論文の概要: Loopjacking: Hijacking Human-in-the-Loop Approval

• arxiv url: http://arxiv.org/abs/2609.21081v1
• Date: Thu, 17 Sep 2026 20:58:26 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-21 18:40:16.777638
• Title: Loopjacking: Hijacking Human-in-the-Loop Approval
• Title（参考訳）: Loopjacking: ロックイン・ザ・ループの承認をハイジャックする
• Abstract要約: このバインディングの障害をLoopjackingと呼びます。 表現ベースの攻撃では、Bはすでに符号化されているが、承認時に省略されるか、あるいは誤表現される。 承認後の状態置換攻撃では、ヒトは正しいAと変更可能なワークフロー状態が後にBに置き換えられる。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Human approval is often treated as the last security boundary before an agent executes a consequential operation. That boundary is only meaningful if the operation presented for review is the operation later authorized or released. We call failures of this binding Loopjacking: a human approves what they understand as operation A, while the implementation uses that decision for a materially different operation B. We distinguish two variants. In a representation-based attack, B is already encoded but omitted or misrepresented at approval time; in a post-approval state-substitution attack, the human sees the correct A and mutable workflow state later replaces it with B. We evaluate a purposive set of released agent products. We reproduce post-approval substitution in seven tested Agno AgentOS releases ending at 3.0.9 and in 12 tested versions of a conditional in-memory LangGraph Agent Server composition ending at 0.14.0. We reproduce representation mismatch in OpenClaw 2026.2.23 and its rejection in 2026.2.24. OpenAI Agents SDK 0.22.0 and 0.22.2 provide a negative control: serialized continuation preserves exact per-call binding and rejects mutated B. These results do not estimate ecosystem prevalence. They show that complete canonical approval rendering and exact use-time comparison, or preventing unauthorized pending-state mutation, block the tested attacks while preserving legitimate execution. We separate this contribution from established work on misleading dialogs, session smuggling, action binding, and authorization continuity.
• Abstract（参考訳）: 人間の承認はしばしば、エージェントが連続した操作を実行する前に、最後のセキュリティ境界として扱われる。 この境界は、レビューのために提示された操作が後に承認または解放された操作である場合にのみ意味がある。 我々は、このバインディングの失敗をLoopjackingと呼んでいる: 人間はオペレーションAとして理解していることを承認する。 表現に基づく攻撃では、Bはすでにコード化されているが、承認時に省略または誤表現されているが、承認後の状態置換攻撃では、人間は正しいAと変更可能なワークフロー状態が後にBに置き換えられる。 我々は7つのAgno AgentOSリリースが3.0.9で終了し、12つのテスト版が0.14.0で終了する条件付きインメモリのLangGraph Agent Serverコンポジションを再現した。 OpenClaw 2026.2.23で表現ミスマッチを再現し、2026.2.24で拒否する。 OpenAI Agents SDK 0.22.0 と 0.22.2 は負の制御を提供する:シリアライズされた継続は呼び出し毎の正確なバインディングを保持し、変更Bを拒否する。 完全な標準的承認レンダリングと正確な使用時間比較、または未承認の保留状態突然変異の防止は、正常な実行を保ちながら、テストされた攻撃をブロックする。 私たちはこのコントリビューションを、誤解を招くダイアログ、セッションの密輸、アクションバインディング、承認継続性に関する確立した作業から分離します。

