論文の概要: Trust propagation and structural containment in Multi-agent LLM pipelines

• arxiv url: http://arxiv.org/abs/2609.17648v1
• Date: Tue, 15 Sep 2026 15:46:01 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-20 08:55:53.475526
• Title: Trust propagation and structural containment in Multi-agent LLM pipelines
• Title（参考訳）: マルチエージェントLLMパイプラインの信頼伝播と構造保持
• Abstract要約: 本研究では,4エージェントLangGraphパイプラインにおける攻撃伝搬について検討する。 検索した文書に埋め込まれた偽書による共有メモリ中毒と間接的プロンプト注入について検討した。 我々の貢献は、攻撃伝播、認証境界のコンポーネントレベルのアブレーション、および最終行動ではなく攻撃エージェントに対する妥協度を測定するJBR(Judgment Bypass Rate)に関する実証的研究である。
• 参考スコア（独自算出の注目度）: 0.9274656542624661
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Multi-agent LLM systems increasingly automate tasks involving agents with different levels of privilege, creating a security risk in which a compromised low-privilege agent can influence a higher-privilege agent and trigger an unauthorized action. We study attack propagation in a four-agent LangGraph pipeline comprising a Supervisor, Researcher, Validator, and Executor. We evaluate shared-memory poisoning and indirect prompt injection through a forged approval embedded in a retrieved document. We compare the Validator's judgment with an independent authorization layer using task-bound signed tokens and a separately verified policy oracle. Our contribution is an empirical study of attack propagation, a component-level ablation of the authorization boundary, and the Judgment Bypass Rate (JBR), which measures compromise at the attacked agent rather than at the final action. Across three seeds and 60 labeled tasks, memory poisoning reaches execution in every undefended trial. With authorization enabled, it achieves 100% JBR but 0% Unsafe Action Rate, showing that the Validator can remain compromised while execution is contained. Against an attacker possessing the signing secret, the policy oracle provides the observed containment, while an independently authored least privilege policy preserves this result. An Observer layer reduces the false-positive rate for agent hijacking from 49% to 7% without weakening execution-level security. These results show that structural authorization can contain compromised agent behavior even when upstream LLM judgment fails.
• Abstract（参考訳）: マルチエージェントLLMシステムは、異なるレベルの特権を持つエージェントが関与するタスクを自動化し、妥協された低特権エージェントが高特権エージェントに影響を与え、権限のないアクションを引き起こすセキュリティリスクを生じさせる。 スーパーバイザ,研究者,検証者,実行者で構成される4エージェントLangGraphパイプラインにおける攻撃伝播について検討した。 検索した文書に埋め込まれた偽書による共有メモリ中毒と間接的プロンプト注入について検討した。 我々は、バリケータの判断を、タスクバウンド署名トークンと別々に検証されたポリシー託を用いて、独立した認証層と比較する。 我々の貢献は、攻撃伝播、認証境界のコンポーネントレベルのアブレーション、および最終行動ではなく攻撃エージェントに対する妥協度を測定するJBR(Judgment Bypass Rate)に関する実証的研究である。 3つの種と60のラベル付きタスクにまたがって、無防備なトライアルのたびにメモリ中毒が実行されます。 承認を有効にすると、100%のJBRを達成するが、0%の安全でないアクションレートを達成する。 署名の秘密を持つ攻撃者に対して、ポリシーの託宣は観察された封じ込めを提供するが、独立に認可された最小特権ポリシーは、この結果を保存している。 Observerレイヤは、実行レベルのセキュリティを弱めることなく、エージェントハイジャックの偽陽性率を49%から7%に下げる。 これらの結果から, 上流LLM判定に失敗しても, 構造的承認には妥協されたエージェントの挙動が含まれることがわかった。

