論文の概要: Structurally Close, Temporally Distant: Measuring Security Exposure in Long-Horizon LLM Agents

• arxiv url: http://arxiv.org/abs/2609.05911v1
• Date: Sat, 05 Sep 2026 06:09:06 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-10 19:44:08.167038
• Title: Structurally Close, Temporally Distant: Measuring Security Exposure in Long-Horizon LLM Agents
• Title（参考訳）: 構造的閉じた時間的距離:長軸LLM剤のセキュリティ露光の測定
• Abstract要約: 時間的リモートネスは、ステートフルエージェントのセキュリティ分離をオーバーステートできることを示す。 本稿では,決定論的状態,識別子,ツールを通じてエージェントイベントをリンクする証明型実行グラフを提案する。 実行構造は、ステップカウントによって隠された近接を示し、ターゲットの介入をサポートすることができる。
• 参考スコア（独自算出の注目度）: 1.1659383493623567
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Long-horizon LLM agents interact with untrusted content, persistent memory, external state, and sensitive tools. Existing analyses often characterize attacks by the number of execution steps between malicious input and a downstream action. We show that temporal remoteness can overstate security separation in stateful agents. We introduce a provenance-aware execution graph linking agent events through deterministic state, identifier, and tool provenance, and define \emph{influence distance} $\DI$ as the shortest structural path from an untrusted source to a sensitive action. We compare it with \emph{sequence distance} $\DT$, the shortest injection--sink path in the ordered trajectory. Since the influence graph contains every sequence edge, $\DI \leq \DT$; $\Gap=\DT-\DI$ measures the separation hidden by step count. Across 454 injection--sink pairs from 360 long-horizon AgentDojo trajectories over OpenAI's \texttt{gpt-4o-mini} and \texttt{gpt-4o} and Claude's Haiku 4.5 and Sonnet 4.6, $\Gap>0$ for 96.9% of pairs, with a median gap of 9 hops; 91.0% remain decoupled after removing the largest provenance-only edge class. On AgentDojo's banking suite, 33.8% of 231 pairs from 377 trajectories decouple through different provenance mechanisms. Among 274 OpenAI pairs, $\Gap$ does not independently predict attack success after controlling for $\DT$, attack family, and backend ($β_{\Gap}=0.066$, $p=.088$). At matched thresholds $k=2,3$, a deterministic $\DI$-based pre-execution gate blocks five attack sinks missed by a sequence-only gate with no additional benign blocking, although the paired gain is not significant ($p=.0625$). Execution structure therefore reveals proximity hidden by step count and can support targeted runtime intervention. We measure candidate influence pathways rather than causal attribution.
• Abstract（参考訳）: ロングホライゾンLSMエージェントは、信頼できないコンテンツ、永続メモリ、外部状態、センシティブなツールと相互作用する。 既存の分析では、悪意のある入力とダウンストリームアクションの間の実行ステップの数によって攻撃を特徴づけることが多い。 時間的リモートネスは、ステートフルエージェントのセキュリティ分離をオーバーステートできることを示す。 本稿では,エージェントイベントを決定論的状態,識別子,ツール証明を通じてリンクする証明対応実行グラフを導入し,信頼できないソースからセンシティブなアクションへの最も短い構造パスとして \emph{influence distance} $\DI$ を定義する。 順序付けられた軌道における最も短いインジェクション-シンクパスである \emph{sequence distance} $\DT$ と比較する。 影響グラフにはすべてのシーケンスエッジが含まれているので、$\DI \leq \DT$; $\Gap=\DT-\DI$はステップカウントによって隠された分離を測定する。 OpenAIの \texttt{gpt-4o-mini} と \texttt{gpt-4o} と Claude's Haiku 4.5 and Sonnet 4.6, $\Gap>0$ for 96.9% of pairs, with a central gap of 9 hops; 91.0% remained decoupled。 AgentDojoの銀行スイートでは、377のトラジェクトリから231ペアのうち33.8%が、異なる証明機構を通じて分離されている。 274のOpenAIペアの中で、$\Gap$は、$\DT$、 attack family、およびバックエンド(β_{\Gap}=0.066$、$p=.088$)をコントロールした後で、独立して攻撃成功を予測するものではない。 一致したしきい値$k=2,3$で、決定論的$\DI$ベースの事前実行ゲートブロックは、追加の良性ブロッキングなしでシーケンスのみのゲートで見逃された5つの攻撃シンクをブロックするが、ペアのゲインは重要ではない(p=.0625$)。 したがって実行構造は、ステップカウントによって隠された近接性を明らかにし、ターゲットのランタイム介入をサポートすることができる。 我々は因果帰属ではなく、影響の候補経路を測定する。

