論文の概要: Signing the Transaction but Not the Decision: Whisper Attacks and a Binding Defense for AP2
- arxiv url: http://arxiv.org/abs/2609.11757v1
- Date: Thu, 10 Sep 2026 16:11:58 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-09-11 23:53:35.442619
- Title: Signing the Transaction but Not the Decision: Whisper Attacks and a Binding Defense for AP2
- Title（参考訳）: トランザクションに署名するが決定はしない - ウィスパー攻撃とAP2のバインドディフェンス
- Abstract要約: 脆弱性は3つの関連する攻撃を可能にする。
AP2のサンプルエージェントがデフォルトで指定したGemini Flash-Liteモデルを用いた実験では、3つの攻撃は90%、56%、73.3%の速度で成功した。
A-VIPは,署名された意図を商人の説明を判断するよりも,能力付与として扱うプロトコル層ディフェンスである。
- 参考スコア（独自算出の注目度）: 3.398964351541323
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Software agents are beginning to shop and pay on a person's behalf. Agent payment protocols such as AP2 produce cryptographically valid signatures for completed purchases, yet do not constrain the decisions that lead to them. Consequently, ordinary product-description text can steer a shopping agent into forming a cart that passes every protocol check but no longer matches the user's request. In this paper, we show that this vulnerability enables three related attacks. In the first attack, the agent is steered into fetching another user's payment credentials. In the second, it assembles a cryptographically valid cart whose contents do not match what the user was shown. In the third, a single factual claim about stock or product lineage moves the agent from the cheaper displayed item to a more expensive one, while the resulting cart remains fully consistent with the listing. In experiments using the Gemini Flash-Lite models that AP2's sample agents specify by default, the three attacks succeeded at rates of 90%, 56%, and 73.3%, respectively. The same vulnerability appears across seventeen Google models, three unrelated agent frameworks, two cross-vendor anchors, and Google's own consumer assistant. To address this attack vector, we introduce A-VIP (AP2 Verified-Intent Protection), a protocol-layer defense that treats the signed intent as a capability grant rather than judging the merchant's description. The defense binds every credential lookup to the session that requested it and every cart line to the listing seen, while flagging unauthorized spending. The first two attacks leave structural traces that these bindings block with zero false positives. The third attack leaves no trace, so A-VIP surfaces unauthorized spending for user confirmation. Finally, we release the A-VIP code, machine-checked invariants, and AP2-WhisperBench, a suite of 1,544 evaluation scenarios.
- Abstract（参考訳）: ソフトウェアエージェントは、人の代理として買い物と支払いを始めています。
AP2のようなエージェント支払いプロトコルは、完了した購入に対して暗号的に有効な署名を生成するが、それにつながる決定には制約がない。
結果として、通常の製品記述テキストは、ショッピングエージェントを操り、すべてのプロトコルチェックをパスするが、ユーザの要求に合わないカートを形成することができる。
本稿では,この脆弱性が3つの関連する攻撃を可能にすることを示す。
最初の攻撃では、エージェントは別のユーザの支払い証明書を取得する。
第二に、ユーザが表示したものと一致しない内容の暗号的に有効なカートを組み立てる。
第3に、在庫または製品ラインに関する単一の事実的主張は、エージェントをより安価な表示アイテムからより高価なものに移し、その結果のカートはリストと完全に一致している。
AP2のサンプルエージェントがデフォルトで指定したGemini Flash-Liteモデルを用いた実験では、3つの攻撃はそれぞれ90%、56%、73.3%で成功した。
この脆弱性は17のGoogleモデル、無関係なエージェントフレームワーク3つ、クロスベンダアンカー2つ、Google自身のコンシューマアシスタントにまたがっている。
この攻撃ベクトルに対処するため,A-VIP (AP2 Verified-Intent Protection) を導入する。
弁護側は、要求したセッションと、表示されたリストに全てのカートラインを結び付け、不正な支出を警告する。
最初の2つの攻撃は、これらの結合がゼロの偽陽性でブロックされる構造的痕跡を残している。
