論文の概要: Persistent Billable State: Denial-of-Wallet Attacks and Defenses in Tool-Calling LLM Agents

• arxiv url: http://arxiv.org/abs/2609.28585v1
• Date: Wed, 23 Sep 2026 13:45:26 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-25 21:10:09.422698
• Title: Persistent Billable State: Denial-of-Wallet Attacks and Defenses in Tool-Calling LLM Agents
• Title（参考訳）: 持続的可搬状態:工具担持LDM剤における壁面攻撃と防御
• Abstract要約: LLMエージェントはターン間の状態を保存するためにホストランタイムに依存している。 ランタイムが外部ツールを後続のモデル入力に戻すと、プロバイダはそれを再び測定する。 我々は、保持されたコンテンツの持続的な請求可能な状態を呼び出し、それが後続の請求可能なコンテキストに入るかどうかについてのホストの決定を形式化する。
• 参考スコア（独自算出の注目度）: 4.976922673853743
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Multi-step tool-calling LLM agents rely on host runtimes to preserve state across turns. When a runtime carries an external tool return into later model inputs, providers meter it again. An admitted malicious or compromised tool can thereby convert untrusted data into recurring victim-billed processing without victim credentials or local runtime privilege. We call retained content persistent billable state and formalize the host's decision over whether and how it enters later billable context as the persistent billable-state boundary. We present the first systematic security study of this post-admission lifecycle. We derive six denial-of-wallet attack vectors and build DOW-BENCH, an end-to-end harness evaluated across six model families. Across 243 executions, usage telemetry shows that the maximum per-session cumulative input reaches 14,293x the session's first-call input. Controlled history-policy reruns isolate raw retention's contribution: retaining raw history increases mean effective session cost by 21.2-35.9%. Compression succeeds on 10/12 and 11/12 history-dependent tasks, versus 2/12 under deletion for each provider. To govern this boundary, we combine deterministic history transformation with four host-side invariants that bound prompt mass, context growth, recursive opportunity, and cumulative spend before reingestion. The kernel contains every recurring attack in the 123-evaluation replay corpus. Across 24 Mistral Small 4 workflows, a progress-authorized policy achieves 22/24 oracle-verified task successes with no pre-completion interruptions, versus 13/24 under a fixed cap. Only 71 of 3,830 scanned MCP server and transport repositories expose any code-visible safeguard proxy, and none cover all four safeguard families. These results establish persistent billable state as a first-class security object and pre-reingestion as its host-owned control point.
• Abstract（参考訳）: マルチステップのツールコール LLM エージェントは、ターン間で状態を保存するためにホストランタイムに依存している。 ランタイムが外部ツールを後続のモデル入力に戻すと、プロバイダはそれを再び測定する。 これにより、悪意のある、または侵害されたツールが、信頼されていないデータを、被害者の資格やローカルランタイム特権なしに、繰り返し発生する被害者による処理に変換することができる。 我々は、保持されたコンテンツの持続的な請求可能な状態を呼び出し、それが後の請求可能なコンテキストを永続的な請求可能な状態境界として入力するかどうかに関するホストの決定を形式化する。 本研究は,このミッション後のライフサイクルに関する,最初のシステマティックセキュリティ研究である。 我々は6つの攻撃ベクトルを導出し、6つのモデルファミリーで評価されたエンドツーエンドのハーネスであるDOW-BENCHを構築した。 243回の実行では、セッション当たりの累積入力の最大値はセッションの最初の入力の14,293倍に達する。 管理された歴史政策の再実行は、生の保持の貢献を孤立させ、生の履歴を維持することは、平均的な有効セッションコストを21.2-35.9%増加させる。 圧縮は10/12と11/12の履歴依存タスクで成功し、各プロバイダでは2/12が削除される。 この境界を統治するために、決定論的歴史変換と、4つのホスト側不変量を組み合わせる。 カーネルは123-evaluation replay corpusで繰り返し攻撃される。 24のMistral Small 4ワークフロー全体において、プログレッシブ認可されたポリシーは、未完了の割り込みなしで、22/24のオラクル認証タスクの成功を達成する。 スキャンされた3,830のMPPサーバとトランスポートリポジトリのうち71のみが、コード可視のセーフガードプロキシを公開しており、4つのセーフガードファミリすべてをカバーするものはありません。 これらの結果は、一級セキュリティオブジェクトとして永続的な請求可能な状態を確立し、ホスト所有のコントロールポイントとして事前予約を行う。

