論文の概要: Beyond Single-Model Injection: A Threat Model and Defense Architecture for Prompt Injection in Multi-Agent Systems

• arxiv url: http://arxiv.org/abs/2609.22949v1
• Date: Sat, 19 Sep 2026 11:06:14 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-22 20:29:00.608416
• Title: Beyond Single-Model Injection: A Threat Model and Defense Architecture for Prompt Injection in Multi-Agent Systems
• Title（参考訳）: シングルモデルインジェクションを超えて:マルチエージェントシステムにおけるプロンプトインジェクションの脅威モデルと防御アーキテクチャ
• Abstract要約: マルチエージェントシステムは、単一モデル設定にない3つのメカニズムを通じて脅威を増幅する。 4つのカテゴリにまたがる14の攻撃ベクトルを列挙する脅威モデルを構築した。 67%のエージェントが、システムプロンプトレベルのガードレールであっても、少なくとも1つのスコープ違反に対して脆弱であることがわかった。
• 参考スコア（独自算出の注目度）: 0.0
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Existing prompt injection research focuses on single-model chatbot scenarios, where an attacker manipulates one LLM through crafted input. Multi-agent systems amplify this threat through three mechanisms absent from single-model settings: inter-agent message passing creates injection channels invisible to perimeter defenses, shared tool access enables privilege escalation across agent boundaries, and trust propagation allows a compromised agent to influence upstream orchestrators. We construct a threat model enumerating 14 attack vectors across four categories: direct injection via user input (3 vectors), indirect injection via tool outputs (4 vectors), inter-agent injection via message passing (4 vectors), and cascading injection through orchestrator manipulation (3 vectors). Testing all 14 vectors against a 6-agent production-representative system, we find that 67% of agents are vulnerable to at least one scope violation even with system-prompt-level guardrails, and indirect injection via tool outputs succeeds in 43% of attempts. Four architectural defenses reduce overall injection success from 31.2% to 4.2%: message signing with provenance tracking (inter-agent injection down 91%), input/output sanitization at agent boundaries (indirect injection down 78%), privilege-scoped tool access per agent role (privilege escalation eliminated entirely), and anomaly detection on inter-agent communication patterns (84% of cascading attempts caught).
• Abstract（参考訳）: 既存のプロンプトインジェクション研究では、単一のモデルチャットボットのシナリオに焦点が当てられている。 エージェント間メッセージパッシングは、周辺防御に見えないインジェクションチャネルを生成し、共有ツールアクセスはエージェント境界を越えて特権エスカレーションを可能にし、信頼伝搬は、妥協されたエージェントが上流のオーケストレータに影響を与えることを可能にする。 ユーザ入力によるダイレクトインジェクション(3ベクトル)、ツール出力による間接インジェクション(4ベクトル)、メッセージパッシングによるエージェント間インジェクション(4ベクトル)、オーケストレータ操作によるカスケードインジェクション(3ベクトル)である。 システムプロンプトレベルのガードレールであっても, エージェントの67%は少なくとも1つのスコープ違反に対して脆弱であり, ツール出力による間接注入は43%の試験で成功している。 4つのアーキテクチャディフェンスは、全体的なインジェクションの成功を31.2%から4.2%に減らした: プロファイランストラッキングによるメッセージ署名(エージェント境界でのインプット/アウトプットサニタイズ)、エージェントロールごとの特権スコープツールアクセス(プライベートエスカレーションは完全に廃止)、エージェント間通信パターンの異常検出(カスケードの試みの84%)。

関連論文リスト

• When Prompts Control Robots: Prompt Injection Attacks in Multi-Agent Robotic Systems [0.5161531917413708]
  大規模言語モデルはタスク計画と制御のための自律ロボットシステムに統合されつつある。 この統合によって、安全でない決定や身体的危害につながる可能性のあるインジェクション攻撃が促される。 本稿では,LLMをベースとしたマルチエージェントロボットシステムに対する即時インジェクション攻撃の評価を行う。
  論文  参考訳（メタデータ） (2026-08-01T16:31:00Z)
• It's a TRAP! Task-Redirecting Agent Persuasion Benchmark for Web Agents [52.81924177620322]
  大規模な言語モデルを利用したWebベースのエージェントは、メール管理やプロフェッショナルネットワーキングといったタスクにますます利用されている。 動的Webコンテンツへの依存は、インジェクション攻撃の引き金に弱い: インターフェース要素に隠された敵対的命令は、エージェントが元のタスクから逸脱するように説得する。 本稿では,タスクリダイレクトエージェントの説得ベンチマーク(TRAP)について紹介する。
  論文  参考訳（メタデータ） (2025-12-29T01:09:10Z)
• ChatInject: Abusing Chat Templates for Prompt Injection in LLM Agents [15.773168171609754]
  ChatInjectは、悪意のあるペイロードをフォーマットしてネイティブチャットテンプレートを模倣する攻撃である。 我々は,会話の交互にエージェントを素数化して不審な行為を受け入れ,実行させる,説得駆動型マルチターン変異体を開発した。 ChatInjectは従来のプロンプトインジェクション法よりも平均的な攻撃成功率が高い。
  論文  参考訳（メタデータ） (2025-09-26T18:38:07Z)
• BlindGuard: Safeguarding LLM-based Multi-Agent Systems under Unknown Attacks [58.959622170433725]
  BlindGuardは、攻撃固有のラベルや悪意のある振る舞いに関する事前の知識を必要とせずに学習する、教師なしの防御方法である。 BlindGuardはマルチエージェントシステムにまたがる多様な攻撃タイプ(即時注入、メモリ中毒、ツール攻撃)を効果的に検出する。
  論文  参考訳（メタデータ） (2025-08-11T16:04:47Z)
• The Dark Side of LLMs: Agent-based Attacks for Complete Computer Takeover [0.0]
  大規模言語モデル(LLM)エージェントとマルチエージェントシステムは、従来のコンテンツ生成からシステムレベルの妥協まで及ぶセキュリティ脆弱性を導入している。 本稿では,自律エージェント内の推論エンジンとして使用されるLLMのセキュリティを総合的に評価する。 異なる攻撃面と信頼境界がどのように活用され、そのような乗っ取りを組織化できるかを示す。
  論文  参考訳（メタデータ） (2025-07-09T13:54:58Z)
• Can Indirect Prompt Injection Attacks Be Detected and Removed? [94.67980597764245]
  間接的インジェクション攻撃の検出・除去の可能性について検討した。 検出のために,既存のLCMとオープンソースの検出モデルの性能を評価する。 そこで本研究では,(1) インジェクション命令を含む部分をセグメント化して除去するセグメンテーション除去法,(2) 抽出モデルを訓練してインジェクション命令を識別・除去する抽出除去法,の2つの直感的手法を評価する。
  論文  参考訳（メタデータ） (2025-02-23T14:02:16Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。