論文の概要: A Blind Trust, the Bloody Thrust: When Attacker-Controlled Hook Updates Steer AI Agent Harnesses towards Malicious Behaviors

• arxiv url: http://arxiv.org/abs/2609.03884v2
• Date: Tue, 08 Sep 2026 12:59:09 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-09 14:43:41.923928
• Title: A Blind Trust, the Bloody Thrust: When Attacker-Controlled Hook Updates Steer AI Agent Harnesses towards Malicious Behaviors
• Title（参考訳）: アタッカー・コントラストのHook、AIエージェントのHarnesssを悪質な行動にアップデート
• Abstract要約: 我々は、信頼を盲目的に活用するライフサイクルフック更新パスを、新たなアタックサーフェスとして特定する。 サプライチェーン脅威モデルの下では、アタッカーはプラグインメタデータとライフサイクルフック設定のみを制御する。 我々は、オープンソースの完全に自動化された攻撃フレームワークであるHookPryを提案する。
• 参考スコア（独自算出の注目度）: 14.34173991535331
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Modern AI agent harnesses expose lifecycle hooks that bind shell commands to runtime events such as session start, tool calls, and file edits. These commands run with host privileges yet ship as lifecycle-hook configuration and may fire at times the LLM never observes. We identify the lifecycle-hook update path, which harnesses trust blindly, as a new attack surface. Under a supply-chain threat model in which an attacker controls only plugin metadata and lifecycle-hook configuration, a benign versioned plugin can be trojanized by an update that silently binds attacker-chosen commands to benign events, yielding malicious host-side behavior such as privilege escalation. We propose HookPry, an open-source and fully automated attack framework that systematically exploits this vulnerability across heterogeneous AI agent harnesses. HookPry realizes ten attack objectives; across 25 combinations of harnesses and backends in 1,000 end-to-end runs, it compromises all seven evaluated harnesses, with per-harness success rates reaching 92.5%. Representative defenses remain insufficient: Microsoft Defender has 0% recall, and the union of three static defenses misses 47.5% of malicious artifacts.
• Abstract（参考訳）: 最新のAIエージェントは、セッションスタート、ツールコール、ファイル編集などの実行時イベントにシェルコマンドをバインドするライフサイクルフックを使用する。 これらのコマンドはホスト権限で実行されますが、ライフサイクルフックの設定として出荷されます。 我々は、信頼を盲目的に活用するライフサイクルフック更新パスを、新たなアタックサーフェスとして特定する。 アタッカーがプラグインメタデータとライフサイクルフック設定のみを制御するサプライチェーン脅威モデルの下では、アタッカーのコマンドをサイレントバインドしてイベントにバインドするアップデートによって、特権エスカレーションのような悪意のあるホスト側の振る舞いが生成される。 我々はHookPryを提案する。HookPryはオープンソースで完全に自動化された攻撃フレームワークで、異種AIエージェントハーネスにまたがってこの脆弱性を体系的に活用する。 HookPryは10の攻撃目標を実現しており、1,000のエンドツーエンド実行で25のハーネスとバックエンドの組み合わせで、評価された7つのハーネス全てを妥協し、ハーネス当たりの成功率は92.5%に達した。 Microsoft Defenderは0%のリコールを持ち、3つの静的ディフェンスの合併は47.5%の悪意あるアーティファクトを見逃している。

関連論文リスト

• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• From Prompt Injection to Persistent Control: Defending Agentic Harness Against Trojan Backdoors [89.92617739143846]
  ローカルエージェントハーネスにおけるマルチステップトロイの木馬攻撃を識別するベンチマークであるClawTrojanを紹介する。 そこで我々は,DASGuardを提案する。DASGuardは,コントロールライクなテキストをセンシティブなローカルファイルでスキャンし,その起源を辿り,信頼されたソースから派生しないコントロールコンテンツを除去する。 この結果から, DASGuardは, 実行時の攻撃ブロックと作業空間への衛生的コミットを組み合わせることで, 強力な動的防御を実現することがわかった。
  論文  参考訳（メタデータ） (2026-05-29T09:19:07Z)
• Plant, Persist, Trigger: Sleeper Attack on Large Language Model Agents [64.80318459073526]
  敵のコンテンツは、同一のエージェントによって提供される相互作用にまたがって持続できることを示し、そのような脅威を検知し緩和することを困難にしている。 具体的には、敵対的コンテンツはエージェント状態に留まり、相互作用をまたいだ休眠状態に留まり、その後、良心的なユーザクエリによって活性化される。 我々は、このタイプの安全脅威をスリーパー攻撃として形式化し、評価するために、現実世界の有害な結果6つ、攻撃戦略3つ、エージェント状態の目標3つをカバーする1,896件のベンチマークを構築した。
  論文  参考訳（メタデータ） (2026-05-27T09:25:37Z)
• ClawWorm: Self-Propagating Attacks Across LLM Agent Ecosystems [18.180880919825082]
  ClawWormは、プロダクションスケールのエージェントフレームワークに対する最初の自己複製ワーム攻撃である。 我々は、64.5%の総攻撃成功率、マルチホップ伝播の持続、およびモデルセキュリティ姿勢におけるスタークの相違を明らかにする。
  論文  参考訳（メタデータ） (2026-03-16T17:55:43Z)
• When "Correct" Is Not Safe: Can We Trust Functionally Correct Patches Generated by Code Agents? [32.85968956009615]
  コードエージェントは、GitHubなどのプラットフォーム上のバグを自律的に修正することをますます信頼している。 本稿では,実世界のコードエージェントに対する新たなタイプの脅威を明らかにする。 我々は、SOTA LLM(例えば、ChatGPTとClaude)とエージェントの足場(例えば、SWE-agentとOpenHands)がこのFCV脅威に対して脆弱であることを示す。
  論文  参考訳（メタデータ） (2025-10-15T17:16:36Z)
• Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
  自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。 敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
  論文  参考訳（メタデータ） (2025-10-03T12:47:21Z)
• Cuckoo Attack: Stealthy and Persistent Attacks Against AI-IDE [64.47951172662745]
  Cuckoo Attackは、悪意のあるペイロードを構成ファイルに埋め込むことで、ステルス性と永続的なコマンド実行を実現する新しい攻撃である。 攻撃パラダイムを初期感染と持続性という2つの段階に分類する。 当社は、ベンダーが製品のセキュリティを評価するために、実行可能な7つのチェックポイントを提供しています。
  論文  参考訳（メタデータ） (2025-09-19T04:10:52Z)
• Poison Once, Control Anywhere: Clean-Text Visual Backdoors in VLM-based Mobile Agents [54.35629963816521]
  この研究は、VLMベースのモバイルエージェントをターゲットにした最初のクリーンテキストバックドアアタックであるVIBMAを紹介する。 この攻撃は、視覚的な入力だけを変更することによって、悪意ある振る舞いをモデルに注入する。 クリーンタスクの動作を保ちながら高い成功率を達成できることを示す。
  論文  参考訳（メタデータ） (2025-06-16T08:09:32Z)
• LeapFrog: The Rowhammer Instruction Skip Attack [5.285478567449658]
  本稿では,LeapFrogガジェットと呼ばれる新しいタイプのRowhammerガジェットを提案する。 LeapFrogガジェットは、被害者コードがユーザまたはカーネルスタックにプログラムカウンタ(PC)値を保存するときに現れる。 本研究はLeapFrogガジェットを同定する体系的なプロセスも提示する。
  論文  参考訳（メタデータ） (2024-04-11T16:10:16Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。