関連論文リスト

• AID-Guard: Stateful Authorization for Delegated Agent Effects [0.0]
  AID-Guardはステートフルな認可から効果のあるクロージャプロトコルである。 コミット時に承認された要求とプロバイダ状態を再検証し、曖昧さの下で1つの予約を保持し、端末結果の後にのみリリースまたは1つの後継を許可する。
  論文  参考訳（メタデータ） (2026-08-21T14:31:29Z)
• ClawSentry: A Progressive Multi-Tier Security Monitor for Safeguarding Autonomous LLM Agents [24.540638169054812]
  悪意のあるサードパーティのスキルにハイジャックされた単一のエージェントは、データの流出、特権のエスカレーション、カスケード妥協を引き起こす可能性がある。 我々は、エージェントランタイムのためのオープンソースのフレームワークに依存しないセキュリティ監視ゲートウェイであるClawSentryを紹介する。
  論文  参考訳（メタデータ） (2026-08-21T13:47:51Z)
• Agents Don't Just Agree, They Remember: Benchmarking Persistent Sycophancy in Stateful Personal Agents [33.055253684457625]
  ステートフルなパーソナルエージェントは、長期的なユーザープロファイル、エピソード記憶、再利用可能なスキルをますます維持する。 これを持続性梅毒と呼び、Personal Agent Sycophancy Benchmark (PASB)を導入します。 PASBは、会話的クレームが受け入れられ、耐久性のあるエージェント状態に書き込まれ、後に中立なクエリで再利用されるかどうかをトレースする。
  論文  参考訳（メタデータ） (2026-07-12T01:08:59Z)
• Understanding and Evaluating Claw-like Agent Security Through a Computer-Systems Lens [65.53494487819053]
  クローのようなAIエージェント(OpenClawなど)は、認証情報、ファイル、ツール、外部サービスへの永続的なアクセスを伴う、常にオンのプロセスである。 我々はClawのようなエージェントをエージェントコンピュータシステムとして扱い、そのゲートウェイランタイムがOSのような仲介の役割を担っている。 我々は、4つの攻撃面にわたる406の敵タスクのベンチマークであるSafeClawArenaを開発した。
  論文  参考訳（メタデータ） (2026-06-29T18:00:45Z)
• Zombie Agents: Persistent Control of Self-Evolving LLM Agents via Self-Reinforcing Injections [57.64370755825839]
  セルフ進化エージェントはセッション間で内部状態を更新する。 我々はこのリスクを調査し、Zombie Agentと呼ばれる永続的な攻撃を形式化する。 我々は,攻撃者が制御するWebコンテンツを通じて間接的露光のみを使用するブラックボックス攻撃フレームワークを提案する。
  論文  参考訳（メタデータ） (2026-02-17T15:28:24Z)
• TxRay: Agentic Postmortem of Live Blockchain Attacks [52.658018348998105]
  5年も経たないうちに、DeFiのエコシステムは15.75億米ドル以上を失い、エクスプロイトが報告された。 我々は、限られた証拠から生のACT攻撃を再構築する死後システムであるTxRayを提示する。 DeFiHackLabsの114件のインシデントで、TxRayは105件のインシデントに対して専門家による根本原因と実行可能なPoCを生成し、92.11%のエンド・ツー・エンドの再現を達成した。
  論文  参考訳（メタデータ） (2026-02-01T16:17:33Z)
• Traversal-as-Policy: Log-Distilled Gated Behavior Trees as Externalized, Verifiable Policies for Safe, Robust, and Efficient Agents [18.383906296536185]
  Traversal-as-Policy: サンドボックス化されたOpenHandsの実行ログを単一の実行可能なGated Behavior Tree (GBT)に蒸留する 各ノードは状態条件のアクションマクロを符号化し、成功した軌道からマージチェックを行う。 実行時に、軽量なトラバーサは、子マクロに対するベースモデルの意図と一致します。
  論文  参考訳（メタデータ） (2026-01-30T16:25:08Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。