論文の概要: Divide and Inject: Can Agents Reconstruct an Indirect Prompt Injection from Fragments?

• arxiv url: http://arxiv.org/abs/2609.36576v1
• Date: Tue, 29 Sep 2026 02:54:45 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-09-30 21:28:47.137676
• Title: Divide and Inject: Can Agents Reconstruct an Indirect Prompt Injection from Fragments?
• Title（参考訳）: 分別と注入: 薬剤はフラグメントからの間接的プロンプト注入を再構築できるか?
• Abstract要約: 本稿では,長文断片化と適応探索を組み合わせた適応長文プロンプトインジェクション(AdaLCPI)を提案する。 AdaLCPIは強力な適応ベースラインよりも高い攻撃成功を達成する。
• 参考スコア（独自算出の注目度）: 16.61022483104886
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Agentic systems are now being widely used to orchestrate tools and reason over long contexts. However, the improving capabilities of the large language models powering these agents also create new attack surfaces for indirect prompt injection. In particular, an attacker may not need to place a complete malicious instruction in retrieved content if the agent can reconstruct the objective from incomplete fragments distributed across a long context. In this work, we introduce adaptive long-context prompt injection (AdaLCPI), which combines long-context fragmentation with adaptive search. AdaLCPI splits an attack objective into incomplete fragments, embeds them in external content retrieved through the agent's tools, and uses a reconstruction cue to prompt the agent to combine them. It then iteratively refines the fragments and cue with OpenEvolve using graded scoring and natural-language execution feedback from the target agent. Empirically, AdaLCPI achieves higher attack success than strong adaptive baselines, reaching 61.4\% macro-average ASR compared with 32.8\% for Trojan Hippo-style and 30.0\% for AgentVigil. Safety evaluations should therefore test whether agents remain robust when harmful objectives must be reconstructed from incomplete fragments.
• Abstract（参考訳）: エージェントシステムは、長いコンテキストにおいて、ツールや推論のオーケストレーションに広く使われています。 しかし、これらのエージェントを駆動する大きな言語モデルの能力は、間接的なプロンプトインジェクションのための新たなアタックサーフェスも生成する。 特に、エージェントが長いコンテキストに分散した不完全なフラグメントから目的を再構築できる場合、攻撃者は、検索されたコンテンツに完全な悪意のある命令を配置する必要はないかもしれない。 本研究では,長文断片化と適応探索を組み合わせた適応長文プロンプトインジェクション(AdaLCPI)を提案する。 AdaLCPIは攻撃対象を不完全な断片に分割し、エージェントのツールから取得した外部コンテンツに埋め込む。 次に、ターゲットエージェントからのグレードされたスコアと自然言語の実行フィードバックを使用して、OpenEvolveでフラグメントとキューを反復的に洗練する。 実証的には、AdaLCPIは強力な適応ベースラインよりも高い攻撃成功を達成し、Trojan Hippoスタイルでは32.8\%、AgentVigilでは30.0\%と61.4\%のマクロ平均ASRに達した。 したがって、安全評価は、有害な目的が不完全な断片から再構築されなければならない場合に、エージェントが堅牢であるかどうかをテストする必要がある。

