論文の概要: When Context Gets Root: Privilege Escalation in LLM Harnesses

• arxiv url: http://arxiv.org/abs/2608.27299v1
• Date: Thu, 27 Aug 2026 16:03:57 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-08-28 16:30:58.481616
• Title: When Context Gets Root: Privilege Escalation in LLM Harnesses
• Title（参考訳）: Contextがルートになった時: LLM HarnessesのPrvilegeエスカレーション
• Abstract要約: 命令特権のエスカレーションを導入します。 この攻撃では、攻撃者はエージェントに低レベルの悪意のあるコンテンツをより高い命令レベルに高めるよう誘導する。 我々は、ハーネスが提供する永続目標とスケジュールされたタスクを用いて脆弱性を再現する。
• 参考スコア（独自算出の注目度）: 7.36781437069666
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Instruction hierarchy is a model-side defense that assigns instructions different levels of privilege according to their sources. These levels constrain which content may direct model behavior. During agent execution, however, agent harnesses construct context for each model invocation. This construction can elevate low-level content to a higher instruction level and grant it greater model-facing privilege. We introduce instruction privilege escalation. In this attack, an attacker induces an agent to elevate low-level malicious content to a higher instruction level. The elevated content then causes the agent to execute instructions it would not follow at their original level. We evaluate this threat by using multi-agent mechanisms to achieve 13 attack objectives across six coding-agent harnesses. These objectives span confidentiality, integrity, availability, and remote code execution. With unrestricted action execution, the attacks achieve all 13 objectives on all six harnesses. Under automatic permission review, the attacks achieve all 13 objectives on all three harnesses that provide this mode. We further reproduce the vulnerability using harness-provided persistent goals and scheduled tasks. These results demonstrate the generality of instruction privilege escalation.
• Abstract（参考訳）: 命令階層はモデル側の防御であり、ソースに応じて異なるレベルの特権を割り当てる。 これらのレベルは、どのコンテンツがモデルの振る舞いを指示するかを制約します。 しかしエージェントの実行中に、エージェントはモデルの実行毎にコンストラクトコンテキストを利用する。 この構造は低レベルのコンテンツをより高い命令レベルに高め、より優れたモデル対応の特権を与えることができる。 命令特権のエスカレーションを導入します。 この攻撃では、攻撃者はエージェントに低レベルの悪意のあるコンテンツをより高い命令レベルに高めるよう誘導する。 高められた内容は、エージェントが元のレベルで従わない命令を実行させる。 6つの符号化エージェントハーネスにおける13の攻撃目標を達成するために,マルチエージェント機構を用いてこの脅威を評価する。 これらの目的は機密性、完全性、可用性、リモートコード実行にまたがる。 制限なしの行動実行では、攻撃は6つのハーネス全てで13の目標を達成する。 自動許可審査では、攻撃はこのモードを提供する3つのハーネス全てで13の目標を達成している。 我々はさらに、ハーネスが提供する永続目標とスケジュールされたタスクを用いて脆弱性を再現する。 これらの結果は、命令特権エスカレーションの一般性を示している。