関連論文リスト

• Zero-Knowledge Predicate Proofs Between AI Agents: A Measured, Cross-Protocol Gateway and the Source-Integrity Gap [0.0]
  マルチエージェントAIプラットフォームは、ステージングからプロダクションへ素早く移行するが、エージェントが信頼を確立する方法はまだ初歩的だ。 提案から実行システムまで,エージェント間での検証可能なデータ最小化を行う。 32ビットのしきい値述語は6.2msで証明され、608バイトのBulletproofs証明で1.0msで検証される。
  論文  参考訳（メタデータ） (2026-08-30T23:16:17Z)
• AID-Guard: Stateful Authorization for Delegated Agent Effects [0.0]
  AID-Guardはステートフルな認可から効果のあるクロージャプロトコルである。 コミット時に承認された要求とプロバイダ状態を再検証し、曖昧さの下で1つの予約を保持し、端末結果の後にのみリリースまたは1つの後継を許可する。
  論文  参考訳（メタデータ） (2026-08-21T14:31:29Z)
• One Gate Is Not Enough: Composing Stateful Pre-Action Controls for Agentic AI [0.0]
  1つのコントロールが適用した修復は、他のコントロールが評価するアクション、エビデンス、コンテキストを変更し、そのコントロールの以前の判断を無効にすることができることを示す。 我々は、この結合を形式化し、現在の有界等質な設定において、アクションごとの音質を復元するremediate-and-regateプロトコルを提供する。 これは、生産の頻度に関する主張ではなく、合成メタデータ層によるオープンペイロードデータに対するメカニズム実証である。
  論文  参考訳（メタデータ） (2026-08-18T22:24:44Z)
• When Collaboration Becomes a Trigger: Collective Evidence-Threshold Backdoors in Multi-Agent Systems [57.450132281381066]
  ピアエビデンスが単一のメッセージによって決定されるのではなく、隠れたしきい値に達すると、バックドアの動作が起動される。 我々は,MASとBundary-Conditioned Backdoor Injection(BCBI)のための集合的エビデンス-ホールドバックドアパラダイムを導入する。 クリーンな通信力学を学習し,異常なエージェント更新を隔離する,クリーンな唯一の潜時防御であるLATTEを提案する。
  論文  参考訳（メタデータ） (2026-08-02T08:38:44Z)
• PhyAgentOS: A Self-Evolving Operating System for Embodied Agents with Decoupled Cognitive Planning and Physical Execution [49.776611937968]
  我々は、スケジューリング、検証、メモリ、ベンチマーク、安全性をシステムレベルのサービスとして提供するPhyAgentOSを紹介します。 セッション中心のセッションは、スケジューリング、互換性、監督された実行、エビデンス収集、受け入れの最小単位として、アクションではなくセッションを扱う。 SessionVerifierは、実行終了とセマンティックタスク完了を、成功、失敗、または再計画のエビデンスに基づいて判断する。 ベンチマークはデプロイメントセッションと検証パスを再利用するので、結果は実際の実行に遡る。
  論文  参考訳（メタデータ） (2026-07-18T04:46:53Z)
• IMPACT-HOI: Supervisory Control for Onset-Anchored Partial HOI Event Construction [72.51952455865155]
  我々は,エゴセントリックなプロシージャビデオに注釈を付けるための混合開始型フレームワークIMPACT-HOIを提案する。 IMPACT-HOIは、このタスクを部分的に指定され、オンセットされたイベント状態の漸進的な解決として捉えている。 9人の参加者によるユーザスタディでは、手動のアノテーションアクションが13.5%減少し、46.67%のイベントマッチレート、確認されたフィールド違反がゼロである。
  論文  参考訳（メタデータ） (2026-05-03T01:37:40Z)
• Evaluating Tool-Using Language Agents: Judge Reliability, Propagation Cascades, and Runtime Mitigation in AgentProp-Bench [0.0]
  AgentProp-Benchは4つのドメインに2300のトレースを持つ2,000タスクのベンチマークである。 我々は、判断信頼性を定量化し、エラーの伝播を特徴づけ、実行時の緩和を評価する。 すべてのコード、データ、トレース、および人間のラベルはhttps://github.com/bhaskargurram-ai/agenthallu-bench.orgで公開されている。
  論文  参考訳（メタデータ） (2026-04-17T21:15:35Z)
• Agent Control Protocol: Admission Control for Agent Actions [0.4929694290403903]
  エージェントコントロールプロトコル(エージェントコントロールプロトコル、ACP)は、B2Bの機関環境における自律エージェントの受け入れ制御ガバナンスのための正式な仕様である。 ACPは、暗号ID、能力に基づく認可、決定論的リスク評価、連鎖デリゲート、および暗号化連鎖監査を定義する。 ACPはRBACとZero Trustの上で動作し、どちらのモデルも解決しない問題に対処する。
  論文  参考訳（メタデータ） (2026-03-19T12:28:28Z)
• When Actions Go Off-Task: Detecting and Correcting Misaligned Actions in Computer-Use Agents [50.5814495434565]
  この研究は、コンピュータ利用エージェント(CUA)における不整合検出を定義し、研究する最初の試みである。 実世界のCUAデプロイメントにおける3つの一般的なカテゴリを特定し、人間の注釈付きアクションレベルのアライメントラベルを用いたリアルな軌跡のベンチマークであるMisActBenchを構築した。 本稿では,実行前に不整合を検知し,構造化されたフィードバックによって繰り返し修正する,実用的で普遍的なガードレールであるDeActionを提案する。
  論文  参考訳（メタデータ） (2026-02-09T18:41:15Z)
• Malicious Agent Detection for Robust Multi-Agent Collaborative Perception [52.261231738242266]
  多エージェント協調(MAC)知覚は、単エージェント認識よりも敵攻撃に対して脆弱である。 MAC知覚に特異的な反応防御であるMADE(Malicious Agent Detection)を提案する。 我々は、ベンチマーク3DデータセットV2X-simとリアルタイムデータセットDAIR-V2Xで包括的な評価を行う。
  論文  参考訳（メタデータ） (2023-10-18T11:36:42Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。