関連論文リスト

• Toward Metacognitive One-Shot Indirect Prompt Injection: Strategy Abstraction Via Outcome-Conditioned Reflection [17.713444943152506]
  ツール利用大型言語モデル(LLM)エージェントは間接的プロンプトインジェクション(IPI)に対して脆弱である 既存のアダプティブアタックのほとんどは、ターゲットエージェントに対する繰り返しクエリと精製に依存している。 本研究では,攻撃適応を試験時間からオフライン戦略蒸留に移行するSAVORを提案する。
  論文  参考訳（メタデータ） (2026-08-09T16:19:05Z)
• PI-Hunter: Automated Red-Teaming for Exposing and Localizing Prompt Injections [51.8246149916068]
  大きな言語モデル(LLM)は、外部のツールや環境と相互作用するエージェントシステムへと急速に進化しています。 LLMエージェントのプロアクティブな脆弱性暴露のための自動エージェント監査フレームワークPI-Hunterを提案する。
  論文  参考訳（メタデータ） (2026-06-10T22:57:02Z)
• IterInject: Indirect Prompt Injection Against LLM Agents via Feedback-Guided Iterative Optimization [33.58630045185762]
  既存の攻撃は、エージェント固有の防御に適応できない静的ペイロードに依存している。 インジェクション,診断,診断のループを閉じるフィードバック誘導反復型フレームワークである oursys を導入する。 ステップは、失敗パターンから新しい偽の種を生成し、戦略空間を自己進化させる。
  論文  参考訳（メタデータ） (2026-05-23T17:00:06Z)
• AgentSentry: Mitigating Indirect Prompt Injection in LLM Agents via Temporal Causal Diagnostics and Context Purification [25.817251923574286]
  大規模言語モデル(LLM)エージェントのための新しい推論時間検出・緩和フレームワークを提案する。 AgentSentryは、時間的因果的テイクオーバーとしてマルチターンIPIをモデル化する最初の推論時防御である。 我々は, textscAgentDojo ベンチマークにおいて, 4つのタスクスイート, 3つの IPI 攻撃ファミリー, 複数のブラックボックス LLM に対する AgentSentry の評価を行った。
  論文  参考訳（メタデータ） (2026-02-26T07:59:10Z)
• SkillJect: Automating Stealthy Skill-Based Prompt Injection for Coding Agents with Trace-Driven Closed-Loop Refinement [120.52289344734415]
  エージェントスキルに適したステルスプロンプトインジェクションのための自動フレームワークを提案する。 フレームワークは、明示的なステルス制約の下でインジェクションスキルを合成するアタックエージェント、インジェクションされたスキルを使用してタスクを実行するコードエージェント、アクショントレースをログする評価エージェントの3つのエージェントでクローズドループを形成する。 本手法は,現実的な環境下で高い攻撃成功率を達成する。
  論文  参考訳（メタデータ） (2026-02-15T16:09:48Z)
• BackdoorAgent: A Unified Framework for Backdoor Attacks on LLM-based Agents [58.83028403414688]
  大規模言語モデル(LLM)エージェントは、計画、メモリ、ツールの使用を組み合わせた多段階ワークフローを通じてタスクを実行する。 エージェントワークフローの特定のステージに注入されたバックドアトリガーは、複数の中間状態を通して持続し、下流出力に悪影響を及ぼす可能性がある。 LLMエージェントにおけるバックドア脅威を統一したエージェント中心のビューを提供するモジュールおよびステージアウェアフレームワークである textbfBackdoorAgent を提案する。
  論文  参考訳（メタデータ） (2026-01-08T03:49:39Z)
• AgentVigil: Generic Black-Box Red-teaming for Indirect Prompt Injection against LLM Agents [54.29555239363013]
  本稿では,間接的なインジェクション脆弱性を自動的に検出し,悪用するための汎用的なブラックボックスファジリングフレームワークであるAgentVigilを提案する。 我々はAgentVigilをAgentDojoとVWA-advの2つの公開ベンチマークで評価し、o3-miniとGPT-4oに基づくエージェントに対して71%と70%の成功率を達成した。 攻撃を現実世界の環境に適用し、悪質なサイトを含む任意のURLに誘導するエージェントをうまく誘導する。
  論文  参考訳（メタデータ） (2025-05-09T07:40:17Z)
• Dissecting Adversarial Robustness of Multimodal LM Agents [70.2077308846307]
  我々は、VisualWebArena上に現実的な脅威モデルを用いて、200の敵タスクと評価スクリプトを手動で作成する。 我々は,クロボックスフロンティアLMを用いた最新のエージェントを,リフレクションやツリーサーチを行うエージェントを含む,壊すことに成功している。 AREを使用して、新しいコンポーネントの追加に伴うロバスト性の変化を厳格に評価しています。
  論文  参考訳（メタデータ） (2024-06-18T17:32:48Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。