Coding Agent Skill Ecosystems [35.65937852381774]
Document-Driven Implicit Payload Execution (DDIPE)は、コード例や設定テンプレートに悪意のあるロジックを埋め込む。
我々は15のMITRE ATTACKカテゴリで81種から1,070の対逆スキルを生成した。
DDIPEは11.6%から33.5%のバイパス率を獲得し、明示的な命令攻撃は強い防御下で0%を達成する。
論文 参考訳（メタデータ） (2026-04-03T14:58:58Z) - Internal Safety Collapse in Frontier Large Language Models [65.00730294617382]
この研究は、フロンティア大言語モデル(LLM)における重要な障害モードを特定する。
特定のタスク条件下では、モデルは有害なコンテンツを連続的に生成し、そうでなければ良質なタスクを実行する状態に入る。
有害なコンテンツを生成することが唯一有効な完了であるドメインタスクを通じてISCをトリガーするフレームワークであるTVDを紹介する。
論文 参考訳（メタデータ） (2026-03-04T12:55:34Z) - Skill-Inject: Measuring Agent Vulnerability to Skill File Attacks [27.120130204872325]
SkillInjectは、広く使われているLLMエージェントの、スキルファイルによるインジェクションに対する感受性を評価するベンチマークである。
SkillInjectには、明らかに悪意のあるインジェクションから、その他の正当な命令に隠された微妙なコンテキスト依存的なアタックまで、202のインジェクションタスクペアが含まれている。
以上の結果から,今日のエージェントは,フロンティアモデルによる攻撃成功率の最大80%に対して,非常に脆弱であることが示唆された。
論文 参考訳（メタデータ） (2026-02-23T18:59:27Z) - AI Security Beyond Core Domains: Resume Screening as a Case Study of Adversarial Vulnerabilities in Specialized LLM Applications [71.27518152526686]
大きな言語モデル(LLM)はテキストの理解と生成に優れており、コードレビューやコンテンツモデレーションといった自動タスクに最適である。
LLMは履歴書やコードなどの入力データに隠された「逆命令」で操作でき、意図したタスクから逸脱する。
本稿では,特定の攻撃タイプに対して80%以上の攻撃成功率を示すとともに,この脆弱性を再開スクリーニングで評価するためのベンチマークを提案する。
論文 参考訳（メタデータ） (2025-12-23T08:42:09Z) - AgentHarm: A Benchmark for Measuring Harmfulness of LLM Agents [84.96249955105777]
LLMエージェントは誤用された場合、より大きなリスクを引き起こすが、その堅牢性は未発見のままである。
我々は, LLMエージェント誤用の研究を容易にするために, AgentHarmと呼ばれる新しいベンチマークを提案する。
主要なLLMは、ジェイルブレイクなしで悪意のあるエージェント要求に驚くほど準拠している。
論文 参考訳（メタデータ） (2024-10-11T17:39:22Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。