論文の概要: ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection
- arxiv url: http://arxiv.org/abs/2608.27496v1
- Date: Thu, 27 Aug 2026 01:22:14 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-08-31 17:16:04.082604
- Title: ROPE: Routed Origin Policy Enforcement against Indirect Prompt Injection
- Title（参考訳）: ROPE:間接的プロンプト注入に対するルートドオリジン政策強化
- Abstract要約: 本稿では,信頼という構造概念に根ざしたROPE(Routed Origin Policy Enforcement)について述べる。
提案手法では,(1)軌道の各段階において,攻撃可能コンテンツのみを起点とする値が,原点保護パラメータに到達しない,(2)注入のリワードがない,という2つの保証が認められている。
- 参考スコア（独自算出の注目度）: 61.4148196085256
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Indirect prompt injection (IPI) plants instructions in the content a tool-using LLM agent reads, steering the agent into harmful tool calls. The strongest defenses are system-level, leveraging techniques such as task-conditional tool screening to prevent execution of malicious tools, and information-flow control to avoid tool execution with untrusted parameters. However, as agents grow more capable, users delegate more to automation. Consequently, tool execution sequences and parameter values are increasingly determined at runtime and cannot be reliably screened from solely user's query without significant utility loss. We present ROPE (Routed Origin Policy Enforcement), which is anchored in a structural notion of trust: a value may reach a state-changing tool only if it traces unforgeably to the user, a source the user explicitly named, or the user's own authoritative records. Enforcement is then a deterministic origin check over an audited set of sensitive tool parameters, and the only reliance on a language model involves solely the trusted user request, out of the attacker's reach. Our approach admits two provable guarantees: 1) at every step of a trajectory, no value whose only origin is attacker-writable content reaches an origin-guarded parameter, and 2) no rewording of an injection changes an admission decision. We evaluate across four agent models on open-ended agent suites, ROPE holds attack success rate to 1.6--2.6\% while retaining 82--100\% of undefended clean utility, significantly exceeding state-of-the-art system-level defenses in utility while attaining comparable or better security. Further, we show that optimizing the injection against ROPE is largely ineffective, while long-horizon attacks that defeat prior system-level defenses achieve zero success rate. Our code and logs are available at https://github.com/xhOwenMa/ROPE .
- Abstract（参考訳）: 間接的プロンプトインジェクション(IPI)は、ツールを使用するLLMエージェントが読み込む内容に命令を配置し、エージェントを有害なツールコールに誘導する。
最強の防御策はシステムレベルであり、悪意のあるツールの実行を防ぐためのタスク条件ツールスクリーニングや、信頼できないパラメータによるツール実行を避けるための情報フロー制御といったテクニックを活用する。
しかし、エージェントの能力が向上するにつれて、ユーザーは自動化により多くの権限を委譲する。
その結果、ツールの実行シーケンスとパラメータ値は、実行時にますます決定され、有効性を失うことなく、単にユーザのクエリから確実にスクリーニングすることはできない。
本稿では, ROPE (Routed Origin Policy Enforcement) について, 信頼という構造的概念で固定されている: ユーザが明示的に命名したソース, あるいはユーザ自身の権威記録に対して, ユーザに対して不正に追跡された場合にのみ, 値が状態変化ツールに到達できる。
実行は、監査された機密ツールパラメータのセットに対する決定論的原点チェックであり、言語モデルへの唯一の依存は、攻撃者の手の届かない信頼されたユーザリクエストのみである。
私たちのアプローチは2つの証明可能な保証を認めます。
1) 軌道の各ステップにおいて、攻撃可能コンテンツのみを起点とする値が原点保護パラメータに到達しない。
2 注射の言い換えは、受諾決定を変更しない。
オープンエンドエージェントスイートの4つのエージェントモデルにおいて,ROPEは攻撃成功率を1.6～2.6\%に抑えながら,82～100\%の無防備なクリーンユーティリティを保持し,実用性における最先端のシステムレベルの防御を著しく上回り,同等ないし優れたセキュリティを実現している。
さらに,ROPEに対する注入の最適化は,従来のシステムレベル防衛を倒す長期水平攻撃が成功率をゼロにする一方で,ほとんど効果がないことを示す。
私たちのコードとログはhttps://github.com/xhOwenMa/ROPE で公開されています。
関連論文リスト