関連論文リスト

• SIR: Self-improving Red-teaming for Compute Use Agents [71.71987044117371]
  コンピュータ・ユース・エージェント(CUA、Computer use agent)は、マウス、キーボード、端末を通じて画面を認識し、実際のオペレーティングシステムに作用する視覚言語モデルである。 操作中に信頼できないコンテンツに晒されるため、間接的プロンプトインジェクション(IPI)に弱い。 SIRは,平易な言語で記述された再利用原則の小さなライブラリからステルスインジェクションを構成するブラックボックスIPIアタックである。
  論文  参考訳（メタデータ） (2026-08-31T03:39:43Z)
• ClawSentry: A Progressive Multi-Tier Security Monitor for Safeguarding Autonomous LLM Agents [24.540638169054812]
  悪意のあるサードパーティのスキルにハイジャックされた単一のエージェントは、データの流出、特権のエスカレーション、カスケード妥協を引き起こす可能性がある。 我々は、エージェントランタイムのためのオープンソースのフレームワークに依存しないセキュリティ監視ゲートウェイであるClawSentryを紹介する。
  論文  参考訳（メタデータ） (2026-08-21T13:47:51Z)
• Where Is the Cost of Third-Party API Routers in Agentic Software Development? [16.886494606820495]
  サードパーティのAPIルータは、ますます多様なLLMプロバイダ間のアクセスを統一する共通レイヤになっている。 符号化エージェントでは、対話オーバーヘッドを減らすため、ハイオートノミー操作が広く採用されている。 プロバイダの出力と最終的にエージェントによって実行されるリポジトリレベルのアクションとの整合性を検証するメカニズムはありません。
  論文  参考訳（メタデータ） (2026-07-26T12:15:09Z)
• AgentAbstain: Do LLM Agents Know When Not to Act? [19.223843408018997]
  既存の評価は、エージェントがいつ禁じるべきかを知るのではなく、タスクの成功に焦点を当てている。 エージェント禁忌のための最初の体系的評価枠組みとして,ツールを用いたLDMエージェントの動作を検知するキャリブレーション能力について述べる。 AgentAbstainは、エージェントネイティブな分類に基づくペアタスクのベンチマークである。
  論文  参考訳（メタデータ） (2026-07-11T00:57:36Z)
• Governed Individuation: Cryptographically Decoupling an Agent's Learning from Its Authority [7.392721604463545]
  制限はエージェントの実行アーキテクチャの不変として保証できることを示す。 学習量やスキル獲得量、自己引き起こされるガバナンスの抽象化がエージェントの許可された権限を広げることはできないことを証明します。
  論文  参考訳（メタデータ） (2026-07-06T02:42:06Z)
• CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution [49.689452243966315]
  ツールコール機能を備えたAIエージェントは、IPI(Indirect Prompt Injection)攻撃の影響を受けやすい。 本稿では,選択防衛フレームワークCausalArmorを提案する。 AgentDojoとDoomArenaの実験は、CausalArmorが攻撃的な防御のセキュリティと一致することを示した。
  論文  参考訳（メタデータ） (2026-02-08T11:34:08Z)
• CoTGuard: Using Chain-of-Thought Triggering for Copyright Protection in Multi-Agent LLM Systems [55.57181090183713]
  我々は、Chain-of-Thought推論内でトリガーベースの検出を活用する著作権保護のための新しいフレームワークであるCoTGuardを紹介する。 具体的には、特定のCoTセグメントをアクティベートし、特定のトリガクエリをエージェントプロンプトに埋め込むことで、未許可コンテンツ再生の中間的推論ステップを監視する。 このアプローチは、協調エージェントシナリオにおける著作権侵害の微細かつ解釈可能な検出を可能にする。
  論文  参考訳（メタデータ） (2025-05-26T01:42:37Z)
• AgentVigil: Generic Black-Box Red-teaming for Indirect Prompt Injection against LLM Agents [54.29555239363013]
  本稿では,間接的なインジェクション脆弱性を自動的に検出し,悪用するための汎用的なブラックボックスファジリングフレームワークであるAgentVigilを提案する。 我々はAgentVigilをAgentDojoとVWA-advの2つの公開ベンチマークで評価し、o3-miniとGPT-4oに基づくエージェントに対して71%と70%の成功率を達成した。 攻撃を現実世界の環境に適用し、悪質なサイトを含む任意のURLに誘導するエージェントをうまく誘導する。
  論文  参考訳（メタデータ） (2025-05-09T07:40:17Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。