関連論文リスト

• SIR: Self-improving Red-teaming for Compute Use Agents [71.71987044117371]
  コンピュータ・ユース・エージェント(CUA、Computer use agent)は、マウス、キーボード、端末を通じて画面を認識し、実際のオペレーティングシステムに作用する視覚言語モデルである。 操作中に信頼できないコンテンツに晒されるため、間接的プロンプトインジェクション(IPI)に弱い。 SIRは,平易な言語で記述された再利用原則の小さなライブラリからステルスインジェクションを構成するブラックボックスIPIアタックである。
  論文  参考訳（メタデータ） (2026-08-31T03:39:43Z)
• Reachability-Based Capability Confinement for LLM Agents under Indirect Prompt Injection [8.339789704552706]
  SkillGuardは、汚染を汚染として扱い、結果として生じる状態をデプロイが定義した禁止状態から切り離す機能を制限するハーネスレベルの執行層である。 我々は、Gmini 2.5 FlashとLlama3.3-70Bの4つのAgentDojoスイート上で、LLMのみのNo Defenseベースラインと異なるシステム層での3つのディフェンスに対してSkillGuardを評価した。
  論文  参考訳（メタデータ） (2026-08-30T20:57:47Z)
• HarnessRisk: A Lifecycle-Oriented Benchmark for Agent Harness Safety [45.163264704448125]
  エージェントの安全性を6つの運用フェーズにまとめるライフサイクル指向ベンチマークを提案する。 実用性, 攻撃成功率, 永続性, 検出性を用いて各軌道の評価を行った。 明示的なリスク認識は、90%以上の実行中のリスクを検出する構成であるため、安全行動に確実に結びつくものではないことが分かっています。
  論文  参考訳（メタデータ） (2026-08-18T10:03:58Z)
• ClayBuddy: A Framework, Evaluation, & Mitigation of Coding Agent Failures [1.0742675209112622]
  障害モードは、不特定性、能力エラー、エージェントハーネスエラーの3つのメカニズムから派生したものとして研究する。 我々はClayBuddyを提案する。ClayBuddyはユーザの好みを形作るハーネスで、モデルのインセッションで修正してこれらのエラーを軽減できる。
  論文  参考訳（メタデータ） (2026-06-13T18:29:53Z)
• AutoDojo: Adaptive Black-Box Attacks Reveal the Limits of IPI Defenses and Task-Specification Effects in LLM Agents [57.34566159148893]
  間接的プロンプトインジェクション(IPI)は、LLMを動力とするエージェントに対する主要なセキュリティ脅威である。 我々は、特定の防御に対してIPIを最適化するAgentDojoの適応的な拡張であるAutoDojoを開発した。
  論文  参考訳（メタデータ） (2026-06-13T02:09:08Z)
• LoopTrap: Termination Poisoning Attacks on LLM Agents [22.325071451367265]
  本研究では,悪質なプロンプトをエージェントの文脈に注入することで,エージェントの終了判断を歪めることができることを示す。 エージェントの行動傾向を利用して、ターゲット固有の悪意のあるプロンプトを合成する自動赤チームフレームワークであるLoopTrapを紹介する。
  論文  参考訳（メタデータ） (2026-05-07T08:21:51Z)
• AttriGuard: Defeating Indirect Prompt Injection in LLM Agents via Causal Attribution of Tool Invocations [38.49666480491258]
  LLMエージェントは間接プロンプト注入(IPI)に対して非常に脆弱である 本稿では,特定のツールコールが生成される理由を問うことでエージェントをセキュアにする,アクションレベルの因果属性という新しいパラダイムを提案する。 我々はこのパラダイムを、並列対実テストに基づくランタイムディフェンスであるAttriGuardでインスタンス化する。
  論文  参考訳（メタデータ） (2026-03-11T13:23:46Z)
• SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
  エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。 フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。 本手法は,現実的な環境下で高い攻撃成功率を達成する。
  論文  参考訳（メタデータ） (2026-02-15T16:09:48Z)
• Adversarial Reinforcement Learning for Large Language Model Agent Safety [20.704989548285372]
  大きな言語モデル(LLM)エージェントは、複雑なタスクを完了するためにGoogle Searchのようなツールを利用することができる。 現在の防衛戦略は、既知の攻撃のデータセットに精巧なLLMエージェントを頼っている。 対戦型強化学習(RL)を両プレイヤーゼロサムゲームとして定式化して活用する新しいフレームワークであるエージェント安全のための敵強化学習(ARLAS)を提案する。
  論文  参考訳（メタデータ） (2025-10-06T23:09:18Z)
• Poison Once, Control Anywhere: Clean-Text Visual Backdoors in VLM-based Mobile Agents [54.35629963816521]
  この研究は、VLMベースのモバイルエージェントをターゲットにした最初のクリーンテキストバックドアアタックであるVIBMAを紹介する。 この攻撃は、視覚的な入力だけを変更することによって、悪意ある振る舞いをモデルに注入する。 クリーンタスクの動作を保ちながら高い成功率を達成できることを示す。
  論文  参考訳（メタデータ） (2025-06-16T08:09:32Z)
• ShadowCode: Towards (Automatic) External Prompt Injection Attack against Code LLMs [56.46702494338318]
  本稿では,コード指向の大規模言語モデルに対する(自動)外部プロンプトインジェクションという,新たな攻撃パラダイムを紹介する。 コードシミュレーションに基づいて誘導摂動を自動生成する,シンプルで効果的な方法であるShadowCodeを提案する。 3つの人気のあるプログラミング言語にまたがる31の脅威ケースを発生させるため、13の異なる悪意のある目標に対して本手法を評価した。
  論文  参考訳（メタデータ） (2024-07-12T10:59:32Z)
• Evaluating the Instruction-Following Robustness of Large Language Models to Prompt Injection [70.28425745910711]
  LLM(Large Language Models)は、命令追従に非常に熟練した言語である。 この能力は、迅速なインジェクション攻撃のリスクをもたらす。 このような攻撃に対する命令追従LDMの堅牢性を評価する。
  論文  参考訳（メタデータ） (2023-08-17T06:21:50Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。