- ActGuard: Pre-execution Action Auditing against Indirect Prompt Injection in LLM Agents [11.495797074855703]
本稿では,事前実行動作監査フレームワークであるActGuardを提案する。
外部コンテンツが本質的に疑わしいかどうかを判断する代わりに、ActGuardは現在のアクションが合理的な期待から逸脱するかどうかを評価する。
検証者はその後、局所化された証拠を調べ、マスクは悪意のあるものとのみ確認され、衛生化された文脈からアクションを再生する。
論文 参考訳（メタデータ） (2026-09-14T03:47:05Z) - WebMCP-Phalanx: Enforcing and Characterizing Trust Boundaries for Browser-Integrated LLM Agents [1.8734449181723825]
W3C WebMCPの提案により、LLMエージェントはWebページが公開するツールを呼び出すことができる。
マルチパーティのWeb環境では、エージェントの実行をブラウザのセキュリティモデルに統合することは、エージェントアクセス可能なツールに対する十分な実績とライフサイクル保証を残している。
本稿では,2層エージェントランタイムアーキテクチャであるWebMCP-Phalanxを提案する。
論文 参考訳（メタデータ） (2026-08-25T03:16:45Z) - Think Twice Before You Act: Protecting LLM Agents Against Tool Description Poisoning via Isolated Planning [48.99783163807576]
クロスツール記述中毒は、エージェントの軌道を操縦するためにプランナー可視のツールメタデータを操作することができる。
重要な観察は、有毒な記述がステップを越えた計画コンテキストに留まり、その後のツール選択に対する継続的な影響を可能にすることである。
我々は,孤立計画と呼ばれる新しい概念に基づく新しいシステムレベルの防衛ツールであるTool-Guardを提案する。
論文 参考訳（メタデータ） (2026-06-18T20:31:08Z) - ClawGuard: A Runtime Security Framework for Tool-Augmented LLM Agents Against Indirect Prompt Injection [8.627671856044527]
textscClawGuardは、すべてのツール呼び出し境界に設定されたユーザ確認ルールを強制する。
textscClawGuardは、モデル修正やインフラストラクチャの変更なしに、3つのインジェクションパスをすべてブロックする。
この研究は、安全なエージェントAIシステムのための効果的な防御メカニズムとして、決定論的ツールコール境界強制を確立する。
論文 参考訳（メタデータ） (2026-04-13T17:55:11Z) - PlanGuard: Defending Agents against Indirect Prompt Injection via Planning-based Consistency Verification [1.7904458681854372]
PlanGuardは、コンテキスト分離の原則に基づいた、トレーニング不要の防御フレームワークである。
PlanGuardは攻撃を効果的に中和し、アタック成功率(ASR)を72.8%から0%に下げる。
論文 参考訳（メタデータ） (2026-04-11T09:59:46Z) - AgentSentry: Mitigating Indirect Prompt Injection in LLM Agents via Temporal Causal Diagnostics and Context Purification [25.817251923574286]
大規模言語モデル(LLM)エージェントのための新しい推論時間検出・緩和フレームワークを提案する。
AgentSentryは、時間的因果的テイクオーバーとしてマルチターンIPIをモデル化する最初の推論時防御である。
我々は, textscAgentDojo ベンチマークにおいて, 4つのタスクスイート, 3つの IPI 攻撃ファミリー, 複数のブラックボックス LLM に対する AgentSentry の評価を行った。
論文 参考訳（メタデータ） (2026-02-26T07:59:10Z) - SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。
フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。
本手法は,現実的な環境下で高い攻撃成功率を達成する。
論文 参考訳（メタデータ） (2026-02-15T16:09:48Z) - CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution [49.689452243966315]
ツールコール機能を備えたAIエージェントは、IPI(Indirect Prompt Injection)攻撃の影響を受けやすい。
本稿では,選択防衛フレームワークCausalArmorを提案する。
AgentDojoとDoomArenaの実験は、CausalArmorが攻撃的な防御のセキュリティと一致することを示した。
論文 参考訳（メタデータ） (2026-02-08T11:34:08Z) - ReasAlign: Reasoning Enhanced Safety Alignment against Prompt Injection Attack [52.17935054046577]
本稿では、間接的インジェクション攻撃に対する安全性アライメントを改善するためのモデルレベルのソリューションであるReasAlignを提案する。
ReasAlignには、ユーザクエリの分析、競合する命令の検出、ユーザの意図したタスクの継続性を維持するための構造化された推論ステップが組み込まれている。
論文 参考訳（メタデータ） (2026-01-15T08:23:38Z) - IPIGuard: A Novel Tool Dependency Graph-Based Defense Against Indirect Prompt Injection in LLM Agents [33.775221377823925]
大規模言語モデル(LLM)エージェントは現実世界のアプリケーションに広くデプロイされており、複雑なタスクのために外部データを検索し操作するためのツールを活用している。
信頼できないデータソースと対話する場合、ツールレスポンスには、エージェントの動作に秘密裏に影響を与え、悪意のある結果をもたらすインジェクションが含まれている可能性がある。
我々はIPIGuardと呼ばれる新しい防御タスク実行パラダイムを提案し、ソースにおける悪意あるツール呼び出しを防止する。
論文 参考訳（メタデータ） (2025-08-21T07:08:16Z) - DRIFT: Dynamic Rule-Based Defense with Injection Isolation for Securing LLM Agents [52.92354372596197]
大規模言語モデル(LLM)は、強力な推論と計画能力のため、エージェントシステムの中心となってきています。
この相互作用は、外部ソースからの悪意のある入力がエージェントの振る舞いを誤解させる可能性がある、インジェクション攻撃のリスクも引き起こす。
本稿では,信頼に値するエージェントシステムのための動的ルールベースの分離フレームワークを提案する。
論文 参考訳（メタデータ） (2025-06-13T05:01:09Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。