論文の概要: LLM Agents Can Easily Tamper With Their Own Traces

• arxiv url: http://arxiv.org/abs/2609.30266v1
• Date: Thu, 24 Sep 2026 17:59:54 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-25 21:10:10.219072
• Title: LLM Agents Can Easily Tamper With Their Own Traces
• Title（参考訳）: LLMエージェントは、自分の痕跡を簡単に改ざんできる
• Abstract要約: 我々は、Claude Code、Codex、Antigravity、Open Code、Grok BuildといったローカルなLLMエージェントがこの境界を強制できないことを示す。 ミューズ・コードを除く全ての試験用ハーネスは、監視用ガードレールを起動することなく、要求された時に追跡情報を削除した。 我々は、エージェントのコントロール外の独立したインターセプションメカニズムを通じてトレースログを確実に発生させ、完全なホストが妥協した場合であってもトレースの整合性を維持するよう、実践者にアドバイスする。
• 参考スコア（独自算出の注目度）: 23.637036065811383
• License: http://creativecommons.org/licenses/by/4.0/
• Abstract: Asynchronous monitoring, incident investigations, and compliance audits primarily rely on agent traces to reconstruct what happened. These analyses assume that LLM agents cannot tamper with their own execution traces. We show that local LLM agents such as Claude Code, Codex, Antigravity, Open Code and Grok Build fail to enforce this boundary. All tested harnesses, except Muse Code, allowed agents to delete their traces when asked, without triggering monitor guardrails. We also validate that external attackers can exploit this gap to induce trace deletion. Finally, we show that trace tampering behavior emerges naturally in frontier models, when agents try to improve their rewards. We advise practitioners to ensure trace logging happens through an independent interception mechanism outside of the agent's control, preserving trace integrity even in cases of full host compromise. Overall, our findings identify a concrete failure of trace integrity in agent infrastructure which can be used to conceal misaligned behaviors like scheming or sabotage.
• Abstract（参考訳）: 非同期監視、インシデント調査、コンプライアンス監査は、主に発生したことを再構築するためにエージェントトレースに依存する。 これらの分析は、LLMエージェントが自身の実行トレースを改ざんすることはできないと仮定する。 我々は、Claude Code、Codex、Antigravity、Open Code、Grok BuildといったローカルなLLMエージェントがこの境界を強制できないことを示す。 ミューズ・コードを除く全ての試験用ハーネスは、監視用ガードレールを起動することなく、要求された時に追跡情報を削除した。 また、外部攻撃者がこのギャップを利用してトレース削除を誘発できることを検証する。 最後に、エージェントが報酬を改善しようとすると、トレースの改ざん行動がフロンティアモデルで自然に現れることを示す。 我々は、エージェントのコントロール外の独立したインターセプションメカニズムを通じてトレースログを確実に発生させ、完全なホストが妥協した場合であってもトレースの整合性を維持するよう、実践者にアドバイスする。 全体としては、エージェントインフラストラクチャにおけるトレース整合性の具体的な失敗は、スキーマやサボタージュなどの不整合性を隠蔽するために使用することができる。

