論文の概要: When Consent Outlives Context: Residual Authority Replay in Long-Lived Agents
- arxiv url: http://arxiv.org/abs/2609.33910v1
- Date: Sun, 27 Sep 2026 20:43:53 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-04 15:40:21.072552
- Title: When Consent Outlives Context: Residual Authority Replay in Long-Lived Agents
- Title（参考訳）: Consent Outlives Context: Residual Authority Replay in Long-Lived Agents
- Abstract要約: LLMエージェントは、実行時にセキュリティに敏感なアクションを承認するために、ますますユーザ承認に依存している。
長期的なエージェントでは、承認決定はタスクやセッションにまたがって継続する必要がある。
この継続性は、当初承認を正当化した文脈を超越し、再同意なしに残余の権限を再利用できることが分かりました。
- 参考スコア（独自算出の注目度）: 11.872521259936704
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: LLM agents increasingly rely on user approval to authorize security-sensitive actions at runtime. Such approvals are granted within a specific task and execution context. In long-lived agents, authorization decisions may need to persist across tasks or sessions. We find that this continuity can outlive the context that originally justified the approval, creating residual authority reusable without renewed consent. We expose this failure mode through a longitudinal attack that starts from a target security-sensitive action, identifies the authority required to execute it, induces benign interactions that legitimately obtain that authority, and later replays the residual authority during adversarial execution. Across controlled and live settings, we demonstrate that residual-authority replay arises in practice and substantially increases the success of prompt-injection and context-rebinding attacks. We evaluate 508 AgentDojo attack cases across six LLM families using production-derived authorization semantics. With residual authority, attack success rate (ASR) increases by up to 35.1 percentage points compared with a fresh authorization state. In live context-rebinding attacks on 55 Terminal-Bench cases across three real-world production coding agents, residual-authority replay increases ASR by 24.9 percentage points on average. These findings expose a fundamental mismatch between persistent authorization and the contextual nature of user consent in long-lived LLM agents.
- Abstract（参考訳）: LLMエージェントは、実行時にセキュリティに敏感なアクションを承認するために、ますますユーザ承認に依存している。
このような承認は、特定のタスクと実行コンテキスト内で与えられる。
長期的なエージェントでは、承認決定はタスクやセッションにまたがって継続する必要がある。
この継続性は、当初承認を正当化した文脈を超越し、再同意なしに残余の権限を再利用できることが分かりました。
我々は、この障害モードを、ターゲットのセキュリティに敏感な行動から始まり、実行に必要な権限を特定し、その権限を合法的に取得する良質な相互作用を誘導し、その後、敵の実行中に残留する権限を再生する縦断攻撃によって露呈する。
制御およびライブ設定を通じて、残留オーソリティリプレイが実際に発生し、プロンプトインジェクションやコンテキストリバインド攻撃の成功が著しく増加することを示す。
我々は6つのLLMファミリーにまたがる508のAgentDojo攻撃事例を、生産由来の認証セマンティクスを用いて評価した。
残った権限で、攻撃成功率(ASR)は、新しい承認状態と比較して最大35.1ポイント上昇する。
3つの実世界のプロダクション・コーディング・エージェントにわたる55のターミナル・ベンチケースに対するライブ・コンテクスト・リバインド・アタックでは、残余のオーソリティ・リプレイは平均24.9%増加している。
これらの結果から,長期 LLM エージェントの持続的承認とユーザ同意の文脈的性質の根本的な相違が明らかとなった。
関連論文リスト
- AgentBoundary: Counterfactual Evaluation of Safety in Tool-Using LLM Agents [13.557645845585776]
大規模な言語モデルの安全性の整合性は、要求に答えるか拒否するかに大きく取り組まれている。
エージェント的設定では、同じモデルが実行中にパーミッションクリティカルな証拠として振る舞うかどうかを判断しなければならない。
AgentBoundは、ツール使用エージェントの安全性のための、最初の4方向の対物生成・評価フレームワークである。