関連論文リスト

• Facts Without Rules: Boundary Metadata Collapse in Multi-Agent LLM Handoffs [13.92589238677081]
  要約では,操作上の事実を優先的に保存しつつ,それらの事実の使い方を規定する境界メタデータを弱めていることを示す。 GPT-5-miniとDeepSeek-R1-32Bの双方のハンドオフレベルでは、境界標識と運用結果の生存はほぼ無関係である。
  論文  参考訳（メタデータ） (2026-08-29T03:38:35Z)
• Directional Contextual Representations for Dependency Relations: Why Cross-Direction Pairing Fails [22.49571926071395]
  トークンの前方状態とエンファンシデントの後方状態(クロス・ディレクションのペアリング,$F_i$ vs. $B_j$)とのペアリングが一貫して同一方向ペアリングを行い,ペナルティ・アンファングロウは縮小せず,トークン距離が有意であることを示す。
  論文  参考訳（メタデータ） (2026-08-21T00:50:25Z)
• Long-Horizon State Tracking in LLMs: Executing MD5 through a Deep Sequence of Dependent Tool Calls [0.5097809301149342]
  ロングホライゾンタスクは、大きな言語モデル(LLM)評価では珍しくない。 LLMが多数のツールコールにまたがって、正確な中間状態を持てるかどうかをテストする。 モデル自身の推論をそれぞれの順番でコンテキストに保ち、思考可能な労働者に投票してモジュラー・アセスメティックス・スリップを除去する、という2つの要素が成功を決定づける。
  論文  参考訳（メタデータ） (2026-08-02T09:38:02Z)
• Safety, or Just Capability? A Validity Audit of Agent-Safety Benchmarks [10.839956062772792]
  3つのエージェントセーフティベンチマークは同じ18モデルのランクが異なる。 AgentHarmの安全性に対するR-Judgeの特異性は、$-0.64$ at $n=7$と$+0.02$ at $n=18$と相関しており、ランダムサイズ7サブセットの4分の1は、そのほぼゼロの値の周りで$|| geq 0.5$に達する。 AgentHarmは、最強のホールトアウト・アソシエーションである$=+0.72$で、制御能力の後に3段階のジェイルブレイクの安全性を示す。
  論文  参考訳（メタデータ） (2026-07-30T03:45:10Z)
• Which Defense Closes Which Threat? Attributing OWASP-LLM-Top-10 Coverage and Its Brittleness Under Paraphrasing [51.56484100374058]
  プロダクションLLMアプリケーションは、いくつかの防衛ファミリを積み重ねる -- 拒絶フレーズフィルタ、トークンバッジコントロール、モデル許容度リスト、レート制限、ツール登録認証 -- が、BASベンチマークでは、単一の集計カバレッジ番号を報告している。 21エージェントベースラインスキャナに4つのLLM-Top-10対応エージェントを追加し、4つの合成LDMエンドポイントの格子をターゲットとした。
  論文  参考訳（メタデータ） (2026-06-01T19:39:25Z)
• Block-Wise Differentiable Sinkhorn Attention: Tail-Refinement Gradients with a Gap-Aware Dustbin Bridge [0.0]
  本稿では,TPUハードウェア上での長期的コンテキストバランスによる最適輸送注意度を,停止ベース,固定深部テールリファインメントサロゲートを用いて検討する。 本稿では, 局所的代理バイアスバウンド, 後部バイアス証明書, および, 厳密な正の能動ブロックに対する射影収縮証明書を提供する。 合成マスク問題では、最適化された置換基の正確なオートディフは10〜5ドル-10〜10ドルである。
  論文  参考訳（メタデータ） (2026-04-28T19:01:11Z)
• Online Learning in MDPs with Partially Adversarial Transitions and Losses [42.59565593884281]
  遷移関数がほとんどのステップであるが,1エピソードあたり$$$の固定サブセットで逆向きに振る舞うことができるMDPの強化学習について検討した。 両エピソードの相違が相変わらず安定なエンプレクショナル・コンディショニング・コンディショナー(Emphconditioned occupancy measures)を導入する。 我々は,全情報フィードバックと盗賊フィードバックの両面から,敵対的MDPの反抗的設定(=H-1$)の後悔を特徴づける。
  論文  参考訳（メタデータ） (2026-02-10T07:13:11Z)
• SABER: Small Actions, Big Errors -- Safeguarding Mutating Steps in LLM Agents [52.20768003832476]
  我々は$$-Bench (Airline/Retail) および SWE-Bench Verified 上での実行トレースを分析する。 成功を失敗に戻すための、先進的な逸脱、最初期の行動、レベル分岐を形式化する。 モデルに依存しない,勾配のない,テスト時のセーフガードである cm を導入します。
  論文  参考訳（メタデータ） (2025-11-26T01:28:22Z)
• Reinforcement Learning from Adversarial Preferences in Tabular MDPs [62.73758165845971]
  我々は,敵対的嗜好を持つエピソードマルコフ決定プロセス(MDP)の新たな枠組みを導入する。 PbMDP では、標準的なエピソード MDP とは異なり、学習者は2つの候補アーム間の好みを観察する。 我々は、既知遷移の下で、T2/3$という残差境界を達成するアルゴリズムを開発する。
  論文  参考訳（メタデータ） (2025-07-15T20:19:32Z)
• Near-Optimal Regret Bounds for Multi-batch Reinforcement Learning [54.806166861456035]
  本研究では,有限水平マルコフ決定過程(MDP)によってモデル化されたエピソディック強化学習(RL)問題をバッチ数に制約を加えて検討する。 我々は,$tildeO(sqrtSAH3Kln (1/delta))$tildeO(cdot)をほぼ最適に後悔するアルゴリズムを設計し,$(S,A,H,K)$の対数項を$K$で隠蔽する。 技術的貢献は2つある: 1) 探索のためのほぼ最適設計スキーム
  論文  参考訳（メタデータ） (2022-10-15T09:22:22Z)
• Horizon-Free Reinforcement Learning in Polynomial Time: the Power of Stationary Policies [88.75843804630772]
  我々は既存の境界に対して,$Oleft(mathrmpoly(S,A,log K)sqrtKright)を後悔するアルゴリズムを設計する。 この結果は、定常政策の近似力、安定性、および濃度特性を確立する新しい構造補題の列に依存している。
  論文  参考訳（メタデータ） (2022-03-24T08:14:12Z)
• Nearly Horizon-Free Offline Reinforcement Learning [97.36751930393245]
  S$状態、$A$アクション、計画的地平$H$で、エピソードな時間同質なMarkov決定プロセスに関するオフライン強化学習を再考する。 経験的MDPを用いた評価と計画のための,約$H$自由なサンプル複雑性境界の最初の集合を得る。
  論文  参考訳（メタデータ） (2021-03-25T18:52:17Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。