関連論文リスト

• Who Is Behind the Harness? Fingerprinting LLMs through Agentic Behavior [8.146941441861614]
  我々は,コーディングエージェント実行のためのアクティブブラックボックスフィンガープリント手法であるLIDARを提案する。 3つのプローブペアは、制御された変更の下で、後続検証、過渡障害回復、および仕様-テスト競合解決を公開する。 高いTop-1精度とMRRを実現し、4つの既存の指紋認証とAPI監査ベースラインを上回っている。
  論文  参考訳（メタデータ） (2026-09-23T09:12:46Z)
• Why LLM Agents Collapse Without Oversight: The Enforcement Gap as the Mechanism Behind Emergence World Failures [19.162716475205308]
  リフレクションスタイルのエージェントで監査フラグをバインドすると、監査官を変更することなく、攻撃の成功率が大幅に低下する。 実行確率から検出確率を分離する$p_d$$$p_e$は、すべてのフレームワークでデフォルトで$p_e approx 0$を確立する。
  論文  参考訳（メタデータ） (2026-09-14T09:46:59Z)
• AutoTrace: From Patches to Triggers via Agentic Interprocedural Exploration [6.39392731596656]
  脆弱性修正コミットが与えられた場合、トリガーローカライゼーションは、脆弱性のあるプログラム状態を具体的な安全でない操作に変換する特定のステートメントを問う。 脆弱性トリガをローカライズするエージェントパイプラインであるAutoTraceについて,コードプロパティグラフ層を層単位で探索することによって紹介する。 エージェントは自身の権限でトリガーを決して受け入れない。報告されたトリガーはすべて、グラフから引き出された明確な証拠によって裏付けられている。
  論文  参考訳（メタデータ） (2026-07-13T18:21:42Z)
• From Prompts to Contracts: Harness Engineering for Auditable Enterprise LLM Agents [0.24554686192257424]
  製品化は、ソースバウンダリ、エンティティルーティング、回答コントラクト、再現可能なトレースの要件を追加します。 本稿では,このパターンをトレース可能な監査可能なLLMエージェントアーキテクチャに再構成するハーネスエンジニアリング手法を提案する。 韓国の5つの企業グループの公開データスライスでインスタンス化し、3つの研究課題を評価する。
  論文  参考訳（メタデータ） (2026-07-09T01:08:33Z)
• Who Owns This Agent? Tracing AI Agents Back to Their Owners [7.444382451377645]
  AIエージェントはますます、世界で自律的に行動するようにデプロイされている。 悪意あるエージェントを、それをデプロイしたアカウントに遡る信頼できる方法はまだない。 この問題を定義し、実用的な解決策を提示する最初の試みである。
  論文  参考訳（メタデータ） (2026-05-15T15:10:33Z)
• Noticing the Watcher: LLM Agents Can Infer CoT Monitoring from Blocking Feedback [48.40096834514452]
  言語モデルエージェントの内部推論を監督する手法として,Chain-of-Thought(CoT)モニタリングを提案する。 我々は、推論エージェントが彼らのプライベートなCoTが監視下にあると自律的に推測できるかどうかを尋ねる。 フェデラーモデルでは、フィードバックをブロックすることで、このモニターの存在を純粋に推測することができる。
  論文  参考訳（メタデータ） (2026-03-14T00:12:14Z)
• TrajAD: Trajectory Anomaly Detection for Trustworthy LLM Agents [47.147717604167376]
  効率的なロールバック・アンド・リトライを実現するために必要な軌道異常検出 汎用LSMはこれらの異常を識別し、ローカライズするのに苦労する。 細粒度プロセス監視を訓練した特殊検証器であるTrajADを提案する。
  論文  参考訳（メタデータ） (2026-02-06T07:13:49Z)
• The Trojan Knowledge: Bypassing Commercial LLM Guardrails via Harmless Prompt Weaving and Adaptive Tree Search [58.8834056209347]
  大規模言語モデル(LLM)は、有害な出力を誘導するために安全ガードレールをバイパスするジェイルブレイク攻撃に弱いままである。 CKA-Agent(Correlated Knowledge Attack Agent)は、ターゲットモデルの知識基盤の適応的木構造探索としてジェイルブレイクを再構成する動的フレームワークである。
  論文  参考訳（メタデータ） (2025-12-01T07:05:23Z)
• PSG-Agent: Personality-Aware Safety Guardrail for LLM-based Agents [60.23552141928126]
  PSG-AgentはLLMベースのエージェントのためのパーソナライズされた動的システムである。 まずPSG-Agentは、安定した特性のために相互作用履歴をマイニングすることでパーソナライズされたガードレールを作成する。 第二に、PSG-Agentは特別なガードでエージェントパイプラインを横断する継続的監視を実装している。
  論文  参考訳（メタデータ） (2025-09-28T03:31:59Z)
• BlindGuard: Safeguarding LLM-based Multi-Agent Systems under Unknown Attacks [58.959622170433725]
  BlindGuardは、攻撃固有のラベルや悪意のある振る舞いに関する事前の知識を必要とせずに学習する、教師なしの防御方法である。 BlindGuardはマルチエージェントシステムにまたがる多様な攻撃タイプ(即時注入、メモリ中毒、ツール攻撃)を効果的に検出する。
  論文  参考訳（メタデータ） (2025-08-11T16:04:47Z)
• CoTGuard: Using Chain-of-Thought Triggering for Copyright Protection in Multi-Agent LLM Systems [55.57181090183713]
  我々は、Chain-of-Thought推論内でトリガーベースの検出を活用する著作権保護のための新しいフレームワークであるCoTGuardを紹介する。 具体的には、特定のCoTセグメントをアクティベートし、特定のトリガクエリをエージェントプロンプトに埋め込むことで、未許可コンテンツ再生の中間的推論ステップを監視する。 このアプローチは、協調エージェントシナリオにおける著作権侵害の微細かつ解釈可能な検出を可能にする。
  論文  参考訳（メタデータ） (2025-05-26T01:42:37Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。