論文 参考訳（メタデータ） (2026-09-27T15:19:52Z) - ClashBench: Conflicts Leading Agents to Seize and Harm [90.19875881996693]
エージェントシステムでは、複数のエージェントセッションが、同じ環境で既存のユーザタスクと並行して実行されるようになっている。
十分な特権が与えられると、エージェントはそれを報告するのではなく、既存のタスクを終了または中断することでリソースの衝突を解決することができる。
この作業は、破壊的なリソースプリエンプションと呼ばれるこの障害モードを特定し、形式化します。
論文 参考訳（メタデータ） (2026-09-17T08:38:27Z) - Trust propagation and structural containment in Multi-agent LLM pipelines [0.9274656542624661]
本研究では,4エージェントLangGraphパイプラインにおける攻撃伝搬について検討する。
検索した文書に埋め込まれた偽書による共有メモリ中毒と間接的プロンプト注入について検討した。
我々の貢献は、攻撃伝播、認証境界のコンポーネントレベルのアブレーション、および最終行動ではなく攻撃エージェントに対する妥協度を測定するJBR(Judgment Bypass Rate)に関する実証的研究である。
論文 参考訳（メタデータ） (2026-09-15T15:46:01Z) - Agent Memory Is a Surface for Endogenous Authorization Laundering [0.764671395172401]
長期にわたるLLMエージェントは、相互作用間の状態を運ぶために永続メモリに依存している。
記憶が進化する認可状態を示すと、エージェント自身の記録は、基礎となる歴史が許されていない権限を与えることができる。
我々は、この障害を内在的な認可洗浄と呼び、急激な許可がメモリに書き込まれ、無許可の行動につながる。
論文 参考訳（メタデータ） (2026-09-01T20:12:08Z) - When Collaboration Becomes a Trigger: Collective Evidence-Threshold Backdoors in Multi-Agent Systems [57.450132281381066]
ピアエビデンスが単一のメッセージによって決定されるのではなく、隠れたしきい値に達すると、バックドアの動作が起動される。
我々は,MASとBundary-Conditioned Backdoor Injection(BCBI)のための集合的エビデンス-ホールドバックドアパラダイムを導入する。
クリーンな通信力学を学習し,異常なエージェント更新を隔離する,クリーンな唯一の潜時防御であるLATTEを提案する。
論文 参考訳（メタデータ） (2026-08-02T08:38:44Z) - FAVA: Formal Authorization for Verified Agents with Evidence-Backed Permission Graphs [11.447078130049512]
FAVAは、エージェントの実行を許可する認可フレームワークである。
OpenAgentSafety、OctoBench、ActPlaneのシナリオでFAVAを評価する。
論文 参考訳（メタデータ） (2026-07-29T09:41:07Z) - Plant, Persist, Trigger: Sleeper Attack on Large Language Model Agents [64.80318459073526]
敵のコンテンツは、同一のエージェントによって提供される相互作用にまたがって持続できることを示し、そのような脅威を検知し緩和することを困難にしている。
具体的には、敵対的コンテンツはエージェント状態に留まり、相互作用をまたいだ休眠状態に留まり、その後、良心的なユーザクエリによって活性化される。
我々は、このタイプの安全脅威をスリーパー攻撃として形式化し、評価するために、現実世界の有害な結果6つ、攻撃戦略3つ、エージェント状態の目標3つをカバーする1,896件のベンチマークを構築した。
論文 参考訳（メタデータ） (2026-05-27T09:25:37Z) - ICON: Indirect Prompt Injection Defense for Agents based on Inference-Time Correction [24.416258744287166]
ICONは、タスクの連続性を維持しながら攻撃を中和する、調査と軽減のためのフレームワークである。
ICONは競争力のある0.4%のASRを達成し、商業グレード検出器と一致し、50%以上のタスクユーティリティーゲインを得る。
論文 参考訳（メタデータ） (2026-02-24T09:13:05Z) - Zombie Agents: Persistent Control of Self-Evolving LLM Agents via Self-Reinforcing Injections [57.64370755825839]
セルフ進化エージェントはセッション間で内部状態を更新する。
我々はこのリスクを調査し、Zombie Agentと呼ばれる永続的な攻撃を形式化する。
我々は,攻撃者が制御するWebコンテンツを通じて間接的露光のみを使用するブラックボックス攻撃フレームワークを提案する。
論文 参考訳（メタデータ） (2026-02-17T15:28:24Z) - CausalArmor: Efficient Indirect Prompt Injection Guardrails via Causal Attribution [49.689452243966315]
ツールコール機能を備えたAIエージェントは、IPI(Indirect Prompt Injection)攻撃の影響を受けやすい。
本稿では,選択防衛フレームワークCausalArmorを提案する。
AgentDojoとDoomArenaの実験は、CausalArmorが攻撃的な防御のセキュリティと一致することを示した。
論文 参考訳（メタデータ） (2026-02-08T11:34:08Z) - Security Challenges in AI Agent Deployment: Insights from a Large Scale Public Competition [101.86739402748995]
44の現実的なデプロイメントシナリオを対象とした,22のフロンティアAIエージェントを対象にしています。
Agent Red Teamingベンチマークを構築し、19の最先端モデルで評価します。
私たちの発見は、今日のAIエージェントの重要かつ永続的な脆弱性を浮き彫りにしたものです。
論文 参考訳（メタデータ） (2025-07-28T05:13:04Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。