第3の攻撃は痕跡を残しないため、A-VIPはユーザー確認のために無許可の支出を表面化する。
最後に、A-VIPコード、マシンチェック不変量、AP2-WhisperBenchを1,544個の評価シナリオでリリースする。
関連論文リスト
- Beyond the Mandate: A Systematic Security Analysis of the Agent Payments Protocol (AP2) [13.020998549537874]
AP2は、大きな言語モデル(LLM)によるショッピングエージェントが、ユーザに代わって支払いを認可し実行できるようにする。
以前の研究ではAP2 v0.1におけるリプレイとプロンプトインジェクション攻撃が特定された。
本稿では,AP2 v0.2の役割,トランザクションライフサイクル,デプロイメントアーキテクチャ,信頼境界に基づいて,システマティックなセキュリティ分析を行う。
論文 参考訳（メタデータ） (2026-08-24T22:05:00Z) - Beyond Attack-Success Rate: Action-Graded Severity Scale for Tool-Using AI Agents [0.0]
エージェントのレッドチームベンチマークは、インジェクトされたエージェントが単一ビットとして侵入されたかどうかを報告している。
このバイナリ・アタック・サクセス・レートは、ディフェンダーが最も必要とする情報、すなわち、結果として生じるアクションがどれほど有害であるかを破棄する。
本研究では,7段階の順序尺度(L0〜L6)でエージェントのツールコール軌跡をスコアし,実行された動作が可逆性であったか,他者への到達範囲を超えたか,特権を拡大したかに応じて,アクショングレード調和ルーリックを導入する。
論文 参考訳（メタデータ） (2026-07-08T14:38:01Z) - AutoDojo: Adaptive Black-Box Attacks Reveal the Limits of IPI Defenses and Task-Specification Effects in LLM Agents [57.34566159148893]
間接的プロンプトインジェクション(IPI)は、LLMを動力とするエージェントに対する主要なセキュリティ脅威である。
我々は、特定の防御に対してIPIを最適化するAgentDojoの適応的な拡張であるAutoDojoを開発した。
論文 参考訳（メタデータ） (2026-06-13T02:09:08Z) - Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain [6.142057368768942]
大規模言語モデル(LLM)エージェントは、ツール呼び出し要求のディスパッチにサードパーティのAPIルータに依存している。
本研究は,この攻撃面に関する最初の系統的研究である。
論文 参考訳（メタデータ） (2026-04-09T16:06:41Z) - Whispers of Wealth: Red-Teaming Google's Agent Payments Protocol via Prompt Injection [0.0]
大規模言語モデル(LLM)ベースのエージェントは、金融取引の自動化にますます利用されている。
文脈推論への依存は、即時操作に支払いシステムを公開する。
Agent Payments Protocol (AP2) は、暗号的に検証可能な命令を通じてエージェント主導の購入を確保することを目的としている。
論文 参考訳（メタデータ） (2026-01-30T05:10:16Z) - Mitigating Indirect Prompt Injection via Instruction-Following Intent Analysis [48.70474961584997]
インダイレクト・プロンプト・インジェクション・アタック(IPIA)は大きな言語モデル(LLM)に重大な脅威をもたらす
IntentGuardは、命令追従インテント分析に基づく一般的な防御フレームワークである。
論文 参考訳（メタデータ） (2025-11-30T16:29:04Z) - Malice in Agentland: Down the Rabbit Hole of Backdoors in the AI Supply Chain [82.98626829232899]
自分自身のインタラクションからのデータに対する微調整のAIエージェントは、AIサプライチェーン内の重要なセキュリティ脆弱性を導入している。
敵は容易にデータ収集パイプラインに毒を盛り、検出しにくいバックドアを埋め込むことができる。
論文 参考訳（メタデータ） (2025-10-03T12:47:21Z) - Cuckoo Attack: Stealthy and Persistent Attacks Against AI-IDE [64.47951172662745]
Cuckoo Attackは、悪意のあるペイロードを構成ファイルに埋め込むことで、ステルス性と永続的なコマンド実行を実現する新しい攻撃である。
攻撃パラダイムを初期感染と持続性という2つの段階に分類する。
当社は、ベンダーが製品のセキュリティを評価するために、実行可能な7つのチェックポイントを提供しています。
論文 参考訳（メタデータ） (2025-09-19T04:10:52Z) - Poison Once, Control Anywhere: Clean-Text Visual Backdoors in VLM-based Mobile Agents [54.35629963816521]
この研究は、VLMベースのモバイルエージェントをターゲットにした最初のクリーンテキストバックドアアタックであるVIBMAを紹介する。
この攻撃は、視覚的な入力だけを変更することによって、悪意ある振る舞いをモデルに注入する。
クリーンタスクの動作を保ちながら高い成功率を達成できることを示す。
論文 参考訳（メタデータ） (2025-06-16T08:09:32Z) - DoomArena: A framework for Testing AI Agents Against Evolving Security Threats [81.73540246946015]
本稿では,AIエージェントのセキュリティ評価フレームワークであるDoomArenaを紹介する。
プラグインフレームワークであり、現実的なエージェントフレームワークと簡単に統合できる。
モジュールであり、エージェントがデプロイされる環境の詳細から攻撃の開発を分離する。
論文 参考訳（メタデータ） (2025-04-18T20:36:10Z) - CTRAPS: CTAP Client Impersonation and API Confusion on FIDO2 [2.949446809950691]
我々は、FIDO2クライアントとハードウェア認証者が通信できるようにするCTAPに焦点を当てている。
CTRAPSと呼ばれるCTAPに対するプロトコルレベルの攻撃の2つのクラスを明らかにする。
我々はCTAP仕様の8つの脆弱性を詳述し、CTRAPS攻撃を可能にした。
我々はCTAPを分析し、CTRAPS攻撃を行うための元のツールキットであるCTRAPSをリリースする。
論文 参考訳（メタデータ） (2024-12-03T10:11:41Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。